Mots de passe forts et gestionnaires de mots de passe : guide pratique

Créer des mots de passe forts est l'un des moyens les moins coûteux et les plus efficaces de protéger vos comptes. Pourtant, la plupart d'entre nous réutilisent encore les mêmes quelques mots de passe sur des dizaines de sites. Ce guide explique à quoi ressemble un bon mot de passe, pourquoi chaque compte doit en avoir un différent, et comment un gestionnaire de mots de passe vous décharge de la mémorisation.

Qu'est-ce qui rend un mot de passe fort ?

Un mot de passe fort est difficile à deviner, n'est utilisé nulle part ailleurs et n'est jamais partagé. Le facteur le plus important n'est pas la complexité, mais la longueur. Un mot de passe comme « P@ssw0rd! » paraît compliqué, mais il est court et suit des schémas que tout le monde connaît. Une longue phrase formée de mots sans rapport entre eux est à la fois plus sûre et plus facile à retenir.

Une règle pratique :

• Rendez-le long. Visez au moins 14 à 16 caractères, et davantage pour les comptes importants.
• Rendez-le aléatoire. Évitez les dates de naissance, les noms d'animaux, les noms d'équipe ou les numéros de téléphone : tout ce que vos proches pourraient deviner.
• Rendez-le unique. Chaque compte doit avoir un mot de passe totalement différent des autres.
• Évitez les astuces prévisibles. Ajouter « 1 » à la fin, remplacer des lettres par des chiffres ou utiliser des suites comme « 123456 » ne trompe personne.

La méthode de la phrase de passe

Pour les quelques mots de passe que vous devez mémoriser (par exemple le mot de passe principal de votre gestionnaire et celui de votre e-mail), une phrase de passe de quatre ou cinq mots aléatoires fonctionne bien. Choisissez réellement les mots au hasard, et non dans un poème ou une chanson. Utilisez des dés ou un générateur intégré à un gestionnaire de mots de passe si vous en avez la possibilité. Ajouter un séparateur et un ou deux chiffres suffit.

Pourquoi ne faut-il pas réutiliser les mots de passe ?

Le plus grand risque lié aux mots de passe n'est pas leur faiblesse, mais leur réutilisation. Lorsqu'un service subit une fuite de données, les couples e-mail et mot de passe qui ont fuité sont testés sur d'autres sites. Si vous avez utilisé un même mot de passe à plusieurs endroits, une seule fuite les met tous en danger. Vos comptes de réseaux sociaux, de messagerie, de banque et d'achats devraient donc chacun avoir le leur.

Votre compte e-mail est le plus critique, car la plupart des services y envoient le lien « mot de passe oublié ». Quelqu'un qui accède à votre e-mail peut souvent trouver un moyen d'entrer dans vos autres comptes. Donnez à votre e-mail un mot de passe unique et long, et activez la vérification en deux étapes.

Qu'est-ce qu'un gestionnaire de mots de passe et pourquoi est-il utile ?

Un gestionnaire de mots de passe conserve tous vos mots de passe dans un coffre chiffré et les remplit au besoin. Vous retenez un seul mot de passe principal fort, et le coffre s'occupe du reste. Voici ce qu'il vous apporte :

1. Génération de mots de passe uniques. Il crée un mot de passe long et aléatoire pour chaque compte, que vous n'avez jamais besoin de retenir.
2. Remplissage automatique. Il ne remplit les mots de passe que sur la bonne adresse, ce qui agit aussi comme une alerte contre les fausses pages de connexion. Si le gestionnaire ne propose pas de remplir, considérez-le comme un signal d'alerte.
3. Synchronisation. Vous accédez au même coffre sur votre téléphone, votre tablette et votre ordinateur.
4. Rapports sur les mots de passe faibles et réutilisés. De nombreux gestionnaires signalent les mots de passe faibles, anciens ou dupliqués.
5. Notes sécurisées. Les codes de récupération, les notes privées et les données de carte peuvent être conservés dans le même coffre.

Quel type choisir ?

| Option | Avantages | Points de vigilance |
|---|---|---|
| Gestionnaire intégré au navigateur | Aucune installation supplémentaire, simple d'utilisation | Dépend fortement de la sécurité de l'appareil et du compte ; le transfert des données entre navigateurs peut être limité |
| Gestionnaire autonome | Fonctionne sur toutes les plateformes, propose des fonctions supplémentaires | Vous ne devez pas oublier le mot de passe principal et devez configurer des options de récupération |
| Coffre hors ligne (local) | Les données restent uniquement sur votre appareil | Les sauvegardes et la synchronisation relèvent de votre responsabilité |

Quel que soit votre choix, vérifiez que le produit est mis à jour régulièrement et qu'il explique comment il gère le chiffrement.

