Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

Comment créer un mot de passe sécuritaire ?

Recommendations Par Eric Rousseau · 2 avril 2022 · Mis à jour le 31 octobre 2026 · 7 min de lecture
Livre et téléphone attachés par une chaîne cadenassée sur un ordinateur portable
En bref

Visez au moins 12 caractères, un mot de passe unique par compte et un gestionnaire qui retient tout, sauf vos deux phrases de passe.

Un mot de passe sécuritaire est long (au moins 12 caractères, ou une phrase de passe d’au moins 4 mots et 15 caractères), unique pour chaque compte, et impossible à deviner à partir de ce qu’on sait de vous. La méthode la plus simple pour y arriver sans rien mémoriser : un gestionnaire de mots de passe qui génère et retient tout, protégé par une seule phrase de passe que vous connaissez par cœur. Pour un service de garde, c’est la base sur laquelle reposent toutes les autres mesures de sécurité.

Cadenas de laiton fermé sur une grille blanche

Un bon mot de passe est long, unique et impossible à deviner ; un gestionnaire fait le reste.

Ce que recommande le Centre canadien pour la cybersécurité

La publication Pratiques exemplaires de création de phrases de passe et de mots de passe (ITSAP.30.032), mise à jour en février 2024, tient en quelques règles :

  • Un mot de passe devrait compter au moins 12 caractères.
  • Une phrase de passe devrait compter au moins 4 mots et 15 caractères ; elle est plus facile à retenir et plus longue, donc plus difficile à casser.
  • Pas de mot facile à deviner, d’expression courante, de renseignement personnel (nom de l’enfant, de l’animal, date de naissance, nom du CPE).
  • Jamais le mot de passe attribué par défaut par un fournisseur (routeur, caméra, logiciel).
  • Jamais un mot de passe apparu dans une fuite de données connue.

Le Centre suggère aussi une astuce pour un mot de passe complexe mais mémorisable : prendre la première lettre de chaque mot d’une phrase personnelle. « Le numéro de mon chandail de soccer était le 27! » devient « L#dmcdsel27! ». C’est la même logique que l’exemple repris dans la foire aux questions plus bas, et elle reste valable pour le ou les deux mots de passe que vous devez absolument connaître par cœur.

Pourquoi la longueur compte plus que la complexité

Les pirates ne devinent pas vos mots de passe à la main. Ils utilisent des programmes qui testent des millions de combinaisons par seconde à partir de dictionnaires, de listes de mots de passe fuités et de variations courantes (majuscule au début, « 123 » ou « ! » à la fin). Un mot de passe de 8 caractères, même avec un chiffre et un symbole, tombe vite. Chaque caractère ajouté multiplie le travail. Quatre mots sans lien entre eux, par exemple « tracteur bleuet grenier vendredi », donnent une phrase de 32 caractères facile à taper, facile à retenir et très coûteuse à casser.

Et la longueur ne sert à rien si le mot de passe est réutilisé. Selon Pensez cybersécurité, 41 % des Canadiens utilisent le même mot de passe pour plusieurs comptes et 30 % n’utilisent pas de mots de passe robustes. Au moment d’écrire ces lignes, le service Have I Been Pwned recense plus de 17,8 milliards d’adresses courriel exposées dans des fuites : si votre mot de passe a fui une fois, il sera essayé partout.

La méthode simple en trois niveaux

Niveau 1 : deux phrases de passe que vous connaissez par cœur. Une pour votre gestionnaire de mots de passe, une pour votre session d’ordinateur. Quatre mots ou plus, choisis au hasard, jamais écrits sur un papier qui traîne.

Niveau 2 : tout le reste dans le gestionnaire. Logiciel de gestion, portails gouvernementaux, banque, fournisseurs, médias sociaux. Le gestionnaire génère des mots de passe de 16 à 20 caractères aléatoires, les retient et les remplit à votre place. Le Centre canadien pour la cybersécurité donne ses conseils de sécurité sur les gestionnaires de mots de passe (ITSAP.30.025) : choisir un outil qui chiffre les données de façon que le fournisseur lui-même ne puisse pas les lire, activer l’authentification multifacteur et prévoir un plan de récupération en cas de panne.

