Mots de passe : ce qu’exigent vraiment les recommandations du NIST

Pendant vingt ans, les politiques de mots de passe se sont toutes ressemblé : huit caractères, une majuscule, un chiffre, un symbole, et un changement forcé tous les 90 jours. Le National Institute of Standards and Technology (NIST) américain a passé des années à démonter ce modèle. Ses lignes directrices sur l’identité numérique, SP 800-63B, affirment désormais que la plupart de ces règles font plus de mal que de bien.

Ce guide traduit la version actuelle (la révision 4, finalisée en 2025) en langage clair : ce qui est obligatoire, ce qui est seulement recommandé, et comment le déployer sans surprendre vos auditeurs.

Les règles en bref

• 15 caractères minimum quand le mot de passe est le seul facteur, 8 avec la MFA.
• Accepter au moins 64 caractères, espaces et Unicode compris, sans jamais tronquer.
• Filtrer chaque nouveau mot de passe contre des listes de mots de passe divulgués, courants et propres au contexte.
• Accueillir les gestionnaires de mots de passe : autoriser le remplissage automatique et le collage.
• Limiter les échecs à 100 tentatives consécutives au maximum.
• Aucune règle de composition, du type « doit contenir un symbole ».
• Aucune expiration planifiée. On ne change un mot de passe qu’en cas d’indice de compromission.
• Ni indices, ni questions de sécurité.

SHALL ou SHOULD : comment lire le NIST

Le NIST écrit « SHALL » pour une exigence, « SHOULD » pour une recommandation forte et « MAY » pour une option. Si vous êtes audité sur SP 800-63B, comme les agences fédérales américaines et beaucoup de leurs fournisseurs, les exigences SHALL sont obligatoires. Pour tous les autres, le document reste le meilleur guide gratuit fondé sur des preuves.

1. La longueur est l’exigence principale

La révision 4 relève le plancher. Un mot de passe qui constitue le seul facteur d’authentification doit compter au moins 15 caractères. Quand il fait partie d’une authentification multifacteur, le minimum est de 8. Les systèmes devraient accepter au moins 64 caractères et vérifier le mot de passe entier, sans le couper en silence.

La raison est simple arithmétique. Comme le montre notre table des temps de craquage, un mot de passe aléatoire de 8 caractères utilisant tous les caractères imprimables tombe face à un cluster de GPU en moins d’une heure, alors qu’à partir de 15 caractères la même attaque dépasse l’âge de l’univers.

2. Fini les règles de composition

Les vérificateurs ne doivent pas imposer de règles de composition, comme un mélange obligatoire de majuscules, de chiffres et de symboles. Les gens y répondent de façon prévisible : une majuscule au début, un chiffre et un point d’exclamation à la fin. Password1! respecte la plupart des anciennes politiques et figure parmi les premiers essais de tout outil de craquage.

À la place, les systèmes devraient accepter tous les caractères ASCII imprimables, les espaces et les caractères Unicode comme les lettres accentuées ou les émojis. Plus de choix pour l’utilisateur, c’est plus d’imprévisibilité pour l’attaquant.

3. La fin des changements tous les 90 jours

Le NIST indique que les vérificateurs ne doivent pas exiger de changement périodique. Ils doivent en revanche imposer un changement en cas d’indice de compromission, par exemple une notification de fuite ou une correspondance avec une liste de mots de passe divulgués.

La rotation forcée rassure mais se retourne contre nous. Quand on doit changer de mot de passe selon un calendrier, on y apporte de petites modifications prévisibles : Printemps2026! devient Ete2026!. Une étude bien connue de l’Université de Caroline du Nord a montré qu’avec l’ancien mot de passe d’un utilisateur, un attaquant devinait souvent le suivant en une poignée d’essais.

4. Les listes noires sont obligatoires

Chaque nouveau mot de passe doit être comparé à une liste noire de valeurs courantes, attendues ou compromises. Cette liste devrait contenir :

• les mots de passe issus de fuites précédentes ;
• les mots du dictionnaire ;
• les caractères répétés ou en suite, comme aaaaaa ou 1234abcd ;
• les mots propres au contexte : le nom du service, l’identifiant et leurs dérivés évidents.

