Choisir un gestionnaire de mots de passe et bien l'utiliser

Quand un site se fait pirater, les couples adresse e-mail et mot de passe volés restent rarement entre les mains du premier attaquant. Ils sont revendus puis injectés dans des outils automatisés qui testent la même combinaison auprès des messageries, des boutiques en ligne, des réseaux sociaux et des plateformes de jeu. Cette technique, appelée credential stuffing ou bourrage d'identifiants, ne fonctionne que si les gens réutilisent leurs mots de passe, et c'est l'une des façons les plus courantes de pirater des comptes ordinaires.

Les mots de passe uniques cassent cette chaîne. Si chaque compte a son propre mot de passe long et aléatoire, une fuite chez un service reste cantonnée à ce service. Le hic, c'est que personne ne peut retenir des dizaines de suites de caractères aléatoires, et c'est précisément le rôle d'un gestionnaire de mots de passe.

Un gestionnaire de mots de passe conserve vos identifiants dans un coffre-fort chiffré qui s'ouvre avec un seul mot de passe maître, et souvent avec votre empreinte ou votre visage sur les appareils de confiance. Il génère des mots de passe longs et aléatoires quand vous créez un compte ou changez de mot de passe, et les remplit pour vous au moment de la connexion.

Le remplissage automatique est aussi une protection discrète contre l'hameçonnage. Le gestionnaire associe chaque identifiant enregistré à l'adresse exacte du site : il ne vous proposera donc pas le mot de passe de votre banque sur un domaine qui l'imite. Si votre gestionnaire ne reconnaît soudain plus une page de connexion que vous utilisez souvent, arrêtez-vous et vérifiez l'adresse avant de saisir quoi que ce soit à la main.

La plupart des gestionnaires ne se contentent pas de stocker des mots de passe. Parmi les fonctions courantes : des notes sécurisées pour les codes de secours et les informations de récupération, le stockage des clés d'accès (passkeys), des alertes quand un mot de passe enregistré apparaît dans une fuite connue, des avertissements sur les mots de passe faibles ou réutilisés, et le partage sécurisé avec les membres de la famille ou une équipe.

Le chiffrement passe en premier. Cherchez un chiffrement de bout en bout, parfois présenté comme une architecture à connaissance nulle ou zero-knowledge : votre coffre est chiffré sur votre propre appareil et le fournisseur ne peut pas le lire. Une documentation de sécurité publiée et des audits indépendants montrent qu'une entreprise prend le sujet au sérieux.

Vérifiez ensuite que le gestionnaire fonctionne partout où vous en avez besoin : dans les navigateurs que vous utilisez, sur votre téléphone et sur votre ordinateur, avec une synchronisation fiable entre eux. Le coffre lui-même doit prendre en charge la double authentification, idéalement avec une application d'authentification ou une clé de sécurité, afin qu'un mot de passe maître volé ne suffise pas à l'ouvrir.

Enfin, pensez à la sortie avant même d'entrer. Un bon gestionnaire vous permet d'exporter vos données dans un format standard, pour ne jamais rester captif. Renseignez-vous sur ce qui se passe si vous oubliez votre mot de passe maître : certains services proposent un kit de récupération ou un contact de confiance, tandis que les architectures zero-knowledge les plus strictes n'offrent parfois aucune récupération, ce qui rend indispensable une fiche d'urgence conservée en lieu sûr.

Les navigateurs et les systèmes d'exploitation intègrent désormais des gestionnaires de mots de passe performants. Le Gestionnaire de mots de passe de Google est intégré à Chrome et à Android, les appareils Apple disposent d'un gestionnaire synchronisé via le trousseau iCloud, et Microsoft Edge enregistre les mots de passe dans votre compte Microsoft. Ils ne coûtent rien de plus, sont déjà sur votre appareil et se synchronisent automatiquement au sein de leur propre écosystème.