Niveau 3 : la double authentification sur les comptes critiques. Courriel, logiciel de gestion, banque. Même si un mot de passe fuit, le pirate n’a pas votre téléphone.

Un exemple concret dans une garderie

Imaginons une garderie de 50 places à Québec. La directrice utilise « Garderie2019! » pour le logiciel de gestion, le courriel et le site de commandes de matériel. Un fournisseur de matériel se fait pirater ; la liste des clients avec mots de passe se retrouve en vente. Trois jours plus tard, quelqu’un se connecte au courriel de la garderie depuis l’étranger, lit les échanges avec les parents et envoie à vingt familles une « nouvelle procédure de paiement » avec un faux compte bancaire. Deux parents paient avant que la fraude soit découverte. Dans la version où la directrice a suivi la méthode en trois niveaux, le mot de passe fuité n’ouvre que le site de commandes, où il n’y a rien à voler, et le courriel, protégé par un mot de passe unique et une double authentification, reste fermé. Une après-midi de mise en place contre deux familles fraudées et un incident à déclarer.

Ce que ça change pour votre service de garde

  1. Choisissez et déployez un gestionnaire de mots de passe cette semaine. Les offres pour petites équipes coûtent généralement de 0 à quelques dollars par utilisateur par mois. Commencez par la direction et l’administration ; une demi-journée suffit pour transférer les comptes principaux.
  2. Créez vos deux phrases de passe par cœur. Quatre mots ou plus, au hasard, sans lien avec le milieu ni avec votre famille. Testez-les une dizaine de fois le premier jour pour les ancrer. Quinze minutes.
  3. Remplacez les mots de passe des comptes critiques en premier. Courriel, logiciel de gestion, banque, paie, portails du ministère de la Famille. Mots de passe générés, uniques, 16 caractères et plus. Un compte par jour pendant deux semaines.
  4. Changez tous les mots de passe par défaut. Routeur Wi-Fi, caméras, imprimante réseau, système d’alarme. Ces mots de passe d’usine sont publiés sur Internet. Une heure.
  5. Activez la double authentification sur le courriel, le logiciel de gestion et la banque. Dix minutes par compte, inclus dans les abonnements.
  6. Adoptez une règle écrite : un compte par personne. Fini le compte « educatrices » partagé par toute l’équipe avec un seul mot de passe. Chaque personne a ses accès, et ils sont retirés le jour de son départ. À inscrire dans la politique de sécurité ; une page, une heure.
  7. Vérifiez une fois par année avec Have I Been Pwned. Entrez les adresses du milieu, changez les mots de passe des comptes touchés, et profitez-en pour faire le ménage des comptes inutilisés. Trente minutes par année.

Sources

Foire aux questions

Comment savoir si mon mot de passe est sécuritaire?

Il compte au moins 12 caractères (ou 4 mots et 15 caractères pour une phrase de passe), ne contient aucun renseignement personnel ni mot courant, n’est pas un mot de passe par défaut et n’est jamais apparu dans une fuite de données connue, selon le Centre canadien pour la cybersécurité.

Quoi faire pour retenir plusieurs mots de passe complexes?

Vous n’en retenez que deux : celui du gestionnaire de mots de passe et celui de votre session. Pour ceux-là, prenez la première lettre de chaque mot d’une phrase personnelle, comme « 40bddg44! » pour « 40 bienfaits d’être directeur général à 44 ans ! ». Le gestionnaire génère et retient tous les autres.

Est-ce que je dois utiliser le même mot de passe partout?

Non. Si un mot de passe fuit chez un fournisseur, les pirates l’essaient automatiquement sur votre courriel, votre logiciel de gestion et votre banque. Un mot de passe distinct pour chaque compte, plus la double authentification sur les comptes critiques, limite les dégâts à un seul service.

À lire aussi

Étiqueté , ,