Votre politique de mots de passe exige peut-être encore une majuscule, un symbole et un changement tous les 90 jours. Le National Institute of Standards and Technology (NIST) américain a abandonné ces trois règles. Ses recommandations actuelles, la SP 800-63B-4, ont été finalisées en 2025 et remplacent l’édition 2020 de la SP 800-63B.
Le NIST rédige ces lignes directrices pour les systèmes fédéraux américains, mais elles constituent une référence utile pour toute organisation. Voici ce qu’elles disent et comment les appliquer.
Les règles de mots de passe de la SP 800-63B-4
La section 3.1.1.2 fixe les exigences applicables aux systèmes qui vérifient les mots de passe. Le NIST emploie SHALL pour les exigences et SHOULD pour les recommandations ; nous les rendons ci-dessous par « doit » et « devrait ».
| Sujet | Ce que dit le NIST |
|---|---|
| Longueur minimale, mot de passe seul | DOIT compter au moins 15 caractères |
| Longueur minimale, mot de passe dans une MFA | DOIT compter au moins 8 caractères |
| Longueur maximale | DEVRAIT autoriser au moins 64 caractères |
| Caractères | DEVRAIT accepter tous les caractères ASCII imprimables, les espaces et l’Unicode |
| Règles de composition | NE DOIT PAS en imposer, par exemple « une majuscule, un chiffre, un symbole » |
| Changements périodiques | NE DOIT PAS en exiger |
| Compromission avérée | DOIT imposer un changement en cas d’éléments prouvant que le mot de passe est compromis |
| Liste de blocage | DOIT comparer les nouveaux mots de passe à des valeurs courantes, prévisibles ou compromises connues |
| Indices et questions de sécurité | NE DOIT PAS stocker d’indices ni poser de questions de connaissance |
| Gestionnaires de mots de passe | DOIT les autoriser ainsi que le remplissage automatique ; DEVRAIT autoriser le collage |
| Tentatives échouées | DOIT en limiter le nombre |
| Troncature | DOIT vérifier le mot de passe entier tel que saisi |
Pourquoi les anciennes règles ont disparu
Les règles de composition et le renouvellement forcé paraissent rigoureux, mais ils poussent les utilisateurs vers des schémas prévisibles. Un utilisateur obligé de changer Autumn2026! (automne) choisira bien souvent Winter2026! (hiver), et un attaquant qui connaît l’ancien mot de passe peut deviner le nouveau.
Le NIST mise plutôt sur la longueur et sur une liste de blocage. Une longue phrase de passe est plus facile à retenir qu’une courte chaîne aléatoire. Le renouvellement n’aide qu’une fois le mot de passe divulgué : le NIST lie donc les changements à des éléments prouvant une compromission plutôt qu’au calendrier.
La liste de blocage remplace les règles de composition comme véritable filtre. Elle rejette les mots de passe que les attaquants essaient en premier : choix courants, mots liés à votre organisation et mots de passe déjà vus dans des fuites.
Vérifier les mots de passe divulgués
Le service Pwned Passwords de Have I Been Pwned permet de vérifier un mot de passe dans les données de fuites sans l’envoyer. Votre système calcule l’empreinte SHA-1 du mot de passe et n’envoie que les cinq premiers caractères de cette empreinte. Le service renvoie toutes les fins d’empreintes qui commencent par ces cinq caractères, avec un compteur, et vous faites la comparaison en local.
# SHA-1 of "password" is 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8
curl -s -H "Add-Padding: true" https://api.pwnedpasswords.com/range/5BAA6Cette méthode, appelée k-anonymat, garantit que le service ne sait jamais quel mot de passe vous avez vérifié. Une réponse type contient plusieurs centaines de fins d’empreintes, et l’en-tête Add-Padding masque la taille réelle de la réponse à quiconque observe le trafic. Aucune clé d’API n’est nécessaire pour la recherche par plage de mots de passe.
Intégrez ce contrôle aux écrans de création et de modification de mot de passe. Dans les environnements Active Directory, intéressez-vous aux outils qui appliquent une liste de mots de passe divulgués aux changements de mot de passe du domaine.
Autorisez les gestionnaires de mots de passe
Le NIST impose aux vérificateurs d’autoriser les gestionnaires de mots de passe et le remplissage automatique. C’est logique : un gestionnaire rend possibles des mots de passe longs et uniques, et ne les remplit que sur le domaine où ils ont été enregistrés. Bloquer le collage sur les formulaires de connexion va à l’encontre de cet objectif.
