Le mois dernier, un lecteur m'a écrit : « J'ai un mot de passe de 18 caractères, unique, généré par mon gestionnaire, avec 2FA partout. Je suis tranquille, non ? » J'ai mis deux heures à lui répondre. Pas parce que la question était compliquée, mais parce que la bonne réponse commençait par un « dépends ». Et personne n'aime entendre « dépends » quand il vient de passer trois week-ends à sécuriser sa vie numérique.
La vérité, c'est que la plupart des conseils qu'on lit sur la protection des mots de passe sont corrects… et insuffisants. Ils vous disent quoi faire, rarement pourquoi, et jamais ce qui se passe quand ça tourne mal. Alors voici ma version : celle d'un type qui a fait une croix sur sa vie numérique après une compromission, qui gère une quarantaine de comptes professionnels, et qui a testé à peu près toutes les approches possibles — y compris les mauvaises.
Points clés à retenir
- Un mot de passe long et unique par compte reste la base, mais un gestionnaire de mots de passe est ce qui rend cette hygiène tenable au quotidien.
- La double authentification (2FA) protège au moins autant que la complexité du mot de passe — activez-la avant tout le reste.
- Changer ses mots de passe « tous les 90 jours » est un conseil daté. On ne change que sur compromission avérée.
- En cas de fuite : identifiez ce qui a fuité, changez le mot de passe du service concerné et de tout compte où vous auriez réutilisé le même, révoquez les sessions actives.
- Le maillon faible n'est presque jamais le mot de passe lui-même : c'est le site qui le stocke, ou vous, le jour où vous avez cliqué sur un lien douteux.
Comment protéger ses mots de passe efficacement : le vrai point de départ
La question qu'on me pose le plus souvent, et qui révèle une erreur de raisonnement : « Quel est le mot de passe le plus solide ? » Comme si la sécurité tenait à un mot de passe parfait. Elle ne tient pas à ça. Elle tient à un système.
Je m'explique. Un mot de passe, même excellent, est un secret que vous devez protéger, mémoriser, et ressaisir des dizaines de fois par semaine. Chacune de ces étapes est un point de rupture. Vous allez le noter quelque part. Vous allez le réutiliser par flemme. Vous allez le taper dans un formulaire de phishing à 23 h. C'est mécanique.
La bonne approche consiste donc à protéger le système qui produit et stocke vos mots de passe, pas chaque mot de passe individuellement. C'est moins satisfaisant que de chercher le secret parfait. C'est infiniment plus efficace.
Le modèle en couches, expliqué simplement
J'imagine toujours la protection d'un compte comme une maison. Vous avez la serrure (le mot de passe), la porte blindée (la 2FA), et le quartier (les habitudes de navigation, la réputation du site qui héberge votre compte). Renforcer la serrure ne sert à rien si la porte est en carton.
Concrètement, ça donne une hiérarchie d'actions, du plus rentable au moins urgent :
- Double authentification partout — priorité absolue, même avec un mot de passe faible.
- Un gestionnaire de mots de passe qui génère et stocke à votre place.
- Arrêter la réutilisation — un mot de passe unique par compte.
- Allonger et compliquer, mais seulement une fois les trois premiers points en place.
Remarquez l'ordre. Il est contre-intuitif. La plupart des gens commencent par le point 4 et s'arrêtent là.
Pourquoi la double authentification passe avant tout le reste
Il y a deux ans, un de mes comptes hébergés chez un petit prestataire s'est fait vider. Le mot de passe était long, unique, jamais réutilisé. Ça n'a rien changé. Le prestataire stockait les mots de passe dans une base mal configurée, et l'attaquant a simplement copié la base. Tout mon travail de « mot de passe parfait » a été réduit à néant par une décision que je ne contrôlais pas.
Ce jour-là, j'ai compris que la 2FA n'était pas une option « avancée ». C'est ce qui vous sauve quand tout le reste a échoué en amont.
Quel type de 2FA choisir ?
Tous les seconds facteurs ne se valent pas. Dans l'ordre de solidité, du meilleur au pire :
- Clé physique (FIDO2 / WebAuthn) — quasiment impossible à phisher, c'est le standard que je recommande aux gens qui gèrent des comptes sensibles.
