Un mot de passe réutilisé sur trois sites, c'est une serrure unique pour trois portes. Le jour où l'une d'elles tombe, les deux autres s'ouvrent sans effraction. Vous avez sans doute lu ça cent fois. Alors pourquoi je vois encore passer, chez des clients pourtant sérieux, des mots de passe de la forme Prenom2024! collés à l'identique sur leur boîte mail, leur banque et leur compte de streaming ?
Parce que le problème n'a jamais été de savoir quoi faire. Il a toujours été de le faire sans y passer la soirée. Protéger ses mots de passe efficacement, ce n'est pas mémoriser des chaînes de trente caractères. C'est changer une habitude, une fois, et laisser la machine travailler ensuite.
Points clés à retenir
- La réutilisation est le premier vecteur d'attaque, bien avant les mots de passe faibles isolés.
- Un gestionnaire transforme un effort permanent en une configuration unique.
- La double authentification bloque la majorité des intrusions quand le mot de passe a déjà fuité.
- Les passkeys remplacent progressivement le mot de passe sur les gros services.
- Un plan de reprise (que faire si ça tourne mal) vaut mieux qu'une trousse d'outils parfaite.
- Le post-it sous le clavier reste moins dangereux qu'un mot de passe identique partout. Oui, vraiment.
Pourquoi veut-on voler vos mots de passe, et comment on s'y prend
Rien de mystérieux. Un identifiant de messagerie se revend, parfois quelques euros, parfois beaucoup plus selon ce qu'il donne accès. Le reste, ce sont des moyens.
Les quatre attaques que vous croiserez réellement
- Hameçonnage : un faux site de connexion imite à s'y méprendre l'original, vous tapez votre mot de passe, il part chez l'attaquant.
- Bourrage d'identifiants : on prend une base volée ailleurs et on la rejoue sur cinquante services, en espérant que votre mot de passe soit le même partout.
- Force brute : on teste méthodiquement toutes les combinaisons. Redoutable sur un mot de passe court, quasi inutile sur un long.
- Enregistreur de frappe : un petit programme installé sur votre machine note tout ce que vous tapez, y compris au clavier.
C'est le deuxième qui fait le plus de dégâts, et de loin. Parce qu'il ne demande aucune compétence technique. Il suffit de télécharger une liste.
Le test qui fait mal
Prenez votre adresse mail principale. Tapez-la sur un service de vérification de fuites. Je l'ai fait pour la mienne il y a deux ans, convaincu d'être propre. Résultat : onze fuites, dont deux où le mot de passe était en clair dans la base exposée. Onze. Sur une adresse que j'utilise depuis longtemps, c'est presque statistique. L'important n'est pas le chiffre, c'est ce qu'on en fait.
Changer de méthode plutôt que forcer sur la mémoire
La vérité inconfortable : le meilleur mot de passe du monde ne sert à rien si vous le réutilisez. Zéro. Le vrai indicateur, ce n'est pas la complexité, c'est l'unicité.
Pourquoi il faut arrêter d'essayer de tout retenir
Le cerveau humain n'est pas conçu pour mémoriser quarante chaînes aléatoires distinctes. C'est exactement pour ça que les gens finissent par réutiliser, ou par ajouter un « ! » à la fin en croyant améliorer les choses. Ce « ! » n'apporte rien face à un dictionnaire d'attaque moderne.
Donc on délègue. Un gestionnaire de mots de passe génère, stocke et remplit à votre place. Vous ne retenez plus qu'une seule chose : le mot de passe principal du coffre.
La phrase de passe, pas le mot de passe
Pour ce mot de passe maître, oubliez la recette classique. Enchaînez plutôt quatre ou cinq mots sans lien entre eux. Quelque chose comme cheval-bleu-tulipe-grille-orage. Long, facile à retenir, et bien plus résistant qu'une suite de symboles que vous serez obligé d'écrire.
Une nuance importante : pour votre coffre, ce mot de passe maître ne doit exister nulle part d'autre. Ni sur la banque, ni dans un carnet. C'est la clé de voûte.
Comment choisir un coffre-fort de mots de passe
Franchement, la plupart se valent sur le papier. Ce qui tranche, c'est votre usage et votre tolérance au nuage.
| Critère | Ce qu'il faut regarder | Pourquoi ça compte |
|---|---|---|
| Modèle | Local d'abord ou synchronisé | Le cloud est plus pratique, le local plus discret |
| Code source | Ouvert vérifiable ou propriétaire | Un code ouvert se fait auditer par n'importe qui |
| Chiffrement | Dérivation de clé robuste côté appareil | Le serveur ne doit jamais voir vos données en clair |
| Reprise | Export et sauvegarde possibles | Un coffre fermé est une prison si l'éditeur disparaît |
| Coût | Gratuit suffisant ou abonnement | Le gratuit couvre déjà la quasi-totalité des besoins |
Le gratuit est-il suffisant ?
