Mots de passe et clés d'accès : comment sécuriser ses comptes sans se compliquer la vie

La sécurité des comptes en ligne souffre d'un malentendu tenace : on croit qu'elle exige de la mémoire et de la discipline, alors qu'elle repose surtout sur de bons outils. Un utilisateur correctement équipé retient un seul mot de passe et se protège mieux qu'un utilisateur méticuleux qui en gère quarante de tête.

Le vrai risque : la réutilisation

La menace principale n'est pas qu'un pirate devine votre mot de passe. C'est qu'une base de données d'un service que vous avez utilisé il y a six ans soit dérobée, puis que le couple adresse e-mail / mot de passe qu'elle contient soit testé automatiquement sur des centaines d'autres sites. Cette technique, appelée bourrage d'identifiants, ne fonctionne que grâce à une chose : la réutilisation du même mot de passe.

C'est pourquoi la règle « un mot de passe unique par service » prime sur toutes les autres, y compris sur la complexité. Un mot de passe long et unique vaut mieux qu'un mot de passe tarabiscoté utilisé partout.

Le gestionnaire de mots de passe, l'outil central

Un gestionnaire génère, stocke et remplit automatiquement des mots de passe uniques. Vous n'en mémorisez qu'un seul : celui qui ouvre le coffre.

Plusieurs formules existent : gestionnaires intégrés aux navigateurs et aux systèmes d'exploitation, applications dédiées, solutions à installer sur son propre serveur. Les critères à examiner :

• Le chiffrement de bout en bout : le fournisseur ne doit pas pouvoir lire vos données.
• La synchronisation entre vos appareils, sans quoi vous contournerez l'outil.
• La procédure de récupération : que se passe-t-il si vous oubliez le mot de passe maître ? Notez les codes de secours et rangez-les hors ligne.
• L'export des données, pour ne pas rester prisonnier d'un service.

Le mot de passe maître doit être long et mémorisable. La méthode la plus efficace consiste à assembler quatre ou cinq mots sans rapport entre eux, formant une phrase absurde mais visualisable. La longueur compte davantage que les caractères spéciaux.

La double authentification, par ordre de robustesse

Même un mot de passe parfait peut être hameçonné. Le second facteur ajoute une barrière. Tous ne se valent pas.

Le SMS : mieux que rien, mais fragile

Le code reçu par message est vulnérable à l'échange frauduleux de carte SIM et à l'interception. Il reste préférable à l'absence de second facteur, mais il ne devrait plus être le choix par défaut sur les comptes sensibles.

L'application d'authentification : le bon compromis

Une application génère un code temporaire hors ligne, sans dépendre du réseau mobile. Pensez à sauvegarder les clés de configuration lors de l'activation : un téléphone perdu sans sauvegarde peut vous couper de vos comptes.

La clé de sécurité physique : le plus robuste

Un petit dispositif USB ou NFC valide la connexion. Sa force tient à un détail décisif : la clé vérifie l'adresse du site. Sur un site d'hameçonnage imitant parfaitement l'original, elle refuse simplement de fonctionner. C'est la seule méthode qui neutralise structurellement le phishing. Prévoyez-en deux, dont une conservée ailleurs.

Les passkeys : la disparition progressive du mot de passe

Les clés d'accès, ou passkeys, reposent sur la cryptographie asymétrique. Une clé privée reste sur votre appareil, protégée par votre empreinte, votre visage ou votre code ; une clé publique est transmise au service. Rien de secret ne circule et rien de réutilisable n'est stocké côté serveur.

Les avantages sont réels : impossible à hameçonner, impossible à voler lors d'une fuite de base de données, plus rapide à l'usage. Les limites aussi : tous les services ne les proposent pas, la gestion entre écosystèmes différents reste perfectible, et la question de la récupération en cas de perte de tous les appareils doit être anticipée.

Une approche pragmatique consiste à activer les passkeys là où elles sont disponibles, tout en conservant un mot de passe fort et un second facteur en secours.

Reconnaître une tentative d'hameçonnage

• Un message crée un sentiment d'urgence ou de peur : compte suspendu, colis bloqué, amende à régler.
• Le lien ne correspond pas au domaine officiel. Sur mobile, un appui long affiche l'adresse réelle.
• On vous demande un code de validation. Aucun service légitime ne réclame jamais un code reçu par SMS, ni par téléphone ni par message.
• Le message arrive sur une adresse que vous n'avez pas utilisée pour ce service.

En cas de doute, ne cliquez pas : ouvrez l'application ou tapez l'adresse vous-même.

Un plan d'action réaliste

1. Installer un gestionnaire de mots de passe et créer un mot de passe maître solide.
2. Traiter d'abord les comptes critiques : messagerie principale, banque, compte du système d'exploitation. La messagerie est prioritaire, car elle permet de réinitialiser tout le reste.
3. Activer le meilleur second facteur disponible sur ces comptes.
4. Vérifier si vos adresses figurent dans des fuites connues, via un service de vérification reconnu.
5. Remplacer progressivement les autres mots de passe, au fil de vos connexions, sans chercher à tout faire en une soirée.

Comptez une heure pour l'essentiel, puis quelques minutes par semaine. C'est un investissement modeste au regard du temps que coûte la reprise en main d'un compte compromis.

Sources

• ANSSI — recommandations relatives à l'authentification : cyber.gouv.fr
• Cybermalveillance.gouv.fr : cybermalveillance.gouv.fr
• CNIL — sécurité des données personnelles : cnil.fr