Leur limite, c'est justement cet écosystème. Si vous associez un iPhone à un PC sous Windows, ou si vous jonglez entre plusieurs navigateurs, un gestionnaire intégré risque de ne pas vous suivre partout confortablement. Les gestionnaires indépendants, y compris ceux proposés par des acteurs axés sur la confidentialité comme Proton, fonctionnent sur toutes les plateformes et dans tous les navigateurs, et offrent en général un partage plus riche, des notes sécurisées et une organisation plus souple.

Dans les deux cas, c'est bien mieux que de réutiliser vos mots de passe. Choisissez celui que vous utiliserez vraiment au quotidien, et évitez de disperser vos identifiants entre plusieurs gestionnaires : vous perdriez vite le fil de la version à jour.

Votre mot de passe maître est le seul que vous devez retenir : misez donc sur la longueur et la facilité de mémorisation plutôt que sur une chaîne courte et compliquée. Une phrase de passe composée de plusieurs mots sans rapport entre eux est plus facile à taper et bien plus difficile à deviner qu'une courte suite de symboles. Ne l'utilisez nulle part ailleurs.

Activez tout de suite la double authentification sur le gestionnaire et conservez ses codes de secours ou son kit d'urgence hors ligne, par exemple sur papier, en lieu sûr chez vous. Si votre gestionnaire propose une méthode de récupération, configurez-la dès maintenant plutôt qu'après vous être retrouvé bloqué.

Ajustez ensuite quelques réglages : verrouillez le coffre après une courte période d'inactivité, exigez le mot de passe maître ou la biométrie après un redémarrage, et tenez les applications et extensions de navigateur à jour pour recevoir les correctifs de sécurité.

La plupart des gestionnaires peuvent importer les mots de passe enregistrés dans votre navigateur ou exportés depuis un autre gestionnaire, généralement sous forme de fichier CSV. Ce fichier est du texte brut, non chiffré : exportez-le, importez-le aussitôt, puis supprimez-le, y compris la copie restée dans votre dossier Téléchargements et dans la corbeille.

Après l'import, désactivez l'enregistrement des mots de passe dans le navigateur si vous êtes passé à un gestionnaire indépendant, pour que les nouveaux identifiants ne se retrouvent pas à deux endroits. Ouvrez ensuite le rapport de sécurité du gestionnaire et commencez à corriger les mots de passe réutilisés et faibles. Commencez par vos comptes de messagerie, puisqu'ils permettent de réinitialiser tout le reste, puis passez aux comptes financiers, professionnels et sociaux.

Inutile de tout changer en une soirée. Mettez à jour chaque mot de passe restant la prochaine fois que vous vous connectez au site concerné et, en quelques semaines, votre coffre sera composé en majorité de mots de passe uniques et générés.

Les identifiants qui vous parviennent par e-mail, dans un document partagé ou sur une page de commande ont leur place dans votre gestionnaire, pas dans des captures d'écran ou des notes en clair. Créez une nouvelle entrée avec l'adresse du site, l'identifiant et le mot de passe, et ajoutez l'e-mail de récupération, les codes de secours et les autres informations de configuration dans le champ de notes de l'entrée.

Si vous avez acheté un compte sur rStock, le contenu livré apparaît sur la page de votre commande sous la forme d'un enregistrement de livraison lié à la commande. Copiez-le dans votre gestionnaire, puis remplacez le mot de passe par un nouveau mot de passe généré, définissez vos propres options de récupération et activez la double authentification. En le faisant rapidement, vous vérifiez aussi que tout fonctionne tant qu'il est encore possible d'ouvrir un litige dans le délai limité qui suit la livraison. Utilisez toujours ces comptes dans le respect des conditions d'utilisation de la marque.

Une fois le compte sécurisé, supprimez les copies supplémentaires collées dans des notes, des conversations ou des fichiers texte. Votre gestionnaire doit être le seul endroit où figure le mot de passe actuel : il est alors facile à mettre à jour et difficile à trouver pour quiconque.