Un client m'appelle un mardi matin, paniqué. Sa boîte mail pro a été piratée pendant la nuit, et le type en face a envoyé une demande de virement à son comptable. 4 800 € partis en deux heures. Quand j'ai regardé ses mots de passe, j'ai compris en trente secondes : le même, partout. Sa date de naissance collée à « 2026 ». Le comptable aussi l'utilisait. Tout le monde, d'ailleurs.
Ce n'est pas un cas isolé. C'est la norme. Et c'est réparable en une soirée, à condition d'arrêter de faire ce qu'on vous a répété depuis vingt ans. Protéger ses mots de passe, ce n'est pas retenir des suites de symboles par cœur. C'est admettre qu'on est incapable de le faire, et déléguer.
Points clés à retenir
- Un mot de passe réutilisé, c'est tous vos comptes qui tombent d'un coup le jour d'une fuite.
- La longueur bat la complexité : une phrase de passe de 4 mots aléatoires vaut mieux que « P@ssw0rd!7 ».
- Un gestionnaire de mots de passe résout 90 % du problème, à condition d'en choisir un adapté à votre cas.
- La double authentification est la seule protection qui reste utile même quand le mot de passe fuit.
- Après une fuite, il y a 4 actions précises à enchaîner, dans l'ordre.
Comment protéger ses mots de passe : la règle qui change tout
Un seul principe, et il écrase tous les autres : chaque compte a son propre mot de passe. Pas « presque le même avec un chiffre qui change ». Un vrai, unique, différent.
La raison est arithmétique. Quand un site se fait percer, sa base de données atterrit sur un forum ou dans un coin du dark web. Les attaquants ne s'arrêtent pas là. Ils prennent chaque adresse mail et chaque mot de passe volés, puis ils les testent automatiquement sur des centaines d'autres services : banque, boîte mail, réseaux sociaux, espaces client. C'est ce qu'on appelle le credential stuffing. Un robot fait ça pendant que vous dormez.
Pourquoi la complexité est un piège
On nous a vendu pendant des années le mot de passe « fort » du genre Xk7!mQ2#. Sauf que ce type de chaîne a deux défauts mortels. On ne la retient pas, donc on la note quelque part, ou on la réutilise. Et on la croit solide alors qu'elle se casse en quelques heures sur du matériel moderne, parce qu'elle est courte.
Un ordinateur grand public enchaîne des milliards de combinaisons de caractères par seconde sur un mot de passe haché avec un algorithme basique. Chaque caractère que vous ajoutez multiplie le temps nécessaire. La longueur, pas la bizarrerie des symboles, c'est ce qui vous protège.
La phrase de passe, la méthode qu'on ne vous explique jamais
Prenez quatre mots sans aucun rapport. BananeTableauChevalAncre. C'est long, c'est facile à retenir par une image mentale, et c'est nettement plus résistant qu'une suite courte et tordue. Les méthodes dites « Diceware » vont plus loin en piochant les mots dans un dé de liste, mais pour un usage quotidien, quatre mots au hasard tirés de votre tête suffisent largement.
Gardez la phrase de passe pour le seul mot de passe que vous devez vraiment connaître par cœur : celui de votre gestionnaire. Tout le reste, vous ne le verrez plus jamais.
Coffre-fort mots de passe gratuit : comment choisir sans se tromper
C'est la question qu'on me pose le plus. Et la réponse honnête, c'est : ça dépend de votre rapport à la technique et à la confiance.
Un gestionnaire de mots de passe fait trois choses. Il génère des chaînes aléatoires longues. Il les stocke dans un coffre chiffré par une clé que vous seule détenez. Et il les remplit automatiquement sur les sites, ce qui ferme la porte au phishing, puisqu'il ne remplit l'identifiant que sur le vrai domaine, jamais sur une copie.
Open source ou propriétaire ?
Le débat n'est pas idéologique, il est pratique. Un gestionnaire open source expose son code à l'inspection de n'importe qui : si une porte dérobée existait, elle aurait été publiée. Un propriétaire repose sur la réputation de l'éditeur et sur ses audits externes.
Franchement, dans les deux cas, les grands noms ont été audités. Le vrai critère de choix, c'est votre modèle de menace. Vous voulez que les mots de passe restent sur votre machine, sans jamais toucher un serveur ? Ou vous acceptez le cloud pour la synchronisation entre téléphone et ordinateur, et vous misez sur le chiffrement côté client ?
