Changer son mot de passe : les cas qui l’imposent vraiment

Un mot de passe se change quand quelqu'un d'autre peut le connaître : fuite, partage, poste infecté, identifiants d'usine. Le renouvellement systématique tous les 90 jours, lui, a été abandonné par le NIST comme par la CNIL, parce qu'il produit surtout des variantes prévisibles du même secret.

Ce qui justifie vraiment un changement

Un mot de passe se change quand quelqu'un d'autre est en mesure de le connaître. C'est le seul critère qui tienne debout. Le calendrier, lui, ne dit rien sur l'état réel du secret : un mot de passe jamais divulgué reste bon au bout de trois ans, un mot de passe tapé hier sur un poste infecté est déjà mort.

L'ordre des opérations compte plus que la vitesse. Si vous soupçonnez un voleur d'identifiants sur la machine, nettoyez d'abord, changez ensuite. Un changement effectué depuis un poste compromis livre le nouveau mot de passe au même keylogger, quelques secondes après l'ancien. Même logique pour la boîte mail : c'est elle qui reçoit les liens de réinitialisation de tous les autres comptes, donc elle passe en premier.

• Une fuite confirmée chez le service concerné, ou une notification du type « vos données ont été exposées ».
• Le mot de passe a été communiqué à quelqu'un : collègue, prestataire, support technique, membre de la famille.
• Il a circulé en clair par mail, SMS ou ticket, et il dort maintenant dans une archive que vous ne contrôlez pas.
• Il s'agit encore des identifiants d'usine d'un équipement : box, NAS, caméra IP, imprimante, switch manageable.
• Une personne qui le connaissait quitte l'entreprise ou le logement.
• Vous découvrez que le même mot de passe sert sur un autre site, lui-même victime d'une fuite.
• Le journal de connexion montre une session que vous ne reconnaissez pas.

Le renouvellement tous les 90 jours n’est plus recommandé

Le NIST l'écrit noir sur blanc depuis 2017 dans la publication SP 800-63B, section 5.1.1.2 : un service ne devrait pas imposer de changement arbitraire ou périodique, mais doit en imposer un dès qu'il existe une preuve de compromission. La révision 4 durcit la formulation et transforme la recommandation en interdiction.

La raison est empirique. Contraint tous les trimestres, un utilisateur ne réinvente rien, il incrémente : Printemps2025! devient Ete2025!, puis Ete2025!!. Qui détient l'ancien mot de passe trouve le nouveau en une poignée d'essais. La rotation a surtout produit des post-it sous les claviers, et sa vague d'appels au support à chaque cycle.

Le calcul d'entropie se refait en trois secondes : 12 caractères tirés uniformément parmi les 94 ASCII imprimables pèsent 12 × log2(94), soit 78,7 bits. Un mot de passe de 12 caractères sorti de votre tête en pèse nettement moins, parce que vous n'écrivez pas au hasard : vous écrivez un prénom, une date et un point d'exclamation.

Les comptes à privilèges restent l'exception. Administrateur de domaine, root, compte de service, secret partagé entre plusieurs personnes : là, le renouvellement périodique garde un sens, surtout parce que la liste de ceux qui connaissent le secret n'est jamais à jour.

Côté Linux, la politique se lit en une commande. `chage -l alice` affiche « Password expires: never » sur une Debian ou une Ubuntu par défaut, parce que PASS_MAX_DAYS vaut 99999 dans /etc/login.defs. Pour forcer un changement à la prochaine connexion : `chage -d 0 alice`, ou `passwd -e alice`.

La CNIL a suivi la même trajectoire dans sa recommandation de 2022 et raisonne désormais en entropie plutôt qu'en calendrier, avec des seuils qui dépendent des protections associées au compte.

Contexte d'authentification	Entropie minimale (CNIL, 2022)	Ce que ça donne en pratique
Mot de passe seul	80 bits	12 caractères mêlant quatre types de caractères, à condition qu'ils soient réellement tirés au hasard
Mot de passe + blocage après plusieurs échecs	50 bits	8 caractères avec trois types, plus une temporisation ou un verrouillage du compte
Mot de passe + élément détenu (carte, jeton)	13 bits	code PIN à 4 chiffres bloqué au bout de 3 essais

Box, Wi-Fi, compte opérateur : trois mots de passe différents

« Changer le mot de passe de la box » désigne au moins trois choses, et la confusion coûte des heures de support. La clé Wi-Fi sert aux appareils qui rejoignent le réseau. Le mot de passe d'administration ouvre l'interface de la box, celle où se règlent le NAT, le DHCP et les serveurs DNS. Le mot de passe du compte client vit chez l'opérateur et sert à la facturation. Changer l'un ne change aucun des deux autres.

La phrase secrète WPA2-PSK accepte 8 à 63 caractères ASCII imprimables. Elle n'est pas transmise telle quelle : elle passe par PBKDF2-SHA1, 4096 itérations, avec le SSID en guise de sel, pour produire une clé de 256 bits. Conséquence directe, deux réseaux qui portent le même SSID et la même phrase secrète aboutissent à la même clé, ce qui rend les tables précalculées rentables sur les SSID d'usine très répandus.

Prévoyez la reconnexion avant de valider. Changer la clé Wi-Fi déconnecte tout : téléphones, imprimante, télévision, thermostat, caméra du portail. La caméra est en général celle dont plus personne ne connaît la procédure d'appairage.

Le mot de passe d'administration mérite plus d'attention que la clé Wi-Fi, parce qu'il commande la résolution DNS. Quelqu'un qui l'obtient redirige votre résolveur sans toucher à un seul de vos appareils. Le code source de Mirai, publié en 2016, embarquait une soixantaine de couples identifiant/mot de passe d'usine, et cela a suffi à bâtir un botnet. Si l'administration à distance est ouverte côté WAN, elle est scannée en continu.

