Générateur de mot de passe : lequel utiliser, et comment créer des mots de passe sûrs pour son entreprise ?

« Je dirige un cabinet de géomètres-experts à Metz, neuf personnes. Nos mots de passe sont dans un tableur partagé, et la moitié de l'équipe utilise le même pour la messagerie, le logiciel métier et la banque. Un collègue propose un générateur trouvé sur internet. Lequel utiliser, et comment s'organiser sans que personne ne reste bloqué dehors ? »

Exemple de situation

Quel générateur de mot de passe utiliser ?

Un générateur seul ne résout que la moitié du problème : il produit un mot de passe impossible à retenir, qu'il faut ensuite ranger quelque part. C'est pourquoi les outils les plus utiles sont ceux qui génèrent et enregistrent en même temps. Cybermalveillance.gouv.fr recommande d'ailleurs d'utiliser un gestionnaire de mots de passe, pour n'avoir plus qu'un seul mot de passe à retenir².

Les prix sont ceux affichés par les éditeurs le 12 novembre 2026, en dollars et hors taxes. La certification de KeePassXC (ANSSI-CSPN-2025/16) porte sur une version précise, et l'ANSSI rappelle qu'une certification n'est pas une recommandation du produit⁷.

Un générateur trouvé sur internet est-il sûr ?

Il l'est si le mot de passe est fabriqué sur votre appareil et jamais envoyé au site. Bitwarden l'écrit sur la page de son générateur : les mots de passe sont créés localement, avec un hasard cryptographique, et ne passent pas par ses serveurs⁵. La CNIL précise de même qu'aucun mot de passe n'est récupéré par son outil⁴.

Un site inconnu, sans éditeur identifiable ni explication sur son fonctionnement, ne donne pas cette garantie. Deux règles simples : ne tapez jamais un mot de passe que vous utilisez déjà dans un outil en ligne pour « tester sa solidité », et préférez le générateur de votre gestionnaire ou de votre navigateur à une page trouvée au hasard.

Quelle longueur et quels caractères choisir ?

La CNIL raisonne en « entropie », c'est-à-dire en nombre d'essais qu'il faudrait pour deviner le mot de passe. Pour un mot de passe utilisé seul, elle fixe un minimum de 80 bits et donne trois exemples équivalents¹ :

• au moins 12 caractères avec majuscules, minuscules, chiffres et caractères spéciaux ;
• au moins 14 caractères avec majuscules, minuscules et chiffres, sans caractère spécial ;
• une phrase de passe d'au moins 7 mots.

Le NIST, l'organisme de normalisation américain, va plus loin dans sa version de juillet 2025 : 15 caractères au minimum pour un mot de passe utilisé seul, 8 s'il s'accompagne d'un second facteur, et aucune règle de composition imposée³. Les deux approches se rejoignent : la longueur compte plus que les symboles. Avec un gestionnaire, rien n'empêche de générer 20 caractères ou plus, puisque vous n'aurez pas à les taper.

Phrase de passe ou suite de caractères au hasard ?

Pour les comptes rangés dans le gestionnaire, une suite aléatoire est idéale : personne n'a besoin de la retenir. La phrase de passe sert pour les quelques mots de passe que l'on doit connaître par cœur : celui du gestionnaire lui-même et celui de la session de l'ordinateur.

Le générateur de la CNIL propose une méthode pour ces cas : vous écrivez une phrase d'une douzaine de mots contenant un nombre, une majuscule et une ponctuation, et vous gardez la première lettre de chaque mot⁴. La CNIL conseille d'éviter les nombres de 1950 à 2049, les suites comme « 1234 » ou « azerty » et les caractères répétés⁴. N'y mettez ni prénom, ni date de naissance, ni nom de l'entreprise : Cybermalveillance.gouv.fr déconseille tout ce qu'on peut deviner sur vous².

Faut-il changer les mots de passe tous les trois mois ?

Non, pour les comptes ordinaires. La CNIL n'exige plus de renouvellement périodique depuis sa recommandation du 21 juillet 2022, mais le conseille toujours pour les comptes administrateurs¹. Le NIST interdit même d'imposer un changement régulier, car il pousse à des variantes faciles à deviner³.

En revanche, un mot de passe se change tout de suite au moindre doute : fuite annoncée par un service, message suspect, ordinateur infecté². Et, à chaque départ d'un salarié, changez ceux des comptes communs qu'il connaissait.

Comment organiser les mots de passe d'une équipe ?

1. Supprimer le tableur partagé. Toute personne qui l'ouvre, ou qui récupère l'ordinateur d'un collègue, obtient tous les accès d'un coup.
2. Choisir un gestionnaire d'équipe : chacun a son coffre, et les accès communs (banque, fournisseurs, réseaux sociaux) sont dans des coffres partagés, avec des droits par personne. Bitwarden Teams inclut ce partage et un journal des événements⁸.
3. Un compte nominatif par personne dès que l'outil le permet, plutôt qu'un identifiant commun : on retire un accès sans changer celui des autres.
4. Protéger d'abord la messagerie. C'est elle qui permet de réinitialiser tous les autres comptes : son mot de passe doit être le plus solide².
5. Activer la double authentification partout où elle est proposée, en commençant par la messagerie, la banque et l'administration du site².
6. Changer les mots de passe par défaut des box, imprimantes et logiciels livrés avec un identifiant préréglé².
7. Prévoir l'accès de secours : qui peut ouvrir les coffres partagés si l'administrateur est absent ou quitte l'entreprise ? Écrivez-le avant d'en avoir besoin.

Ces mêmes accès figurent parmi les points à contrôler pour savoir si votre site est sécurisé.

Les limites de ces conseils

Un mot de passe solide ne protège pas contre tout : un faux site qui imite votre banque peut le récupérer, quelle que soit sa longueur. D'où l'intérêt de la double authentification et de la vigilance face aux messages trompeurs. Si votre entreprise est soumise à des exigences particulières (santé, marchés publics, clients qui imposent une politique de sécurité), ce sont ces exigences écrites qui priment. Et si un compte a déjà été piraté, la priorité n'est plus le choix d'un générateur : voyez les gestes des premières heures après un piratage.

Et chez Prestalgo ?

Vous préférez qu'on s'en charge ? Notre audit de sécurité vérifie notamment les comptes administrateurs, les mots de passe, la double authentification et les anciens accès oubliés de votre site, de votre application ou de votre serveur, avec un rapport classé par gravité et les corrections. Il commence à 500 € HT, sur autorisation écrite. Pour un suivi dans la durée, voyez le contrat de maintenance et la page Tarifs.

Questions fréquentes

Alexandre Gougeon, fondateur de Prestalgo, développeur full stack depuis 2015. Prestalgo a construit les applications de Youngs Job et de Groume, une partie de celle de SAUVLife, et les fait tourner au quotidien.