Changer de mot de passe tous les trois mois te rend prévisible

Ta banque a copié son manuel, mais Bill Burr s’est rétracté en 2017. En 2003, dans le standard NIST, il avait écrit qu’il fallait mêler majuscules, chiffres et symboles et changer le mot de passe tous les trois mois. « Je regrette beaucoup de ce que j’ai fait », a-t-il dit quatorze ans plus tard au Wall Street Journal.

Le problème n’était pas son idée ; c’était la tienne. Quand on te force à mettre un symbole, tu mets « ! » à la fin. Quand on te force à changer tous les trois mois, tu écris « Été2024! », puis « Automne2024! », puis « Hiver2024! ». Weir et ses collègues ont traité en 2010 trente-deux millions de mots de passe volés : moins de 4 % étaient vraiment imprévisibles.

La version de 2017, toujours en vigueur, a changé trois choses. Ta banque ne devrait pas t’obliger à changer le mot de passe sans indice de vol. Ni à mêler des symboles. Elle devrait refuser ceux qui figurent dans les listes fuitées.

Ce que tu peux faire sans attendre : choisis une phrase de quatre mots au hasard. « Pomme âne rouge pont » coûte aujourd’hui 550 ans à un attaquant, selon le calcul standard du NIST. Ajouter un symbole à la fin lui offre une demi-heure de plus.