Un lecteur m'a écrit la semaine dernière. Il avait reçu une alerte de connexion suspecte sur sa boîte mail perso, à 3 h du matin, depuis une ville qu'il n'a jamais visitée. Il a changé son mot de passe dans la panique. Puis il a réalisé un truc : c'était le même code qu'il utilisait sur onze autres sites. Onze. Il a passé sa soirée à tout modifier, un par un, en essayant de se souvenir où il avait bien pu créer un compte.
Cette scène résume à peu près tout ce qui ne marche pas dans notre façon de protéger nos mots de passe. On connaît la théorie. On ne l'applique presque jamais. Et le pire, c'est que les conseils qu'on lit partout nous poussent parfois dans la mauvaise direction.
Je gère une bonne trentaine de comptes en ligne, entre le boulot, la banque, les outils internes et mes projets perso. Pendant deux ans, j'ai fait n'importe quoi. Je vais vous raconter ce qui a changé concrètement, les erreurs que j'ai commises, et les méthodes qui tiennent sur la durée. Parce que protéger ses mots de passe, ce n'est pas retenir des codes par cœur : c'est mettre en place un système qui travaille à votre place.
Points clés à retenir
- La réutilisation d'un même mot de passe reste le premier facteur de compromission, bien avant la « faiblesse » du code lui-même.
- Un mot de passe long (phrase de passe) vaut mieux qu'un code court bourré de caractères spéciaux impossibles à mémoriser.
- Le gestionnaire de mots de passe n'est pas un luxe : c'est la seule méthode qui rend l'unicité tenable au quotidien.
- La double authentification (2FA) bloque la quasi-totalité des attaques par vol d'identifiants, même quand le mot de passe a fuité.
- Après une fuite, l'ordre de rotation compte : on change d'abord la boîte mail, ensuite les comptes critiques.
- Les recommandations officielles (ANSSI, CNIL) ont abandonné la vieille règle du « 8 caractères avec majuscule, chiffre et symbole ».
Ce que disent vraiment les recommandations officielles (et pourquoi on nous a menti)
Pendant des années, on nous a seriné la même formule : minimum 8 caractères, une majuscule, un chiffre, un caractère spécial. Résultat ? Tout le monde a fini par produire le même type de mot de passe : Motdepasse1!, Été2024*, Prenom123$.
Ces codes sont longs sur le papier. Ils tombent en quelques secondes dans la réalité. Les attaquants le savent parfaitement : leurs outils testent d'abord les variantes de mots du dictionnaire enrichies de chiffres et de symboles aux positions classiques.
La règle moderne : longueur plutôt que complexité
Les organismes officiels français ont fini par changer de discours. L'ANSSI et la CNIL recommandent aujourd'hui de privilégier la longueur et l'imprévisibilité d'un mot de passe. Concrètement, pour les comptes sensibles, on parle d'un minimum de 12 caractères, et on monte volontiers plus haut quand l'usage le permet. Bien plus important : la non-réutilisation est devenue le critère central.
Pourquoi ce revirement ? Parce qu'un mot de passe de 12 caractères vraiment aléatoires est statistiquement bien plus solide qu'un joyeux mélange de 9 caractères « complexes » mais prévisible. Et surtout, parce qu'un code unique par service rend le vol d'une base de données presque inoffensif pour vous.
La phrase de passe : l'astuce à mémoriser
Une phrase de passe, c'est quatre ou cinq mots sans lien apparent entre eux. Par exemple : girafe-tuyau-orage-17-nuage. C'est long. C'est retenu en trois répétitions. Et pour un outil de cassage qui teste des milliards de combinaisons, c'est une barrière autrement plus haute qu'un P@ssw0rd!.
Je l'utilise pour les rares codes que je dois réellement garder en tête : ma session d'ordinateur, mon coffre-fort principal. Pour tout le reste, c'est le gestionnaire qui s'en occupe. On y vient.
Le gestionnaire de mots de passe est-il vraiment fiable ?
Question qu'on me pose à chaque fois. Et la réponse honnête, c'est : oui, mais pas n'importe lequel, et pas sans précautions.
Le principe est simple. Vous retenez un seul mot de passe maître. L'outil génère et stocke tous les autres, aléatoires, uniques, différents pour chaque site. Votre navigateur ou votre appli les remplit automatiquement.
Les vraies limites à connaître
- Le volet centralisation : tous vos identifiants au même endroit. Si le mot de passe maître fuite, la maison s'effondre. C'est le vrai point faible.
- Le facteur confiance : vous confiez vos secrets à un éditeur. Un gestionnaire local, dont vous détenez le fichier chiffré, élimine ce risque mais demande plus de rigueur.
- La dépendance à l'appareil : perdre son téléphone sans sauvegarde ni code de secours, c'est se retrouver enfermé dehors.
- Le coût, quand on veut synchroniser plusieurs appareils et partager un coffre familial.
Dans mon cas, j'ai commencé par tester un gestionnaire gratuit intégré au navigateur. Ça a tenu six mois, jusqu'au jour où j'ai changé d'ordinateur et découvert que la synchronisation n'avait pas suivi. J'ai tout perdu. J'ai basculé vers un outil dédié avec export chiffré, et surtout j'ai régénéré la totalité de mes codes par précaution.
