Pourquoi le même mot de passe est refusé selon les sites
On tape un mot de passe solide sur son appli bancaire : accepté. On l'essaie sur un site de commerce, il est rejeté sans explication. Le même assemblage de caractères, deux réponses opposées.
La scène se répète : face à l’obligation de créer un mot de passe, chacun bricole, tente, ajuste. L’idée que « complexe, c’est mieux » se heurte à des règles invisibles, différentes selon les sites. Cette disparité éclaire un point rarement visible : la sécurité informatique n’est pas universelle. Chaque service applique ses propres critères, souvent sans explication au moment où l’utilisateur bute sur un refus. Mais cette diversité ne dit rien sur la qualité intrinsèque du mot de passe. Un code jugé solide ici peut être banni là-bas pour une raison technique ou arbitraire. L’impression de logique globale s’effondre, laissant place à une expérience parfois frustrante, où la cohérence manque.
Lucidaily publie 3 sujets comme celui-ci chaque matin.
Créer un compteRègles internes et contraintes cachées
Derrière chaque site, des règles invisibles décident. Certaines limitent la longueur du mot de passe, d’autres interdisent des caractères comme %, # ou même des espaces. Angela Sasse (University College London) a montré que ces choix visent à prévenir des attaques informatiques précises, ou à éviter des bugs dans la base de données. Le guide du NIST (SP 800-63B) détaille comment ces limites viennent de soucis techniques ou de compatibilité avec de vieux systèmes. Résultat : un mot de passe acceptable pour une banque peut être vu comme 'dangereux' ailleurs, purement à cause de la façon dont le site enregistre ou traite l’information.
Approfondir
Parfois, c’est la méthode de stockage qui impose la règle. Un ancien système peut ne gérer que 12 caractères, ou refuser certains symboles jugés risqués pour éviter des attaques par injection de code, comme l’explique le NIST.
Le mythe du mot de passe universel
Créer un mot de passe complexe donne un sentiment de sécurité transférable. Mais au moment de l’utiliser ailleurs, on se heurte à une logique propre à chaque site — pas toujours visible ni cohérente. Le mot de passe n’est pas universellement 'bon' ou 'mauvais' : il est jugé par un filtre local, parfois déconnecté de la réalité des risques.
Quand la règle devient contrainte
Plus les sites multiplient les exigences, plus l’utilisateur s’adapte par fatigue ou agacement. Angela Sasse parle de 'fatigue des mots de passe' : face à l’impossibilité de retenir des variantes, beaucoup simplifient, notent ou réutilisent, même si ce n’est pas l’intention première des règles. L’Inria (équipe Privatics) a montré en 2022 que la diversité des politiques mène justement à ces pratiques risquées, car l’utilisateur cherche avant tout à contourner l’obstacle, pas à renforcer sa sécurité.
Approfondir
Le résultat est contre-intuitif : en multipliant les barrières, certains sites poussent à une standardisation ou une simplification des mots de passe, alors même que leur objectif était l’inverse.
Sécurité idéale ou pragmatique
Certains chercheurs défendent des politiques strictes, arguant que chaque restriction ferme une brèche technique potentielle. C’est la logique du NIST : chaque site adapte ses règles à ses propres failles et contraintes. D’autres, comme Angela Sasse, insistent sur l’effet pervers : trop de contraintes mènent à des usages moins sûrs, car l’humain cherche la facilité. Le débat reste ouvert : efficacité technique locale contre sécurité globale vécue par l’utilisateur.
Un mot de passe solide ici peut être refusé là-bas : chaque site juge selon ses règles et contraintes techniques, pas une logique universelle.