Gestionnaire de mots de passe et clés d'accès : le guide

Un gestionnaire de mots de passe est une application qui crée, stocke et remplit pour vous un mot de passe fort et différent pour chaque compte : vous n'avez plus qu'un seul mot de passe à retenir. Associé aux clés d'accès (passkeys), qui permettent de se connecter avec votre visage, votre empreinte ou le verrouillage de l'écran au lieu d'un mot de passe, il élimine le plus grand risque du quotidien : utiliser le même mot de passe à plusieurs endroits.

Votre messagerie, votre banque et vos réseaux sociaux sont surtout protégés par des mots de passe. Si l'un d'eux est volé, un escroc peut lire vos messages, réinitialiser vos autres comptes ou dépenser votre argent. Corriger cela prend moins de temps qu'on ne le pense, et ne demande aucune compétence technique.

Le vrai danger : réutiliser ses mots de passe

La plupart des gens craignent qu'on devine leur mot de passe. Le problème le plus sérieux, c'est la réutilisation.

Quand un site est piraté, des listes d'adresses e-mail et de mots de passe finissent souvent par circuler en ligne. Les attaquants utilisent des outils automatiques pour essayer ces mêmes paires sur de nombreux autres sites : messageries, banques, sites marchands. C'est ce qu'on appelle le credential stuffing (ou bourrage d'identifiants).

Si votre mot de passe a fuité depuis une petite boutique en ligne et que vous l'utilisiez aussi pour votre messagerie, l'attaquant peut entrer dans votre messagerie, puis de là réinitialiser presque tout le reste.

Il faut donc un mot de passe différent pour chaque compte, et comme personne ne peut en retenir des dizaines, c'est justement à cela que servent les gestionnaires de mots de passe.

Ce qui fait un mot de passe solide aujourd'hui

La longueur compte plus que la complexité. Un mot de passe long est bien plus difficile à deviner qu'un mot de passe court rempli de symboles.

• Utilisez au moins 12 à 16 caractères, et davantage pour les comptes importants.
• Essayez une phrase de passe : au moins quatre mots aléatoires sans rapport entre eux, comme rivière-bougie-orbite-poivre. Elle est longue, facile à taper et facile à retenir.
• Évitez les informations personnelles comme les prénoms, les dates de naissance ou les numéros de téléphone.
• Évitez les schémas courants comme « Motdepasse1! » ou l'ajout de l'année à un ancien mot de passe.
• Ne le réutilisez jamais. Un mot de passe solide utilisé sur dix sites n'est pas plus sûr que le plus faible d'entre eux.

Vous n'avez besoin d'en mémoriser que quelques-uns : le code de déverrouillage de votre téléphone, le mot de passe de votre messagerie principale et le mot de passe maître de votre gestionnaire.

Comment fonctionne un gestionnaire de mots de passe et comment commencer

Un gestionnaire de mots de passe conserve vos mots de passe dans un coffre-fort chiffré. Ce coffre est verrouillé par un mot de passe maître, et souvent aussi par votre empreinte ou votre visage. Il propose de nouveaux mots de passe aléatoires et remplit ceux qui sont enregistrés, mais uniquement sur le vrai site pour lequel il les a enregistrés, ce qui vous protège des fausses pages de connexion.

Choisissez un gestionnaire de mots de passe

• Le gestionnaire intégré à votre téléphone ou à votre navigateur. iPhone, Android, Windows, macOS et les principaux navigateurs en intègrent un, capable de générer, enregistrer et synchroniser les mots de passe. C'est le point de départ le plus simple.
• Un gestionnaire indépendant reconnu. Il fonctionne sur différentes plateformes et différents navigateurs, ce qui aide si vous mélangez les appareils. Installez-le uniquement depuis l'App Store, Google Play ou le site officiel de l'éditeur.

Configurez-le étape par étape

1. Créez un mot de passe maître solide : une longue phrase de passe que vous n'avez jamais utilisée ailleurs.
2. Activez la double authentification sur le compte qui contient vos mots de passe. Notre guide de la double authentification explique comment faire.
3. Configurez les options de récupération, comme une clé de récupération ou un contact de récupération, et conservez-les en lieu sûr.
4. Laissez le gestionnaire enregistrer vos mots de passe au fil de vos connexions pendant quelques jours.
5. Remplacez d'abord les mots de passe de vos comptes les plus importants (messagerie, banque, opérateur mobile, réseaux sociaux) grâce à l'option « générer un mot de passe ». Quelques comptes par semaine, c'est très bien.

Les clés d'accès (passkeys) expliquées simplement

Alors, qu'est-ce qu'une clé d'accès ? Une passkey est une façon plus récente de se connecter, qui remplace complètement le mot de passe. Vous confirmez votre identité de la même manière que vous déverrouillez votre téléphone ou votre ordinateur : avec votre visage, votre empreinte ou votre code PIN.