Opérateur	Interface d'administration	À savoir
Free	mafreebox.freebox.fr ou 192.168.0.254	Le mot de passe de l'interface est distinct de celui du compte Free
Orange	192.168.1.1	Le mot de passe admin d'usine correspond aux 8 premiers caractères de la clé Wi-Fi imprimée sous la box
Bouygues	mabbox.bytel.fr ou 192.168.1.254	Identifiants d'usine sur l'étiquette de l'équipement
SFR	192.168.1.1	Ces adresses valent pour le plan d'adressage d'usine, à adapter si vous l'avez modifié

Tester un mot de passe sans l’envoyer nulle part

Le service Pwned Passwords répond à la question « ce mot de passe circule-t-il déjà ? » sans jamais recevoir le mot de passe. Le client calcule l'empreinte SHA-1, transmet les 5 premiers caractères hexadécimaux, et le serveur renvoie tous les suffixes connus commençant par ce préfixe, avec leur nombre d'occurrences. La comparaison finale se fait en local. C'est le principe du k-anonymat.

Exemple sur « password », dont l'empreinte SHA-1 vaut 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8 : `curl -s https://api.pwnedpasswords.com/range/5BAA6 | grep -i 1E4C9B93F3F0682250B6CF8331B7EE68FD8`. La ligne renvoyée se termine par un compteur qui se chiffre en millions. Le jeu de données dépasse les 800 millions d'empreintes.

L'inverse ne se déduit pas. Une absence de résultat prouve seulement que le mot de passe ne figure pas dans les fuites collectées, pas qu'il résiste. Un mot de passe inédit mais court tombe en quelques secondes face à une attaque hors ligne sur une empreinte volée.

Ce qu’un changement de mot de passe ne coupe pas

Le nouveau mot de passe protège la prochaine connexion. Il ne défait pas ce que l'attaquant a déjà mis en place, et c'est précisément là que la plupart des remédiations s'arrêtent trop tôt.

Après une compromission avérée, l'ordre qui fonctionne : nettoyer le poste, changer le mot de passe de la messagerie, fermer toutes les sessions actives, inspecter les règles de transfert et les alias, révoquer jetons et autorisations tierces, vérifier les moyens de récupération, puis enchaîner sur les autres comptes en commençant par ceux qui partageaient le même mot de passe.

• Les sessions déjà ouvertes : un cookie de session ou un jeton JWT valable 24 h reste valable, sauf révocation explicite. Django gère le cas avec update_session_auth_hash, beaucoup de développements maison ne le gèrent pas.
• Les autorisations OAuth accordées à des applications tierces, qui survivent au changement tant qu'on ne les retire pas depuis la page des accès.
• Les mots de passe d'application et les jetons d'API, y compris un accès IMAP configuré il y a deux ans dans un client de messagerie oublié.
• Les clés publiques déposées dans authorized_keys, qui n'ont aucun rapport avec le mot de passe du compte.
• Les règles de transfert automatique créées dans la boîte mail : l'attaquant continue de recevoir une copie de tout, mot de passe changé ou pas.
• Les codes de secours à usage unique du second facteur, ainsi que le numéro de téléphone et l'adresse de récupération, qui ont pu être remplacés.

Questions fréquentes

Faut-il changer son mot de passe tous les 3 mois ?

Non, pas pour un compte personnel ni pour un compte utilisateur standard. Le NIST (SP 800-63B) et la CNIL ont retiré cette obligation, parce qu'elle pousse à des variantes prévisibles du même secret. Le renouvellement périodique garde du sens pour les comptes d'administration et les secrets partagés entre plusieurs personnes, dont la liste des détenteurs finit toujours par déraper.

Changer ma clé Wi-Fi change-t-il mon adresse IP ?

Non. La clé Wi-Fi protège l'accès au réseau local, elle n'a aucun lien avec l'adresse IP publique attribuée par l'opérateur. Un redémarrage de box peut provoquer un nouveau bail et donc une nouvelle adresse publique si celle-ci est dynamique, mais rien ne le garantit : beaucoup d'opérateurs réattribuent la même.

J’ai oublié le mot de passe d’administration de ma box, que faire ?

Le bouton reset, maintenu de 5 à 10 secondes selon les modèles, restaure la configuration d'usine et rétablit le mot de passe imprimé sur l'étiquette. Il efface aussi tout le reste : redirections de ports, baux DHCP fixes, SSID personnalisé, serveurs DNS choisis. Relevez la configuration avant, ou passez par l'espace client de l'opérateur, qui permet souvent la réinitialisation sans perte.

Dois-je changer le même mot de passe sur tous les sites où je l’ai utilisé ?

Oui, et c'est le vrai travail. Le credential stuffing consiste à rejouer un couple mail/mot de passe issu d'une fuite sur des dizaines d'autres services. Tant qu'un site conserve l'ancien couple, la fuite reste exploitable. Commencez par la messagerie, puis la banque, puis tout ce qui stocke un moyen de paiement.

Un gestionnaire de mots de passe est-il plus sûr que ma mémoire ?

Pour la plupart des usages, oui : il permet un secret long et différent partout, ce qu'aucune mémoire ne fait. Le risque se déplace alors sur le mot de passe maître et sur le coffre lui-même. D'où un maître long, un second facteur activé dessus, et une sauvegarde du coffre. Les fuites survenues chez des éditeurs de coffres ont montré que la qualité du chiffrement local et le nombre d'itérations de dérivation comptent autant que la réputation du service.

À lire aussi

attaques mot de passe · brute force · authentification a deux facteurs 2fa · box internet

Testez vos connaissances