Le mot de passe demeure la clé de la plupart de nos comptes, et c'est aussi la plus souvent dérobée : par des services piratés dont les bases sont rendues publiques, par des logiciels malveillants qui capturent la frappe sur un poste infecté, ou simplement parce qu'il était trop facile à deviner. Cette sensibilisation vous transmet trois réflexes essentiels : un mot de passe distinct pour chaque service, un gestionnaire pour les mémoriser à votre place, et la double authentification partout où elle est proposée.
Bonjour , votre sensibilisation est ouverte. Prévoyez 15 minutes. Ce n'est pas vous ?
Un mot de passe ne se devine pas seulement : il se dérobe en masse, le plus souvent sans que vous n'y soyez pour rien. L'actualité de l'été 2026 l'a régulièrement rappelé.
En juin 2026, un serveur laissé ouvert a livré des journaux de logiciels voleurs : après nettoyage, 124 millions de mots de passe uniques ont rejoint la base publique haveibeenpwned.com. En août, plusieurs services français ont été touchés le même jour, dont impots.gouv.fr, pour plus de 670 000 comptes. Ces identifiants circulent désormais.
Le premier geste d'un attaquant qui récupère une base volée est d'essayer chaque couple adresse et mot de passe sur la messagerie, la banque, les réseaux sociaux, les outils professionnels. Si vous utilisez le même mot de passe ailleurs, un seul service compromis ouvre tous les autres.
Avec la double authentification, un mot de passe volé ne suffit plus : il faut aussi le code affiché sur votre téléphone. C'est la mesure la plus efficace contre les fuites que vous ne contrôlez pas. Elle mérite d'être activée partout où un service la propose.
Une parodie et un entretien : la première montre comment un mot de passe se devine, le second comment les gérer sans y penser. Lancez les deux : elles sont nécessaires à la validation.
Sur le ton d'une parodie de télé-crochet, la campagne du Cigref montre comment un mot de passe se devine à partir de ce que chacun laisse traîner en ligne.
Un vulgarisateur reconnu explique, en entretien, comment un gestionnaire de mots de passe et la double authentification s'installent dans le quotidien.
Les vidéos sont chargées depuis YouTube uniquement après votre clic, en mode sans cookie. Aucun échange avec YouTube n'a lieu avant.
Voici le mot de passe que beaucoup choisiraient à votre place, construit à partir de ce qu'un attaquant sait déjà de vous. Il paraît solide. Il ne l'est pas. Cliquez sur chaque pastille, ou sur chaque faiblesse de la liste : toutes doivent avoir été consultées pour valider la sensibilisation.
Il figure dans votre adresse, dans votre signature, sur les réseaux professionnels. Les outils d'attaque le combinent automatiquement avec des chiffres et des symboles. Ce n'est pas un secret ; il ne peut donc pas en faire partie.
L'attaquant l'a sous les yeux, juste après le @. Le nom de l'entreprise, du service, de la ville ou du produit phare sont les premiers mots ajoutés aux dictionnaires ciblés.
L'année de création du compte, l'année en cours et les deux précédentes sont ajoutées systématiquement à la fin de chaque essai. Une date de naissance ne vaut pas mieux : elle se retrouve aisément.
Point d'exclamation, point, arobase en fin de mot : les outils l'ajoutent systématiquement. Un caractère spécial ne renforce que s'il est placé de façon imprévisible, au milieu d'une phrase par exemple.
Plus de vingt caractères, des majuscules, des chiffres, un symbole : toutes les cases sont cochées, et pourtant ce mot de passe est prévisible. Les outils de cassage modélisent précisément cette recette. La longueur ne compense pas une structure devinable.
Quand un seul de ces sites est piraté et sa base publiée, ce mot de passe est essayé sur tous les autres en quelques minutes. C'est le mécanisme qui transforme la fuite d'une boutique en ligne en compromission d'une messagerie professionnelle.
1 faiblesse sur 6 consultée
Un repère à retenir. La longueur compte plus que la complexité. La CNIL indique que ces trois combinaisons apportent le même niveau de sécurité :
En synthèse : une phrase que vous seul pouvez imaginer, différente pour chaque site, bat n'importe quelle « recette » de mot de passe complexe.
Cinq habitudes à adopter durablement, et cinq gestes à connaître pour le jour où un service que vous utilisez annonce avoir été compromis.
