Mots de passe : ce qui suffit vraiment

Changer ses mots de passe tous les trois mois, y mélanger majuscules, chiffres et symboles, ne jamais les noter.
Ces conseils ont longtemps fait office de bonne pratique.
Résultat, des mots de passe difficiles à retenir, qu’on finit par réutiliser ou par coller sur un post-it.
Pour une entreprise comme pour un particulier, quelques mesures bien choisies protègent beaucoup mieux, et demandent moins d’efforts.

En bref

• Un mot de passe différent par service : c’est la règle qui compte le plus.
• Un gestionnaire de mots de passe retient tout à votre place, et ne vous demande de retenir qu’une seule phrase.
• La double authentification protège même quand un mot de passe a fuité.
  Activez-la d’abord sur la messagerie, la banque et les comptes d’administration.
• Les mots de passe se partagent dans un coffre, jamais par courriel, SMS ou tableur.

Pourquoi les mots de passe posent problème

Dans la grande majorité des cas, les comptes ne sont pas piratés par un génie qui devine un mot de passe. Ils le sont de façon bien plus banale :

• La réutilisation.
  Un site mal protégé se fait voler sa base d’utilisateurs. Les attaquants essaient ensuite automatiquement le même couple adresse et mot de passe sur la messagerie, la banque, les réseaux sociaux.
  Déjà plus de 1 100 fuites en France pour l’année 2026.
  Si vous utilisez le même mot de passe partout, une seule fuite suffit.
• L’hameçonnage.
  Un faux courriel de la banque ou de l’hébergeur envoie vers une page qui ressemble à l’originale.
  Le meilleur mot de passe du monde ne sert à rien si on le tape sur le mauvais site.
• Les mots de passe faibles ou prévisibles.
  Un prénom suivi d’une année, un mot du dictionnaire avec un chiffre à la fin.
  Ces schémas sont les premiers testés.

La bonne nouvelle, c’est que les mesures ci-dessous répondent à ces trois cas à la fois.

La longueur compte plus que la complexité

Un mot de passe long est plus difficile à casser qu’un mot de passe court truffé de symboles, et il se retient mieux.
Les recommandations officielles (CNIL, ANSSI) vont dans ce sens : privilégier la longueur, et abandonner le changement systématique et périodique, qui n’a d’utilité qu’après une compromission avérée ou soupçonnée.

Pour les rares mots de passe que vous devez retenir vraiment, utilisez une phrase de passe : plusieurs mots sans rapport entre eux, ou une phrase qui n’appartient qu’à vous.
Par exemple quatre ou cinq mots tirés au hasard, plutôt qu’une citation célèbre.
Évitez ce qui figure sur vos réseaux sociaux : noms des enfants, de l’animal, date de naissance.

Pour tout le reste, ne cherchez plus à retenir : laissez un gestionnaire générer des mots de passe aléatoires.

Le gestionnaire de mots de passe

C’est l’outil qui change le plus de choses.
Un gestionnaire est un coffre chiffré qui contient tous vos identifiants.

• il génère un mot de passe long et unique pour chaque service ;
• il le remplit à votre place sur le bon site, et seulement sur le bon site, ce qui limite le risque d’hameçonnage : s’il ne propose rien, c’est que l’adresse n’est pas la bonne ;
• il se synchronise entre l’ordinateur et le téléphone.

Il ne vous reste qu’un seul secret à retenir : la phrase de passe qui ouvre le coffre.
Choisissez-la longue, et ne l’utilisez nulle part ailleurs.

Quel gestionnaire choisir ?

Le plus important est d’en utiliser un.
Quelques solutions fiables, dont plusieurs sont libres :

• KeePassXC : libre et gratuit, le coffre est un simple fichier que vous gardez sur votre ordinateur et synchronisez comme vous voulez.
  Très complet, un peu plus technique.
• Bitwarden : le code est ouvert, il existe une version gratuite très correcte pour un usage personnel et des offres payantes pour les équipes.
  On peut aussi l’héberger soi-même.
• Les gestionnaires intégrés aux navigateurs : mieux que rien, mais plus limités, notamment pour le partage et pour changer de navigateur.

Dans tous les cas, sauvegardez le coffre, et conservez dans un endroit sûr la procédure de récupération, de sorte que la perte d’un téléphone ne vous coupe pas de tous vos comptes.

La double authentification

Elle ajoute une seconde preuve au mot de passe : un code, une confirmation sur le téléphone, une clé physique.
Même si un mot de passe fuite, l’attaquant ne peut pas se connecter sans ce deuxième élément.

Toutes les méthodes ne se valent pas :

1. Une clé de sécurité physique (norme FIDO2) ou une clé d’accès (passkey) : la plus solide, car elle résiste à l’hameçonnage.
2. Une application d’authentification (code à usage unique, qui change toutes les 30 secondes) : très bon compromis, gratuit, et disponible sur presque tous les services.
3. Le SMS : plus faible, car un numéro peut être détourné, mais bien meilleur que pas de double authentification du tout.

Par où commencer ?

• la messagerie (qui sert à réinitialiser les mots de passe de tout le reste).
• la banque.
• le cloud.
• les réseaux sociaux.

Dans une équipe ou une association

C’est souvent là que les pratiques dérapent.
Quelques principes simples :

• Un compte par personne. Un compte partagé par tout le monde ne permet pas de savoir qui a fait quoi, ni de retirer l’accès d’une personne qui part.
• Un coffre commun pour les accès partagés (compte du site web, de la box, du réseau social).
  Les gestionnaires d’équipe permettent de donner l’accès à chacun sans que le mot de passe circule.
• Jamais de mot de passe par courriel, SMS ou dans un tableur. Si l’on doit en transmettre un, mieux vaut un lien de partage à durée limitée depuis le gestionnaire.
• Retirer les accès dès qu’une personne quitte la structure : stagiaire, bénévole, prestataire.
  C’est une cause fréquente de mauvaises surprises.
• Un compte administrateur distinct du compte de tous les jours, avec la double authentification obligatoire.

Que faire en cas de fuite ?

Si un service que vous utilisez annonce une fuite de données, ou si vous avez un doute :

1. Changez immédiatement le mot de passe sur ce service, et sur tous les autres où vous l’aviez réutilisé (avec un gestionnaire, ce sera la dernière fois).
2. Activez la double authentification si ce n’est pas déjà fait.
3. Vérifiez l’activité récente du compte : connexions, règles de redirection de la messagerie, appareils connectés.
4. Surveillez les messages suspects qui pourraient s’appuyer sur les informations volées.

Le service en ligne Have I Been Pwned, consultable gratuitement, permet de savoir si votre adresse apparaît dans des fuites de données connues.

Par où commencer, concrètement

Pas besoin de tout faire en un jour, en une soirée, vous pouvez :

1. installer un gestionnaire de mots de passe et choisir sa phrase de passe ;
2. y enregistrer les comptes les plus sensibles, avec des mots de passe nouveaux et aléatoires ;
3. activer la double authentification sur la messagerie et sur la banque ;
4. noter où se trouve la procédure de récupération.

Puis ajoutez un compte à chaque connexion : en quelques semaines, vous aurez tout migré sans effort.
Si vous préférez être accompagné, de l’installation au partage dans l’équipe, c’est un travail qui se fait en une demi-journée : n’hésitez pas à nous contacter.

Sources

• FrenchBreaches, Statistiques des fuites de données en France
• CNIL, recommandation relative aux mots de passe, juillet 2022
• ANSSI, Guide d’hygiène informatique
• Have I Been Pwned, Have I Been Pwned