En coulisses, votre appareil crée une paire de clés numériques. Le site ne conserve que la partie publique. La partie privée reste protégée sur votre appareil ou dans votre gestionnaire de mots de passe, et n'est jamais envoyée au site. Concrètement :

• Rien à voler côté site. Un piratage ne fait fuiter aucun mot de passe réutilisable.
• Résistance au phishing. Une clé d'accès ne fonctionne que sur le vrai site pour lequel elle a été créée : une fausse page de connexion ne peut pas vous la soutirer.
• Synchronisée entre vos appareils. Les clés d'accès enregistrées dans un gestionnaire intégré ou indépendant se synchronisent sur vos autres appareils connectés à ce gestionnaire.

Pour vous connecter sur un ordinateur qui n'a pas votre clé d'accès, le site peut afficher un QR code. Vous le scannez avec votre téléphone et vous confirmez ; le téléphone doit se trouver physiquement à proximité.

Comment passer un compte à la clé d'accès

1. Connectez-vous au compte comme d'habitude et ouvrez ses paramètres de sécurité ou de connexion.
2. Cherchez une option comme « Clés d'accès », « Passkeys » ou « Créer une clé d'accès ».
3. Confirmez avec votre visage, votre empreinte ou le verrouillage de l'écran, et choisissez où l'enregistrer.
4. Testez-la en vous déconnectant puis en vous reconnectant avec la clé d'accès.
5. Certains services conservent votre mot de passe en secours : assurez-vous qu'il reste solide et unique.

Tous les sites ne prennent pas encore en charge les clés d'accès : utilisez-les là où elles sont proposées, et un gestionnaire de mots de passe pour le reste.

Vérifiez si vos mots de passe ont fuité

Les gestionnaires intégrés à l'iPhone, à Android et aux principaux navigateurs, ainsi que la plupart des gestionnaires indépendants, proposent une vérification des mots de passe ou des recommandations de sécurité. Ils vous préviennent lorsqu'un mot de passe enregistré :

• est apparu dans une fuite de données connue,
• est réutilisé sur plusieurs comptes, ou
• est faible ou facile à deviner.

Ouvrez cette section tous les quelques mois et corrigez les alertes, en commençant par vos comptes les plus importants.

Que faire après une fuite de données

Si un service annonce une fuite ou si la vérification de vos mots de passe vous alerte, agissez dans cet ordre :

1. Changez le mot de passe de ce compte, en utilisant un nouveau mot de passe généré par votre gestionnaire.
2. Changez-le partout où vous l'aviez réutilisé. C'est là que la réutilisation fait les vrais dégâts.
3. Activez la double authentification ou une clé d'accès sur ce compte si ce n'est pas déjà fait.
4. Vérifiez le compte : appareils inconnus, règles de transfert de messages ou informations de récupération modifiées.
5. Surveillez vos relevés bancaires si vos données de paiement ont pu être exposées, et contactez votre banque au moindre doute.
6. Redoublez de prudence avec les messages. Après une fuite, les escrocs envoient souvent de fausses « alertes de sécurité » par e-mail, SMS ou QR code. Ouvrez l'application officielle ou tapez vous-même l'adresse plutôt que de suivre les liens, et consultez notre guide sur les e-mails de phishing avec QR code.

Check-list rapide

1. Chaque compte important a son propre mot de passe unique.
2. Vos mots de passe principaux sont de longues phrases de passe, pas des mots courts et compliqués.
3. Vous utilisez un gestionnaire de mots de passe intégré ou indépendant reconnu.
4. Le mot de passe maître est solide et n'est utilisé nulle part ailleurs.
5. Les options de récupération du gestionnaire sont conservées en lieu sûr.
6. La double authentification protège votre messagerie et votre gestionnaire de mots de passe.
7. Les clés d'accès sont activées sur les comptes qui les prennent en charge.
8. Vous vérifiez vos mots de passe tous les quelques mois.

FAQ

Est-ce prudent de garder tous ses mots de passe dans un seul gestionnaire ?

Oui : pour la plupart des gens, c'est bien plus sûr que de réutiliser ses mots de passe. Le coffre est chiffré et verrouillé par votre mot de passe maître ; protégez donc bien celui-ci et activez la double authentification.

Que se passe-t-il si j'oublie mon mot de passe maître ?

Cela dépend du gestionnaire. Beaucoup proposent une clé ou un contact de récupération : c'est pourquoi il faut les configurer dès le premier jour.

Les clés d'accès remplacent-elles la double authentification ?

Une clé d'accès combine déjà deux facteurs : quelque chose que vous possédez (votre appareil) et quelque chose que vous êtes ou que vous savez (votre empreinte, votre visage ou votre code PIN). Beaucoup de services considèrent donc qu'une connexion par clé d'accès suffit à elle seule.

Et si je perds le téléphone qui contient mes clés d'accès ?

Si vos clés d'accès sont synchronisées par votre gestionnaire de mots de passe, elles reviennent dès que vous vous connectez sur un nouvel appareil. Nos conseils de sécurité smartphone expliquent quoi faire d'autre en cas de perte du téléphone.

Des mots de passe uniques et des clés d'accès empêchent la plupart des piratages de comptes : configurez votre gestionnaire de mots de passe cette semaine, en commençant par votre messagerie. Et quand une « alerte de sécurité » arrive avec un QR code, vérifiez où il mène vraiment avec le lecteur de QR code en ligne gratuit de QR-TH avant de l'ouvrir.