Gratuit ou payant : ce qui change vraiment
La question du gestionnaire de mots de passe gratuit revient souvent, notamment en France où l'on cherche des solutions hébergées localement. Voici ce que j'ai constaté en comparant les options que j'ai testées personnellement.
| Type d'outil | Ce qu'il fait bien | Sa limite |
|---|---|---|
| Gestionnaire intégré au navigateur | Gratuit, zéro installation, remplissage automatique | Peu de contrôle, dépendant du compte lié, faible partage |
| Gestionnaire gratuit en ligne | Synchro multi-appareils, génération forte, gratuit | Fonctions avancées souvent payantes, données chez un tiers |
| Gestionnaire open source local | Vous gardez le fichier chiffré, code auditable | Mise en place plus technique, synchro à gérer soi-même |
| Coffre-fort d'entreprise | Gestion par équipe, journal d'audit, politiques d'accès | Réservé au contexte pro, déploiement plus lourd |
Mon avis, que j'assume : pour un usage personnel, un gestionnaire gratuit de confiance fait le job. Pour un usage professionnel avec plusieurs personnes, le coffre d'entreprise devient vite nécessaire. Le reste, c'est du confort.
Comment vérifier si ses mots de passe ont fuité (et quoi faire ensuite)
Il existe un service public très pratique : Have I Been Pwned. Vous tapez votre adresse e-mail, et il vous indique sur quels sites connus elle est apparue dans une fuite de données. C'est gratuit et ça prend dix secondes.
J'ai fait le test pour un vieux compte perso. Bilan : présent dans trois fuites différentes, dont une datant de plusieurs années. Je n'avais jamais rien changé. Franchement, je l'avais oublié, ce compte.
Dans quel ordre changer ses mots de passe ?
Beaucoup de gens changent d'abord le site concerné et gardent le reste pour plus tard. C'est l'inverse qu'il faut faire. L'ordre qui m'a servi :
- La boîte mail principale. C'est la clé de tout : c'est là qu'arrivent les liens de réinitialisation des autres services.
- Le gestionnaire de mots de passe lui-même, si vous en utilisez un.
- Les comptes financiers : banque, paiement en ligne, impôts.
- Les réseaux et comptes professionnels qui donnent accès à des données sensibles.
- Le reste, tranquillement, sans stress.
Et on active la double authentification partout où c'est possible, en priorité sur la messagerie.
Double authentification : la couche qui change tout
Voici le point que je regrette de ne pas avoir appliqué plus tôt. Avec le 2FA activé, un mot de passe volé ne suffit plus à ouvrir votre compte. Le pirate a besoin du second facteur, un code temporaire ou une validation sur votre téléphone.
Important à savoir : le 2FA par SMS reste utile mais vulnérable au détournement de carte SIM. Quand c'est disponible, une application d'authentification ou une clé physique, c'est mieux. J'ai basculé tous mes comptes critiques sur une appli d'authentification, et je n'ai plus jamais eu à me soucier d'un SIM swap.
Comment gérer ses mots de passe au travail et en télétravail ?
Le télétravail a déplacé un vrai problème dans nos salons. Sur un poste pro, on ne stocke pas ses identifiants dans son navigateur perso. La bonne pratique côté entreprise : un coffre-fort partagé, une politique claire, et si possible du SSO pour ne pas multiplier les connexions.
Côté salarié, quelques réflexes : ne jamais réutiliser un mot de passe perso pour un outil pro, ne pas écrire de code dans un fichier non chiffré, et signaler immédiatement à l'IT toute alerte de connexion étrange. Une petite remarque au service informatique coûte trente secondes. Un compte compromis coûte des semaines.
Les pièges qui ruinent tout (et que personne ne signale)
Certaines habitudes sabotent tous vos efforts, même les plus méticuleux. Je les vois revenir sans cesse.
- Le post-it sur l'écran, ou le fichier motsdepasse.txt sur le bureau. Sourire jaune.
- Le partage d'un compte avec quelqu'un, « juste pour dépanner ». Une faille qui ne se referme jamais vraiment.
- Les questions de sécurité avec des réponses vraies et devinables : le nom de votre chien est sur vos réseaux.
- Les mises à jour retardées. Un navigateur non à jour annule une partie de vos protections.
- Le mot de passe maître trop court ou réutilisé ailleurs. La base de tout s'écroule ici.
Dans mon entourage, le cas le plus fréquent reste la connexion automatique sur un ordinateur partagé. Pratique. Dangereux dès que quelqu'un d'autre s'assoit devant.
La sécurité n'est pas un marathon du dimanche
Je ne vais pas vous vendre une méthode miracle. La vérité, c'est que la protection des comptes se joue sur trois gestes simples : des mots de passe uniques, un gestionnaire qui les retient à votre place, et la double authentification partout où c'est possible.
Vous n'avez pas besoin de tout changer ce soir. Commencez par votre messagerie principale, activez le 2FA, installez un gestionnaire de confiance. Le reste suivra, un compte après l'autre, sans panique.
La semaine dernière, le lecteur dont je vous parlais m'a renvoyé un message. Il avait fini de tout régénérer. Douze sites, une soirée, deux heures de travail. Il m'a écrit cette phrase que je trouve juste : « J'aurais dû faire ça il y a cinq ans, ça m'aurait pris le même temps. » Cinq ans de risque pour deux heures de correction. Le calcul est vite fait.