- Application d'authentification (génère un code à 6 chiffres) — solide, pratique, mon choix par défaut pour 90 % des comptes.
- Codes par SMS — nettement plus faible, car un numéro se détourne (attaque par « SIM swap »), mais toujours mieux que rien.
- Rien du tout — la seule option que je vous déconseille absolument.
Le SMS a mauvaise presse pour de bonnes raisons. Pour autant, si un service ne propose que ça, activez-le. Un second facteur imparfait reste un second facteur.
La 2FA suffit-elle à elle seule ?
Non. La 2FA a un angle mort que peu de gens connaissent : les fameux « cookies de session ». Une fois que vous êtes connecté, le site vous donne un jeton qui vous identifie sans redemander votre mot de passe pendant des semaines. Si un attaquant arrive à voler ce jeton (via un logiciel malveillant sur votre machine, par exemple), il entre sans jamais avoir besoin de votre mot de passe ni de votre code 2FA.
C'est pour cette raison que « se déconnecter des sessions actives » figure dans ma procédure de fuite plus bas. Et c'est aussi pour ça que je garde une règle simple : je me déconnecte systématiquement des ordinateurs qui ne sont pas les miens. Les postes partagés en bibliothèque ou en coworking sont de bons candidats pour ce genre de vol.
Gérer ses mots de passe au quotidien sans devenir fou
Voici le point où les bons conseils sur papier rencontrent la vraie vie. Générer un mot de passe unique de 20 caractères pour chaque site est impossible à mémoriser. La solution n'est pas de faire des efforts. C'est de déléguer.
Comment choisir un gestionnaire de mots de passe
Il n'y a pas une seule bonne réponse ici. Ça dépend de votre tolérance au risque et de votre besoin de synchronisation entre appareils. J'ai utilisé plusieurs outils pendant des années, et voici les critères qui comptent vraiment :
| Critère | Ce qu'il faut vérifier | Pourquoi ça compte |
|---|---|---|
| Modèle de chiffrement | Chiffrement « zero-knowledge » : l'éditeur ne peut pas lire vos coffres | En cas de fuite de leurs serveurs, vos données restent illisibles |
| Stockage | Local uniquement, ou synchronisé dans le cloud | Le cloud est pratique, le local est plus fermé |
| Code source | Open source ou non | Un code ouvert peut être audité par n'importe qui |
| Récupération | Existe-t-il un mécanisme de secours si vous oubliez le mot de passe maître ? | Un mot de passe maître perdu = tous les autres perdus |
Mon avis, que je défends bec et ongles : pour 95 % des gens, un gestionnaire cloud avec chiffrement zero-knowledge et une bonne réputation est le meilleur compromis. Le côté « local uniquement » rassure, mais il vous expose à un risque bien plus concret : perdre l'accès à tous vos comptes parce que vous avez perdu votre fichier ou votre appareil.
Le mot de passe maître, la seule exception à la règle
Il y a un mot de passe que vous devez mémoriser : celui du gestionnaire. Et c'est celui-là qui mérite votre effort créatif. Oubliez le charabia. Utilisez une phrase longue, absurde, personnelle — quelque chose comme « TroisChaussettesViolettesDansentSurLeToit ». Long, mémorisable, impossible à deviner.
Ne réutilisez jamais cette phrase ailleurs. Jamais. C'est la clé de votre coffre-fort.
Faut-il changer ses mots de passe régulièrement ?
La question qui divise, et sur laquelle la plupart des articles sont restés bloqués dans le passé.
Longtemps, la consigne était : « changez vos mots de passe tous les 60 ou 90 jours ». C'était la règle d'or. Et cette règle a fait beaucoup de dégâts, parce qu'elle pousse les utilisateurs à faire des choses stupides : faire varier un mot de passe d'un chiffre à chaque changement, ou le noter sur un papier pour s'en souvenir.
La recommandation moderne s'est inversée. On ne change plus un mot de passe « par principe », à intervalles réguliers. On le change en cas de compromission avérée. C'est-à-dire : si le service vous prévient d'une fuite, si vous recevez une alerte de connexion suspecte, ou si vous découvrez votre identifiant dans une base de données volée.
Pourquoi ce renversement ?