Six situations, dont plusieurs construites avec votre prénom et le nom de votre organisation. La validation requiert six bonnes réponses sur six ; vous pouvez recommencer autant de fois que nécessaire. Le détail de vos réponses n'est pas enregistré.
Trois conditions, à remplir dans l'ordre que vous voulez. Elles se cochent d'elles-mêmes au fil de votre parcours.
Le badge Mots de passe maîtrisés s'affichera en couleur une fois votre sensibilisation validée.
Le bouton s'activera une fois les trois conditions remplies.
L'enregistrement n'a pas pu aboutir. Vérifiez votre connexion et réessayez.
Merci. Votre participation a été enregistrée.
Badge obtenu : Mots de passe maîtrisésDes ressources publiques de référence, en français, pour approfondir ou pour s'équiper.
La recommandation de 2022 : raisonner en robustesse plutôt qu'en nombre de caractères, ne plus imposer de renouvellement périodique, privilégier le gestionnaire.
Lire la recommandationLe guide de référence sur l'authentification multifacteur et les mots de passe, pour les organisations.
Ouvrir le guideUn service gratuit qui recense les fuites connues. Saisissez votre adresse courriel pour savoir si elle apparaît dans l'une d'elles.
Vérifier une adresseUn gestionnaire de mots de passe gratuit et sécurisé qui conserve vos mots de passe dans un fichier chiffré que vous contrôlez. Il en existe bien d'autres, plus modernes.
Découvrir KeePassLa fiche réflexe sur les mots de passe : les bonnes pratiques expliquées simplement, et la marche à suivre en cas de compromission.
Consulter la ficheLe parcours d'assistance de Cybermalveillance.gouv.fr, pour les particuliers comme pour les organisations.
Démarrer le diagnosticCette campagne s'inscrit dans le plan de formation et de sensibilisation annuel de
Votre organisation a confié à St Blancat Cybersécurité la réalisation de cette sensibilisation. À ce titre, votre prénom et votre adresse de messagerie professionnelle sont recueillis pour vous permettre de la suivre et pour attester de votre participation.
Responsable du traitement. Votre organisation. Pour connaître l'ensemble des traitements qu'elle met en œuvre et les modalités d'exercice de vos droits, reportez-vous à sa politique de protection des données personnelles, généralement accessible sur son site www.exemple.fr. St Blancat Cybersécurité intervient en qualité de sous-traitant, aux seules fins de fournir et d'héberger ce dispositif.
Finalité. Sensibiliser les collaborateurs à la protection des données à caractère personnel et, plus largement, à la sécurité des systèmes d'information, et suivre la réalisation de cette action.
Base légale. L'intérêt légitime de votre organisation à s'assurer du bon déroulement de ses actions de sensibilisation, au sens de l'article 6.1.f du RGPD.
Données traitées. Votre prénom, votre adresse de messagerie professionnelle, la date d'ouverture de cette page et la date de validation du module. Vos réponses au questionnaire et le nombre de vos tentatives restent dans votre navigateur le temps de la session et ne nous sont pas transmis.
Destinataires. Les personnes habilitées de votre organisation en charge du suivi de la campagne, ainsi que St Blancat Cybersécurité en sa qualité de sous-traitant, chargé du fonctionnement du dispositif et de l'établissement des rapports.
Durée de conservation. Les données sont conservées le temps de la campagne. À son terme, elles sont restituées à votre organisation puis supprimées de nos systèmes ; seules des statistiques anonymes, ne permettant pas de vous identifier, peuvent être conservées.
Vos droits. Vous disposez d'un droit d'accès, de rectification, d'effacement et de limitation, ainsi que d'un droit d'opposition pour des raisons tenant à votre situation particulière. Ces droits s'exercent auprès du délégué à la protection des données de votre organisation ou, à défaut, du service compétent. Vous pouvez également introduire une réclamation auprès de la CNIL.
Pour en savoir plus sur la politique de protection des données à caractère personnel de St Blancat Cybersécurité, agissant ici en tant que sous-traitant de votre organisation, consultez notre politique de protection des données personnelles ainsi que nos mentions légales.
Nous contacter · N'hésitez pas à nous contacter directement pour toute question.
Les liens externes renvoient vers des ressources publiques dont le cabinet n'est pas l'éditeur.