Un détail que personne ne mentionne : le service d'État français compétent en matière de cybersécurité publie ses propres recommandations et va jusqu'à financer certains outils. Si vous voulez un avis institutionnel, c'est de ce côté qu'il faut regarder.
| Type d'outil | Points forts | Points faibles | Pour qui |
|---|---|---|---|
| Coffre local open source (type KeePass) | Fichier chiffré sur votre disque, aucun serveur, gratuit | Synchronisation à bricoler soi-même, interface austère | Profils techniques, paranoïa saine |
| Coffre cloud open source | Sync multi-appareils, chiffrement côté client, gratuit | Dépend d'un compte en ligne | La grande majorité des gens |
| Gestionnaire intégré au navigateur | Déjà installé, zéro effort | Lié à un écosystème, fonctions limitées | Débutants pressés |
| Coffre propriétaire payant | Support, fonctions familiales, partage sécurisé | Abonnement, code fermé | Familles, petites structures |
Mon avis, et je le défends : pour débuter, un coffre open source qui synchronise sans effort est le meilleur compromis. Vous passez au payant plus tard si vous avez besoin de partager des accès en équipe.
Comment fonctionne un gestionnaire de mots de passe
Sous le capot, ce n'est pas magique. C'est même assez simple une fois qu'on a compris la mécanique.
Quand vous créez votre coffre, vous choisissez un mot de passe maître. L'outil le fait passer dans une fonction de dérivation, qui transforme votre phrase en une clé de chiffrement. Cette clé n'est jamais envoyée au serveur. C'est elle qui ouvre le coffre. Le serveur, lui, ne stocke que le coffre fermé.
Conséquence directe, et c'est ce qui déroute au début : si vous perdez votre mot de passe maître, personne ne peut vous le rendre. Pas même l'éditeur. Il n'a pas la clé. C'est le prix de la sécurité, et il faut l'accepter.
Le point de fragilité réel
Votre coffre ne tombera pas parce que l'algorithme est mauvais. Il tombera parce que vous vous êtes fait avoir ailleurs. Un mail « votre coffre est verrouillé, cliquez ici pour le débloquer », une extension louche installée par-dessus, une sauvegarde en clair sur un disque partagé. L'humain reste le maillon faible, toujours.
Gestionnaire de mots de passe Google : faut-il l'utiliser ?
Il est là, déjà installé, il ne coûte rien et il fait le travail de base. Sincèrement, si vous n'avez rien du tout, commencez par lui demain matin. C'est déjà infiniment mieux que le carnet ou la réutilisation.
Mais il a une limite structurelle : le coffre est rattaché à votre compte Google. Le jour où ce compte est compromis, ou simplement bloqué, vous perdez l'accès à tout le reste d'un coup. Vous mettez tous vos œufs dans la boîte de quelqu'un d'autre, et cette boîte devient la cible prioritaire.
Mon conseil : utilisez-le comme filet de secours, pas comme coffre principal. Séparez votre identité numérique de votre trousseau.
Double authentification : la couche que trop de gens ignorent
Même le meilleur mot de passe peut fuir. La question n'est donc pas « si », mais « quand ». La double authentification est la seule barrière qui tient encore debout une fois le mot de passe tombé.
Un SMS, c'est déjà mieux que rien, mais c'est contournable par échange de carte SIM ou interception. Une application d'authentification qui génère un code tournant toutes les 30 secondes, c'est plus solide. Une clé physique, c'est le sommet, et c'est ce que je réserve à mes comptes bancaires et à ma boîte mail principale.
Activez-la en priorité sur : votre messagerie principale (elle sert à réinitialiser tout le reste), votre banque, votre coffre de mots de passe, et vos comptes pro.
Que faire après une fuite de données
Le mail arrive, vous découvrez que votre adresse traîne dans une fuite. Voici ce que je fais, dans cet ordre précis.
- Changez le mot de passe du compte concerné immédiatement, avec un nouveau unique.
- Révoquez toutes les sessions actives : dans les paramètres de sécurité, déconnectez tous les appareils. Un attaquant déjà connecté reste connecté, même après un changement de mot de passe.
- Changez le mot de passe de tout autre compte qui partageait le même. Et cette fois, plus jamais de doublon.
- Vérifiez vos règles de transfert automatique dans la boîte mail. Les pirates en installent une pour continuer à lire vos messages sans se reconnecter.
J'ai fait l'erreur, une fois, de sauter l'étape de révocation des sessions. Le type est resté dans mon espace client trois semaines de plus, tranquillement.
Par où commencer ce soir
Ne cherchez pas à tout changer d'un coup, vous abandonnerez au bout de vingt minutes. Prenez vos trois comptes les plus critiques : boîte mail principale, banque, et le compte qui sert à réinitialiser les autres. Installez un gestionnaire, faites-les migrer, activez la double authentification. Le reste suivra au fil des connexions, sans effort conscient.
Dans six mois, vous ne connaîtrez plus qu'un seul mot de passe par cœur. Et c'est exactement le but : moins vous en savez, mieux vous êtes protégé.