Quand un mot de passe est refusé, expliquez pourquoi, pour que la personne en choisisse un meilleur au lieu d’ajouter un chiffre à la fin. Notre vérificateur de fuites utilise les mêmes données Pwned Passwords que de nombreux fournisseurs d’identité. Dans Active Directory, Microsoft Entra Password Protection joue ce rôle.

5. Accueillir les gestionnaires de mots de passe

Les vérificateurs doivent autoriser les gestionnaires de mots de passe et le remplissage automatique, et devraient autoriser le collage dans les champs de mot de passe. Bloquer le collage a l’air d’une mesure de sécurité, mais pousse vers des mots de passe courts qu’on peut taper de mémoire : l’inverse de l’effet recherché.

6. Abandonner indices et questions de sécurité

Les systèmes ne doivent pas stocker d’indices de mot de passe lisibles par n’importe qui, ni demander de réponses du type « nom de votre premier animal ». Ces réponses se trouvent souvent sur les réseaux sociaux et deviennent un second mot de passe plus faible, qui n’expire jamais.

7. Freiner les essais sans pénaliser les gens

Les vérificateurs doivent limiter les échecs consécutifs sur un même compte à 100 au maximum. C’est un plafond, pas un objectif : beaucoup d’organisations choisissent 10. Combinez-le avec des délais progressifs, la détection des robots et des signaux de risque, pour que les utilisateurs légitimes soient rarement bloqués et que les essais en ligne deviennent inutiles.

8. Stocker les mots de passe sérieusement

Les mots de passe doivent être stockés salés et hachés avec une fonction de hachage de mots de passe adaptée, avec un sel d’au moins 32 bits. Concrètement : Argon2id, scrypt, bcrypt ou PBKDF2 avec un facteur de coût élevé. Le NIST recommande aussi un « poivre » secret conservé à part de la base, pour qu’une base volée ne suffise pas à lancer le craquage.

NIST, PCI DSS et CIS : la comparaison

Si vous êtes audité sur plusieurs référentiels, vous remarquerez qu’ils ne sont pas entièrement d’accord :

Le geste le plus utile est d’imposer la MFA. Elle abaisse le minimum NIST à 8 caractères et supprime l’exigence de rotation à 90 jours de PCI DSS : il ne reste alors que la composition comme point de désaccord. Le générateur de politique montre, règle par règle, quels référentiels une configuration respecte.

Le déployer en une semaine

1. Activez d’abord la MFA, en commençant par le courriel, le VPN et les comptes administrateurs.
2. Relevez la longueur minimale à 15 pour les comptes à mot de passe seul, et acceptez 64 caractères ou plus.
3. Déployez une liste noire : Entra Password Protection pour Active Directory, les vérifications de dictionnaire de pwquality sous Linux, l’API Pwned Passwords dans vos propres applications.
4. Supprimez les règles de composition et l’expiration planifiée, et annoncez-le : c’est la partie que les utilisateurs préfèrent.
5. Autorisez le collage et les gestionnaires de mots de passe, et retirez les questions de sécurité.
6. Mettez-le par écrit : générez le document et les scripts avec le préréglage NIST.

FAQ

Le NIST autorise-t-il encore les mots de passe de 8 caractères ?

Seulement quand le mot de passe est utilisé avec un autre facteur d’authentification. Seul, un mot de passe doit compter au moins 15 caractères.

NIST SP 800-63B est-il obligatoire pour mon entreprise ?

Il est obligatoire pour les agences fédérales américaines et les organisations tenues contractuellement de le suivre. Pour les autres, il est volontaire, mais il fait largement référence et les auditeurs s’attendent de plus en plus à des politiques alignées sur lui.

Faut-il supprimer complètement l’expiration des mots de passe ?

Oui, sauf si un autre référentiel sur lequel vous êtes audité l’exige encore, comme PCI DSS pour les comptes à mot de passe seul. Gardez toujours le changement forcé après une compromission soupçonnée.

Où se situent les clés d’accès ?

Le NIST a ajouté en 2024 des lignes directrices sur les authentificateurs synchronisables comme les clés d’accès (passkeys). Elles résistent à l’hameçonnage et retirent complètement le mot de passe de l’équation : déployez-les partout où vos systèmes les prennent en charge. Lisez clés d’accès ou mots de passe.