Oui, dans la grande majorité des cas. Les offres gratuites synchronisent entre vos appareils et génèrent des mots de passe sérieux. L'abonnement paie surtout du partage familial, du stockage de documents ou de l'historique avancé. Si vous êtes seul, restez sur la version gratuite et gardez l'argent pour autre chose.
Local ou cloud ?
Le débat revient sans cesse. Un coffre purement local, que vous hébergez et synchronisez vous-même, vous donne un contrôle total. En contrepartie, vous gérez les sauvegardes, et si vous perdez le fichier, vous perdez tout.
Un coffre en ligne, lui, dépend de la confiance que vous accordez à l'éditeur. Le bon critère : est-ce que la clé de déchiffrement reste sur votre appareil ? Si oui, l'éditeur ne peut rien lire, même s'il le voulait.
La mise en place, étape par étape, sans y passer la nuit
Comptez une bonne heure, une seule fois. Après, c'est de l'entretien.
- Installez le gestionnaire et créez un mot de passe maître qui respecte la règle de la phrase de passe.
- Activez la double authentification sur le coffre lui-même. Un coffre sans 2FA est une porte sans verrou.
- Commencez par vos trois comptes critiques : messagerie principale, banque, espace professionnel.
- Laissez le gestionnaire générer un mot de passe unique de vingt caractères ou plus pour chacun.
- Remplacez progressivement le reste, un compte par jour, sans pression.
- Exportez une sauvegarde chiffrée et rangez-la hors ligne.
La sauvegarde hors ligne, personne ne la fait. C'est le seul point où je vois mes clients se faire piéger. Une clé USB dans un tiroir, c'est cinq minutes de travail.
La double authentification, la vraie barrière
Même si votre mot de passe fuit, la 2FA bloque l'intrus à l'étape suivante. Une application dédiée vaut mieux qu'un SMS, qui peut être intercepté par échange de carte SIM. Une clé physique, elle, reste la référence quand vous en avez une.
Tous les comptes ne méritent pas le même soin
Traiter quarante comptes avec la même rigueur, c'est s'épuiser pour rien. Hiérarchisez.
- Banque et messagerie : mot de passe unique long, 2FA obligatoire, jamais partagé.
- Réseaux et boutiques : unique aussi, mais une 2FA « normale » suffit.
- Forums et services jetables : un mot de passe unique généré, rien de plus.
La messagerie principale mérite le plus grand soin de tous. C'est elle qui réinitialise tout le reste. Si quelqu'un la contrôle, il contrôle vos autres comptes.
Partager un mot de passe, la fausse bonne idée
Dans un contexte professionnel, on partage parfois un même accès. Mauvaise pratique : plus personne ne sait qui a fait quoi, et retirer quelqu'un devient impossible. Les gestionnaires sérieux proposent un partage chiffré, où la personne voit le mot de passe sans jamais vraiment le connaître, et où l'accès se révoque en un clic.
Que faire quand un mot de passe fuite
Ça arrivera. La question n'est pas si, mais quand.
Le protocole en quatre gestes
- Changez le mot de passe du compte concerné, immédiatement.
- Changez aussi partout où ce mot de passe figurait, même partiellement modifié.
- Déconnectez les sessions actives : la plupart des services permettent de tout révoquer d'un coup.
- Vérifiez les paramètres du compte : adresse de récupération, numéro, appareils connectés. Un intrus laisse souvent une porte dérobée.
Faites-le dans la journée. Ce que je vois, c'est que le doublon d'un mot de passe compromis, utilisé ailleurs, c'est ce qui transforme un incident mineur en semaine noire.
Les passkeys, et l'avenir sans mot de passe
On en parle de plus en plus, et pour une fois ce n'est pas du vent. Le principe : une paire de clés, dont une reste sur votre appareil et l'autre se présente au service. Aucun mot de passe à voler, donc rien à réutiliser, rien à hameçonner.
En pratique, ça change la donne sur les gros services grand public. Sur la plupart des comptes marginaux que vous utilisez, le déploiement traîne encore. Mon conseil : activez le passkey quand on vous le propose, mais gardez votre coffre et votre 2FA comme filet de sécurité. On est dans une période hybride, et ce n'est pas près de s'arrêter.
Ce qui reste quand tout le reste change
Rien de tout ça n'est compliqué. C'est long, oui. Mais si vous devez ne retenir qu'une seule chose de tout cet article, ce sera celle-ci : le vrai danger, ce n'est pas la longueur de vos mots de passe. C'est le fait qu'ils soient identiques. Un mot de passe réutilisé, même long, même avec un symbole, reste une porte unique pour plusieurs maisons.
Le jour où l'on frappe à l'une d'elles, c'est tout qui s'écroule. Alors installez le coffre, prenez une heure, et n'y pensez plus. Ce n'est pas un projet technique, c'est une fondation. Et c'est celle que personne ne refera si vous la posez bien.
