Mots de passe : la méthode simple pour des comptes vraiment sécurisés

Le mot de passe reste la première barrière qui protège votre messagerie, vos réseaux sociaux, vos achats en ligne et vos comptes bancaires. C'est aussi, trop souvent, le maillon le plus faible. La plupart des piratages ne reposent pas sur un exploit informatique sophistiqué, mais sur des mots de passe trop courts, trop évidents ou réutilisés d'un site à l'autre. La bonne nouvelle, c'est que se protéger correctement ne demande ni compétences techniques ni budget : quelques gestes simples, appliqués une bonne fois, suffisent à changer de catégorie. Ce guide vous explique non seulement quoi faire, mais surtout pourquoi cela fonctionne.

L'erreur n°1 : le même mot de passe partout

Si vous utilisez le même mot de passe sur plusieurs sites, il suffit qu'un seul de ces sites soit piraté pour que tous vos comptes deviennent vulnérables. Pourquoi ? Parce que lorsqu'une base de données est dérobée, les identifiants volés (adresse e-mail et mot de passe) circulent ensuite entre les pirates, qui les testent automatiquement sur des dizaines d'autres services : banque, messagerie, réseaux sociaux, boutiques en ligne. Cette technique porte un nom, le « bourrage d'identifiants » : on rejoue en masse des couples e-mail/mot de passe déjà connus, en pariant sur le fait que beaucoup de gens réutilisent les mêmes.

La conséquence est simple : un mot de passe réutilisé, même excellent, ne vaut que la sécurité du site le moins bien protégé où vous l'avez employé. Chaque compte important mérite donc un mot de passe unique. Ainsi, une fuite sur un forum oublié ne met jamais en danger votre compte principal.

Ce qui fait un bon mot de passe

Contrairement à une idée répandue, un bon mot de passe n'est pas d'abord un mot de passe compliqué : c'est un mot de passe long. La longueur compte davantage que la présence de symboles bizarres. Un mot de passe court truffé de caractères spéciaux comme « P@ss1 ! » reste bien plus facile à casser qu'une suite longue et banale. La raison est mathématique : chaque caractère supplémentaire multiplie le nombre de combinaisons possibles, et donc le temps qu'un ordinateur mettrait à toutes les essayer. Passé un certain seuil, ce temps devient tout simplement irréaliste.

La « phrase de passe » : longue et facile à retenir

C'est là qu'intervient la « phrase de passe ». L'idée : au lieu d'un mot torturé et impossible à mémoriser, on assemble plusieurs mots sans lien logique entre eux, par exemple « girafe-cuivre-tempête-vélo ». Le résultat est à la fois très long (donc solide) et facile à retenir, car le cerveau humain mémorise mieux des images que des caractères aléatoires. Vous pouvez y ajouter un chiffre ou un signe de ponctuation pour renforcer l'ensemble.

Le secret est que les mots doivent être choisis au hasard et n'avoir aucun rapport entre eux. Une vraie phrase issue d'une chanson, d'un proverbe ou d'un slogan connu est bien moins sûre : les logiciels d'attaque testent en priorité les expressions courantes. Évitez surtout tout ce qui vous concerne : prénom, date de naissance, ville, nom d'un enfant, d'un conjoint ou d'un animal. Ces informations se retrouvent souvent en quelques clics sur vos réseaux sociaux.

La vraie solution : un gestionnaire de mots de passe

Un mot de passe unique et long par compte, c'est l'idéal… mais qui peut mémoriser trente phrases de passe différentes ? Personne, et c'est parfaitement normal. C'est précisément le rôle d'un gestionnaire de mots de passe.

Concrètement, il s'agit d'une application qui fait office de coffre-fort numérique. Elle génère pour vous des mots de passe longs et aléatoires, les stocke de façon chiffrée, puis les remplit automatiquement au moment de vous connecter. Vous n'avez plus qu'une seule chose à retenir : un unique mot de passe maître, le seul qui protège l'accès au coffre. Il doit donc être particulièrement solide, et vous ne devez l'utiliser nulle part ailleurs.

Le contenu du coffre est chiffré, ce qui signifie qu'il reste illisible pour quiconque n'a pas ce mot de passe maître, y compris, en principe, l'éditeur du service lui-même. Plusieurs solutions gratuites et sérieuses existent ; votre navigateur web ou votre téléphone en propose d'ailleurs souvent un, déjà intégré, qu'il suffit d'activer. L'installation demande quelques minutes, après quoi tout devient plus simple qu'avant : vous ne tapez plus vos mots de passe, vous les laissez se remplir.