Pour vos collaborateurs, fournissez un gestionnaire de mots de passe d’entreprise au lieu de laisser chacun choisir le sien. Protégez le gestionnaire lui-même par une phrase de passe maîtresse robuste et une MFA résistante à l’hameçonnage.
Toutes les MFA ne se valent pas
Avec un second facteur, un mot de passe volé ne suffit plus à lui seul, mais certaines méthodes restent vulnérables à l’hameçonnage. La fausse page de connexion d’un attaquant peut demander un code et le relayer en temps réel. Le NIST définit la résistance à l’hameçonnage comme la capacité du protocole à empêcher la divulgation des secrets sans dépendre de la vigilance de l’utilisateur.
| Méthode | Résistante à l’hameçonnage ? | Remarques du NIST |
|---|---|---|
| Code par SMS ou appel vocal | Non | Authentificateur « restreint » ; les vérificateurs doivent proposer des alternatives et devraient surveiller les échanges de carte SIM et les portabilités de numéro |
| Code d’application d’authentification (TOTP) | Non | Les codes sont saisis à la main, ils peuvent donc être relayés |
| Validation par notification push ou application hors bande | Non | Les méthodes hors bande ne résistent pas à l’hameçonnage |
| Code ou lien par e-mail | Interdit pour l’authentification hors bande | L’e-mail NE DOIT PAS être utilisé pour l’authentification hors bande |
| Clé de sécurité FIDO2 / WebAuthn ou clé d’accès | Oui | La réponse est liée au nom du site vérifié |
Au niveau d’assurance intermédiaire du NIST, AAL2, les vérificateurs DOIVENT proposer au moins une option résistante à l’hameçonnage. Au niveau le plus élevé, AAL3, l’authentificateur doit résister à l’hameçonnage et utiliser une clé privée non exportable.
Les clés d’accès (passkeys)
Une clé d’accès est un identifiant FIDO fondé sur WebAuthn. Votre appareil crée une paire de clés pour chaque site. Le site ne stocke que la clé publique, et la clé privée reste chez vous. Vous la déverrouillez avec la même méthode que votre appareil, comme une empreinte digitale, la reconnaissance faciale ou un code PIN. La FIDO Alliance précise que les données biométriques restent sur l’appareil et ne sont jamais envoyées au site.
Comme chaque clé d’accès est liée à un seul site, elle ne fonctionne tout simplement pas sur un domaine d’hameçonnage qui imite le vrai. Il n’y a pas non plus de secret partagé à voler sur le serveur.
Les clés d’accès existent sous deux formes :
- Les clés d’accès synchronisées sont copiées sur vos différents appareils via le service de synchronisation d’un fournisseur. Le NIST les appelle authentificateurs synchronisables et les autorise au niveau AAL2. Comme la clé peut être exportée, elles NE DOIVENT PAS être utilisées au niveau AAL3.
- Les clés d’accès liées à un appareil restent sur un seul appareil, comme une clé de sécurité matérielle. Elles conviennent aux administrateurs et aux autres comptes à haut risque.
Pensez aussi à la récupération des comptes. Si quelqu’un peut réinitialiser un compte protégé par une clé d’accès avec un lien par e-mail ou un appel au support, les attaquants viseront simplement cette voie. Rendez la récupération au moins aussi robuste que la connexion qu’elle remplace.
Une politique que vous pouvez adopter
- Au moins 15 caractères lorsque le mot de passe est le seul facteur, et au moins 64 caractères autorisés.
- Aucune règle de composition et aucune expiration programmée.
- Vérification de chaque nouveau mot de passe dans une liste de mots de passe divulgués et courants.
- Changement imposé uniquement en cas d’éléments prouvant une compromission.
- Un gestionnaire de mots de passe fourni, avec collage et remplissage automatique autorisés.
- MFA exigée partout où elle est disponible, et MFA résistante à l’hameçonnage pour les administrateurs, la messagerie et les accès à distance.
- Déploiement des clés d’accès là où vos systèmes les prennent en charge, en commençant par les comptes à haut risque.
- Limitation des tentatives de connexion échouées, et récupération de compte aussi robuste que la connexion.
Par où commencer
Vérifiez si un mot de passe figure déjà dans des données de fuites avec notre outil Mots de passe divulgués, et testez la longueur nécessaire d’une phrase de passe avec notre générateur de mots de passe.
Si vous revoyez votre politique d’identité ou préparez un déploiement de clés d’accès, notre équipe conseil peut vous aider à le planifier.
