Pourquoi un même mot de passe passe ici, mais pas là
On tape le même mot de passe que d’habitude pour s’inscrire sur un nouveau site. Cette fois, il refuse, sans dire pourquoi. On efface un caractère, on en rajoute un autre : soudain, ça marche.
Ce moment où un site rejette notre mot de passe habituel révèle un écart étonnant entre ce qu’on croit contrôler et ce qui dépend d’automatismes cachés. L’interface semble universelle : une case à remplir, une suite de points noirs, rien de plus simple.
Mais derrière ce masque familier, chaque site applique ses propres critères pour juger la validité d’un mot de passe. Le ressenti de blocage ne vient pas d’un mot « mauvais », mais d’un dialogue technique dont les règles changent sans prévenir. Cette logique échappe souvent à l’utilisateur, qui ne voit ni la raison du refus, ni ce qui distingue les sites entre eux.
Lucidaily publie 3 sujets comme celui-ci chaque matin.
Créer un compteFiltres, formats, et encodages
Chaque service définit sa propre recette pour accepter ou refuser un mot de passe : longueur minimale, présence d’un chiffre, exclusion de certains symboles, etc. À cette couche visible s’ajoute une autre, moins perceptible : l’encodage. Selon la façon dont le site lit et stocke le texte, le même caractère peut être vu comme différent, ou même être ignoré.
Matthew Green (Johns Hopkins) a montré que certains sites considèrent les espaces comme valides, d’autres non. Un accent, ou un caractère spécial, peuvent aussi être interprétés différemment selon la méthode utilisée en coulisse. Cette diversité rend impossible la garantie qu’un mot de passe accepté quelque part le sera ailleurs.
Approfondir
Le Security Group de l’Université de Cambridge, sous la direction de Ross Anderson, a documenté que la façon dont un système encode ou transforme les caractères (par exemple, les accents, les symboles) peut modifier la lecture du mot de passe. Il arrive qu’un site retire silencieusement un espace ou remplace un caractère accentué, ce qui fait que deux mots de passe visuellement identiques ne sont pas forcément équivalents pour la machine.
L’uniformité trompeuse des interfaces
Le formulaire du mot de passe donne l’impression d’un standard universel. Pourtant, la logique qui le pilote varie d’un site à l’autre, rendant la décision d’acceptation imprévisible. Ce qui semble un « caprice » de la machine relève en fait de choix techniques invisibles pour l’utilisateur.
Ce qui rend la règle plus ou moins stricte
Certains sites imposent des contraintes très strictes par souci de sécurité : obligation d’un caractère spécial, ou interdiction de certains symboles considérés comme risqués pour leur infrastructure. D’autres privilégient la simplicité pour limiter la frustration des utilisateurs et réduire les demandes de réinitialisation de mot de passe.
L’ANSSI (France) recommande d’éviter les restrictions inutiles, car elles poussent souvent les gens à adopter des habitudes prévisibles (comme ajouter un ‘1’ final), ce qui ne renforce pas la sécurité. Mais certains sites restent prudents, par crainte d’attaques informatiques exploitant des failles dans la gestion de caractères spéciaux.
Approfondir
Un site de banque pourra par exemple refuser les mots de passe trop longs ou comportant certains signes, pour éviter des bugs internes ou des risques liés à l’injection de code. À l’inverse, des services de messagerie proposent une palette élargie, misant sur la diversité comme gage de solidité.
Sécurité stricte ou souplesse pragmatique ?
Pour Matthew Green, limiter artificiellement les caractères disponibles n’améliore pas la sécurité, car cela encourage les utilisateurs à choisir des variantes simples et faciles à deviner. Mais certains ingénieurs avancent que chaque système a ses vulnérabilités propres, et qu’imposer des filtres spécifiques permet de se protéger contre des attaques ciblées (comme l’injection de code ou les problèmes d’encodage mal gérés).
L’ANSSI défend l’idée qu’il vaut mieux accompagner l’utilisateur vers des mots de passe longs et variés, sans contraintes trop restrictives. Mais cette ouverture suppose une infrastructure suffisamment solide pour gérer la diversité des caractères sans faille technique.
Un mot de passe accepté ou refusé dépend d’un ensemble discret de règles techniques, invisibles mais très variables d’un site à l’autre.