Activez la double authentification

Même le meilleur mot de passe peut être intercepté : fuite de données, tentative d'hameçonnage, logiciel espion. D'où l'intérêt d'ajouter une seconde serrure. La double authentification (aussi appelée « validation en deux étapes » ou « A2F ») exige, après le mot de passe, une seconde preuve d'identité : le plus souvent un code temporaire à usage unique.

Le principe est celui de deux facteurs distincts : quelque chose que vous savez (le mot de passe) et quelque chose que vous possédez (votre téléphone, qui reçoit ou génère le code). Même si un pirate obtient votre mot de passe, il lui manquera ce second facteur, et l'accès lui sera refusé. Activez cette protection en priorité sur vos comptes les plus sensibles : messagerie principale d'abord, car elle sert souvent à réinitialiser tous les autres, puis comptes bancaires et réseaux sociaux.

Application d'authentification ou SMS ?

Le code temporaire peut arriver par SMS ou être généré par une application d'authentification dédiée. Les deux valent toujours mieux que rien, mais l'application est nettement préférable. Elle produit un nouveau code toutes les trente secondes, directement sur votre appareil, sans passer par le réseau téléphonique. Le SMS, lui, peut être détourné : un pirate déterminé peut parfois faire transférer votre numéro vers une autre carte SIM, une fraude qui vise justement à intercepter ces codes. Si un service vous propose le choix, privilégiez donc l'application d'authentification ; réservez le SMS aux sites qui n'offrent rien d'autre.

Les erreurs courantes à éviter

Quelques réflexes ruinent les meilleures intentions. Voici les pièges les plus fréquents :

• Réutiliser une variante du même mot de passe en changeant juste un chiffre à la fin : les outils d'attaque testent aussi ces variantes évidentes.
• Enregistrer ses mots de passe dans un fichier nommé « mots de passe » sur son bureau, ou les noter sur un papier laissé en évidence.
• Cliquer sur les liens reçus par e-mail pour « vérifier » un compte : c'est le mode opératoire de l'hameçonnage. Rendez-vous toujours sur le site en tapant vous-même son adresse.
• Ignorer les alertes de fuite : si un service vous signale une compromission, changez le mot de passe concerné sans attendre.
• Se connecter à des comptes sensibles depuis un ordinateur public ou un réseau Wi-Fi inconnu, où vos saisies peuvent être surveillées.
• Communiquer un code de double authentification : aucun service légitime, aucun conseiller ne vous le demandera jamais par téléphone ou par message.

Questions fréquentes

Faut-il changer ses mots de passe régulièrement ?

Non, pas systématiquement. On a longtemps conseillé de tout renouveler chaque trimestre, mais cela pousse surtout à choisir des mots de passe plus faibles et prévisibles. Mieux vaut un mot de passe long et unique que l'on ne change qu'en cas de besoin : fuite signalée, doute sur un appareil, ou compte partagé par le passé.

Un gestionnaire de mots de passe est-il vraiment sûr ?

C'est aujourd'hui l'une des meilleures options à la portée du grand public. Le coffre est chiffré et protégé par votre mot de passe maître. Le risque de tout concentrer au même endroit est très largement compensé par la fin de la réutilisation : sans gestionnaire, la plupart des gens emploient trois ou quatre mots de passe pour toute leur vie numérique, ce qui est bien plus dangereux.

Que faire si j'oublie mon mot de passe maître ?

Comme il n'est connu de personne d'autre, il ne peut généralement pas être récupéré : c'est le prix de la sécurité. Notez-le une fois dans un endroit physique sûr, ou configurez les options de récupération proposées par votre outil avant d'en avoir besoin.

Le navigateur qui propose de retenir mes mots de passe, est-ce suffisant ?

C'est déjà un bon début, bien meilleur que la réutilisation. L'essentiel est d'activer sa protection par un mot de passe ou par le déverrouillage de l'appareil, afin que quiconque met la main sur votre ordinateur ne puisse pas tout consulter d'un clic.

À retenir

Trois gestes suffisent à vous placer devant la grande majorité des internautes en matière de sécurité : un mot de passe unique et long par compte, un gestionnaire pour les retenir à votre place, et la double authentification activée sur vos comptes essentiels. Ajoutez-y de la vigilance face aux liens et aux demandes de codes, et vous aurez éliminé la quasi-totalité des risques courants. Quelques minutes d'installation, et vos comptes changent de catégorie, durablement.

Photo d'illustration : Wikimedia Commons (licence Creative Commons).