Introduction

Lorsque René a créé son espace sur le site des impôts, il a fait ce qu’on lui avait conseillé. Il a choisi un mot de passe compliqué. Une majuscule, deux chiffres, un point d’exclamation. Il l’a noté soigneusement, fier d’avoir bien suivi les instructions. Quelques mois plus tard, il a reçu un mail lui indiquant que ses identifiants avaient peut-être été compromis dans une fuite de données d’un site de commerce en ligne. René n’avait rien fait de mal. Il avait juste utilisé le même mot de passe, le même bien construit, sur plusieurs services à la fois.

Son mot de passe était complexe. Et pourtant.

À retenir

À retenir :
  • Les principaux risques actuels ne viennent pas uniquement de mots de passe trop simples
  • Réutiliser le même mot de passe sur plusieurs sites est l'une des habitudes les plus risquées
  • Les fuites de données concernent tout le monde, même sans erreur de sa part
  • Quelques habitudes simples suffisent à réduire considérablement les risques

Un conseil juste, mais incomplet

Le conseil sur la complexité des mots de passe n’est pas faux. Un mot de passe court et prévisible est effectivement plus facile à deviner. Pendant longtemps, les attaques informatiques fonctionnaient exactement comme ça : en essayant méthodiquement des milliers de combinaisons jusqu’à trouver la bonne.

Mais le paysage a changé. Les menaces les plus fréquentes aujourd’hui ne cherchent plus à deviner les mots de passe un par un. Elles exploitent des bases de données volées, des listes d’identifiants déjà récupérés lors de piratages massifs, des comportements humains prévisibles; comme le fait de réutiliser partout le même mot de passe, aussi compliqué soit-il.

René n’avait pas un mot de passe trop simple. Il avait un mot de passe trop partagé.

Ce que les fuites de données changent

Chaque année, des millions d’identifiants sont exposés lors de piratages de grandes plateformes. Des services de commerce en ligne, des réseaux sociaux, des applications de livraison, des administrations. Ces incidents ne touchent pas que les imprudents. Ils touchent tout le monde, indistinctement.

Lorsqu’une telle fuite se produit, les personnes malveillantes obtiennent des listes entières d’adresses mail associées à des mots de passe. Leur premier réflexe est d’essayer ces combinaisons sur d’autres services : la banque, la messagerie, les impôts. Si vous avez utilisé le même mot de passe partout, une seule fuite suffit à compromettre l’ensemble de vos accès. Si chaque compte possède un mot de passe différent, la fuite reste isolée.

C’est aussi simple et aussi important que ça.

Une alternative à connaître : la phrase secrète

Avant de parler d’outils, il existe une méthode qui ne nécessite ni application ni abonnement : la phrase secrète. Plutôt qu’un mot de passe construit à partir de règles abstraites difficiles à mémoriser, on choisit une phrase courte que l’on ne risque pas d’oublier.

LetagereDuCastorEstAussiForteQueMOnDaim est à la fois long, difficile à déchiffrer, et facile à retenir si l’on a un castor et un daim, dans le jardin ! Ce type de mot de passe est particulièrement adapté aux comptes les plus importants, à savoir ceux pour lesquels on veut un accès mémorisé de tête, sans dépendre d’aucun outil.

Ce qui change vraiment les choses

Avoir un mot de passe complexe est utile. Mais ce n’est pas suffisant si ce mot de passe est le même partout. La priorité, avant toute autre chose, est d’utiliser un mot de passe différent pour chaque service.

C’est là que les gestionnaires de mots de passe entrent en jeu. Ces outils permettent de générer et de stocker automatiquement un mot de passe unique pour chaque compte, sans avoir à les retenir. On n’a besoin de mémoriser qu’un seul mot de passe principal — celui qui ouvre le gestionnaire. Le reste est pris en charge.

Certains services proposent également une vérification en deux étapes : après avoir entré son mot de passe, on reçoit un code par SMS pour confirmer sa connexion. Même si quelqu’un obtient le mot de passe, il ne peut pas aller plus loin sans ce second code. C’est une protection supplémentaire, simple à activer, qui renforce considérablement la sécurité des comptes les plus sensibles.

Conclusion

Un bon mot de passe ne protège pas grand chose s’il est le même partout. La vraie sécurité numérique ne s’obtient pas d’un seul geste parfait. Elle se construit progressivement, par petites habitudes ajoutées les unes aux autres.

Un mot de passe différent par service. Un gestionnaire pour les stocker. Une vérification en deux étapes pour les comptes essentiels. Ce n’est pas une liste à accomplir en une journée. C’est un chemin que l’on peut prendre à son propre rythme, sans se mettre en défaut pour ce qu’on n’a pas encore fait.

Encore faudrait-il que le service que l’on souhaite sécuriser, permette autre chose qu’une seule suite de nombre comme proposition de mot de passe …