Passer à un gestionnaire de mots de passe étape par étape

Vous n'êtes pas obligé de changer tous vos mots de passe en une journée. Suivez cet ordre :

1. Choisissez un gestionnaire de mots de passe et définissez un mot de passe principal long et unique. Ne l'utilisez jamais pour autre chose.
2. Notez les informations de récupération (une clé ou un code de récupération) sur papier et conservez-les en lieu sûr. Si vous oubliez le mot de passe principal, la plupart des gestionnaires ne pourront pas vous aider.
3. Activez la vérification en deux étapes pour le gestionnaire lui-même. Pour comparer les options, consultez notre article sur les méthodes de vérification en deux étapes.
4. Remplacez les mots de passe par des mots de passe générés, en commençant par l'e-mail, puis la banque, les réseaux sociaux et les achats.
5. Reprenez progressivement les comptes plus anciens. Supprimer les comptes que vous n'utilisez plus réduit aussi votre exposition.

Erreurs courantes

• Garder ses mots de passe dans les notes du navigateur, du téléphone ou dans un fichier texte. Si l'appareil est compromis, tout est exposé.
• Envoyer ses mots de passe par e-mail ou message à soi-même. Ces messages peuvent rester dans une archive pendant des années.
• Modifier un mot de passe en ajoutant simplement un chiffre à la fin.
• Utiliser des mots de passe du dictionnaire formés d'un seul mot.
• Donner de vraies réponses aux questions de sécurité. Des informations comme le nom de jeune fille de votre mère se trouvent souvent sur les réseaux sociaux. Utilisez plutôt des réponses aléatoires enregistrées dans votre coffre.
• Enregistrer ses mots de passe sur un appareil partagé. N'utilisez pas « se souvenir de moi » sur les ordinateurs publics.

Un mot de passe seul ne suffit pas

Même le meilleur mot de passe peut fuir un jour. C'est pourquoi vous devez ajouter une seconde couche : la vérification en deux étapes. Un code SMS vaut mieux que rien, mais une application d'authentification ou une clé de sécurité est plus résistante. Les passkeys, qui permettent une connexion sans mot de passe, se généralisent également.

Si vous vous inscrivez à un service uniquement pour l'essayer, ou pour une inscription ponctuelle, vous n'avez pas à donner votre vrai numéro de téléphone. Un numéro virtuel vous permet de recevoir le code de vérification sans partager le vôtre. Gardez à l'esprit que les numéros virtuels sont à usage unique : si vous comptez garder le compte, ajoutez un gestionnaire de mots de passe, une adresse e-mail de récupération et la vérification en deux étapes. Certaines plateformes peuvent restreindre les numéros virtuels, et vous devez toujours respecter les conditions d'utilisation de chaque plateforme. Vous pouvez consulter les options actuelles sur notre page tarifaire.

Questions fréquemment posées

Un gestionnaire de mots de passe n'est-il pas un point de défaillance unique ?

C'est une préoccupation légitime. C'est pourquoi vous devez garder un mot de passe principal long, activer la vérification en deux étapes et conserver les informations de récupération hors ligne. C'est en général bien plus sûr que de dépendre de mots de passe faibles et réutilisés.

À quelle fréquence dois-je changer mes mots de passe ?

Vous n'avez pas besoin de changer tous vos mots de passe selon un calendrier. Un mot de passe fort et unique n'a pas à changer tant que vous ne soupçonnez pas une fuite. Changez-le immédiatement si un service signale une violation de données ou si vous remarquez une activité inhabituelle.

Noter ses mots de passe dans un carnet est-il sûr ?

Un carnet papier rangé chez vous est hors de portée de la plupart des attaques en ligne, mais il peut être perdu. Garder quelques éléments critiques sur papier, comme le mot de passe principal et la clé de récupération, est raisonnable. Y noter tous vos mots de passe n'est pas pratique.

Enregistrer les mots de passe dans le navigateur suffit-il ?

C'est mieux que de ne rien enregistrer, mais cela dépend de la sécurité de votre appareil et du compte de votre navigateur. Activez un verrouillage d'écran et la vérification en deux étapes sur le compte. Si vous voulez davantage de fonctions, envisagez un gestionnaire autonome.