Parce qu'un changement forcé tous les trois mois n'apporte quasiment aucune sécurité supplémentaire, tout en dégradant la qualité réelle des mots de passe. Si un attaquant a déjà volé votre ancien mot de passe, le changer ne répare rien s'il a été volé au moment où il était valide. Et si personne ne l'a volé, le changer ne servait à rien.
Ce que ça change pour vous : arrêtez de changer vos mots de passe à la chaîne. Concentrez votre énergie sur les points qui comptent (2FA, gestionnaire, unicité) et sur une bonne réaction en cas de fuite.
Que faire concrètement quand un de vos mots de passe fuite
Voici la procédure que j'applique à chaque alerte, dans l'ordre. Elle prend une quinzaine de minutes en général.
1. Vérifier ce qui a réellement fuité
Ne changez pas tout à l'aveugle sur un simple mail alarmiste. Certaines « alertes de fuite » émanent d'expéditeurs qui veulent vous vendre un service. Utilisez un service de vérification de fuite reconnu pour savoir quel compte est concerné et quelle donnée a circulé (mot de passe seul ? avec votre email ? avec vos coordonnées ?).
2. Changer le mot de passe et révoquer les sessions
Changer le mot de passe ne suffit pas si l'attaquant est déjà connecté avec un jeton de session volé (on y revient). Cherchez l'option « déconnecter toutes les sessions » ou « révoquer les appareils » dans les paramètres de sécurité du compte. Beaucoup de services la proposent, peu de gens l'utilisent.
3. Éliminer la réutilisation en cascade
Si — et seulement si — vous avez réutilisé ce mot de passe ailleurs, changez-le partout où il apparaît. C'est le scénario catastrophe classique : une fuite sur un forum obscur devient un accès à votre boîte mail principale, parce que c'était le même mot de passe. Surveillez ensuite les connexions et les mails de validation inhabituels pendant quelques semaines.
Deux détails que la plupart des gens oublient après une fuite
- Vos questions de sécurité (« nom de votre premier animal ») contiennent souvent des informations devinables. Si elles sont stockées en clair, elles peuvent servir à contourner la 2FA par la procédure de récupération.
- Votre adresse de récupération sur un compte peut être une boîte mail compromise, ce qui annule toute la sécurité du compte principal.
Trois erreurs que j'ai commises (pour que vous évitiez de les refaire)
Je ne vais pas vous vendre la méthode parfaite. J'ai fait des erreurs grossières, et elles valent mieux qu'un long discours.
- J'ai utilisé un gestionnaire pendant deux ans sans jamais tester la récupération. Le jour où j'ai changé de téléphone, j'ai découvert que ma sauvegarde ne fonctionnait pas. J'ai eu très chaud.
- J'ai activé la 2FA par SMS sur un compte critique et j'ai négligé l'option « codes de secours ». Perdu mon téléphone, perdu l'accès. Trois semaines de bataille pour récupérer le compte.
- J'ai cru qu'un mot de passe « complexe » (majuscules, chiffres, symboles) valait un mot de passe long. Faux. La longueur bat la complexité, presque toujours. Une phrase de 5 mots est plus solide que « P@ssw0rd! » et vous vous en souviendrez.
Ces erreurs m'ont coûté plus de temps que n'importe quel attaquant. La sécurité, c'est souvent ça : ce n'est pas l'attaque qui vous fait tomber, c'est la faille dans votre propre organisation.
Si vous ne reteniez qu'une chose
Vouloir protéger ses mots de passe « efficacement », c'est vouloir fermer la bonne porte. La porte, ce n'est pas un mot de passe, c'est un ensemble : un gestionnaire qui génère des secrets uniques, une 2FA sur tous les comptes importants, et une procédure claire pour réagir le jour où ça fuite — parce que ce jour arrivera probablement.
Personne n'atteint la sécurité parfaite. La question n'est pas « comment être invisible », mais « combien de temps et d'énergie un attaquant doit-il investir pour m'atteindre ». Rendrez-vous la dépense trop élevée, et il ira voir ailleurs. C'est tout ce qu'on peut demander à une bonne hygiène numérique.
Un dernier point, que j'ai mis des années à accepter : la sécurité est plus fragile qu'une serrure. C'est un entretien. Le jour où vous vous dites « c'est bon, je suis tranquille », c'est précisément le moment de revérifier vos codes de secours. Votre futur vous remerciera.
