La plupart des comptes piratés ne le sont pas par un génie de l'informatique qui « devine » un mot de passe. Ils le sont parce que le même mot de passe a servi sur plusieurs sites, et que l'un de ces sites s'est fait voler sa base de données.
Le vrai danger : la réutilisation
Quand un site est piraté, les listes d'adresses e-mail et de mots de passe circulent. Des programmes les essaient automatiquement sur des milliers d'autres sites : messagerie, banque, réseaux sociaux, boutiques. C'est ce qu'on appelle le bourrage d'identifiants.
Conséquence : un mot de passe complexe mais réutilisé est moins sûr qu'un mot de passe moyen mais unique.
Important
La règle d'or : un mot de passe différent pour chaque compte. Personne ne peut retenir cent mots de passe différents, et c'est précisément le rôle d'un gestionnaire.
Comment fonctionne un gestionnaire de mots de passe
Un gestionnaire est un coffre-fort chiffré qui :
- génère un mot de passe long et aléatoire pour chaque site ;
- le retient à votre place ;
- le remplit automatiquement sur le bon site, et seulement sur celui-là, ce qui protège aussi contre les faux sites d'hameçonnage.
Vous n'avez plus qu'un seul mot de passe à retenir : celui du coffre, appelé mot de passe maître.
Quel gestionnaire choisir ?
| Type | Exemples | Pour qui |
|---|---|---|
| Intégré au navigateur ou au téléphone | Gestionnaire de Firefox, de Chrome, Trousseau iCloud, Google Password Manager | Pour démarrer tout de suite, si vous restez dans un seul écosystème |
| Service synchronisé multi-appareils | Bitwarden, Proton Pass, 1Password | Pour un usage sur ordinateur et téléphone, de marques différentes, et le partage en famille |
| Logiciel local, sans cloud | KeePassXC (ordinateur), KeePassDX (Android) | Pour garder la maîtrise totale du fichier, que vous synchronisez vous-même |
Les solutions open source (Bitwarden, KeePassXC) ont un code public, examiné par des experts. Tous les gestionnaires réputés chiffrent le coffre sur votre appareil : le fournisseur ne connaît pas votre mot de passe maître.
Un bon mot de passe maître : la phrase de passe
Le mot de passe maître doit être long, unique et mémorisable. La meilleure méthode est la phrase de passe : quatre à six mots choisis au hasard, par exemple avec un dé ou le générateur de votre gestionnaire.
girafe-buvard-tropique-lanterne-quinze
Elle est bien plus longue qu'un mot de passe classique, donc bien plus difficile à casser, et pourtant facile à retenir. Évitez les citations, paroles de chanson ou phrases connues : elles figurent dans les dictionnaires des attaquants.
Attention
Si vous oubliez le mot de passe maître, le fournisseur ne peut généralement pas le récupérer. Notez-le sur papier et rangez-le en lieu sûr, avec le kit de secours que proposent la plupart des gestionnaires.
Ajoutez la double authentification
La double authentification (2FA) demande une seconde preuve en plus du mot de passe : un code dans une application, une notification sur le téléphone, une clé de sécurité physique. Même si votre mot de passe fuit, le compte reste protégé.
Activez-la en priorité sur :
- votre adresse e-mail principale : c'est elle qui permet de réinitialiser tous les autres comptes ;
- votre gestionnaire de mots de passe ;
- la banque, les impôts, les réseaux sociaux, les boutiques avec carte enregistrée.
Préférez une application d'authentification ou une clé de sécurité au SMS, plus facile à détourner. Quand un site propose les clés d'accès (passkeys), vous pouvez les utiliser : elles remplacent le mot de passe et résistent à l'hameçonnage.
Votre plan pour une soirée
- Installez un gestionnaire sur l'ordinateur et le téléphone.
- Choisissez une phrase de passe maître et notez-la sur papier.
- Changez d'abord le mot de passe de votre e-mail principal, et activez la double authentification.
- Faites de même pour la banque et les comptes importants.
- Pour le reste, changez chaque mot de passe au fil de l'eau, quand vous vous connectez au site.
Astuce
Vérifiez si votre adresse a déjà été exposée dans une fuite de données sur le site Have I Been Pwned. Si oui, commencez par les comptes concernés.