Mots de passe solides : des longues phrases aux passkeys

Les mots de passe ne se cassent pas comme au cinéma. Personne ne s'assoit pour deviner le nom de votre chien : les mots de passe fuient par millions depuis des services piratés, puis sont testés automatiquement sur tous les autres sites. Cette mécanique de machines dicte les vraies règles de protection, bien différentes des habituels « huit caractères avec un astérisque » des vieux aide-mémoire. Mettons-les en ordre, des propriétés du mot de passe à la vie sans lui.

Ce qui compte vraiment

Deux propriétés décident de tout. L'unicité : un mot de passe par service, sinon la fuite d'un seul site ouvre toute votre vie ; tester des paires identifiant et mot de passe fuitées sur d'autres services est la principale méthode de piratage de masse. La longueur : la résistance au cassage par machine croît à chaque caractère plus vite que par n'importe quelle astuce, et une phrase de quatre mots aléatoires bat un court charabia à symboles. Tout le reste, du changement régulier sans raison au remplacement de lettres par des chiffres, relève d'une époque passée : changez après une fuite, oubliez le calendrier.

Gestionnaire de mots de passe : les règles changent

L'exigence de « cent mots de passe longs et uniques » est impossible pour la tête et triviale pour un gestionnaire : il génère, stocke et remplit les mots de passe seul, il vous reste une phrase maîtresse. Prenez n'importe quel outil mûr : celui intégré au système et au navigateur est déjà bon et gratuit, les applis séparées ajoutent du confort si vous vivez sur plusieurs plateformes. Deux règles d'usage : la phrase maîtresse est longue et ne sert nulle part ailleurs, et un second facteur protège l'entrée du gestionnaire lui-même. Un bonus sous-estimé : le gestionnaire ne remplit le mot de passe que sur le vrai domaine et se tait sur un faux, ce qui en fait un détecteur de phishing, comme nous l'écrivions dans l'article sur le phishing.

Le second facteur est obligatoire

Quel que soit votre mot de passe, il peut un jour fuiter du service lui-même. Un second facteur rend inutile un mot de passe fuité : l'entrée exige aussi une confirmation depuis votre appareil. La hiérarchie est simple : les codes SMS valent mieux que rien, une appli génératrice dépasse nettement le SMS, une clé matérielle ou la biométrie de l'appareil sont les plus fortes. Activez-le au minimum sur la messagerie, les banques et les principaux réseaux sociaux : la messagerie est la plus importante de la liste, car elle sert à récupérer tous les autres mots de passe. Les options sont détaillées dans l'article sur l'authentification à deux facteurs.

Pour la plupart, le choix se présente ainsi : une appli génératrice sur le téléphone pour tout ce qui compte, une clé matérielle pour la messagerie et les finances si vous acceptez de la porter, le SMS là où il n'y a rien d'autre. Et sauvegardez impérativement les codes de secours à l'activation : le téléphone se perd avec son générateur, et récupérer sans codes devient une épopée avec passeport et support.

Passkeys : la vie après les mots de passe

Les grandes plateformes proposent déjà une connexion sans mot de passe : une passkey est une clé cryptographique qui vit sur votre appareil et fonctionne par biométrie ou code PIN. Rien à deviner, rien à fuiter d'un serveur, et sur un faux site la clé ne marche tout simplement pas, car elle est liée au vrai domaine. Les mêmes écosystèmes et gestionnaires règlent la synchronisation entre appareils. La stratégie du moment : activez la passkey partout où elle est proposée, le mot de passe reste une entrée de secours et son hygiène compte toujours.

Où noter et quoi ne pas noter

Trois choses ne se gardent jamais en clair : la phrase maîtresse du gestionnaire, les codes PIN des cartes et les codes de secours dans des notes de téléphone non chiffrées. Le papier chez soi, aussi paradoxal que cela paraisse, est une place honorable pour la phrase maîtresse et les codes : les menaces d'internet n'atteignent pas un tiroir de bureau. En revanche, un fichier « motsdepasse.txt » sur le bureau et un tableau cloud non chiffré sont des cadeaux au futur voleur : un logiciel malveillant les cherche en premier sur une machine infectée.

Un plan pour la soirée

1. Installez un gestionnaire et inventez une longue phrase maîtresse.
2. Remplacez les mots de passe de la messagerie et de la banque par des générés, activez-y le second facteur et les passkeys si disponibles.
3. Changez ensuite les mots de passe au fil de vos visites : en un mois, la plupart sont uniques.
4. Sauvegardez les codes de récupération au même endroit, dans le gestionnaire ou sur papier chez vous.
5. Vérifiez votre adresse dans les bases de fuites, un contrôle intégré aux gestionnaires et navigateurs modernes : les mots de passe trouvés se changent en premier.

Le sujet est ainsi réglé pour des années : le gestionnaire règle l'unicité, la longueur règle la résistance, le second facteur dévalue le vol du mot de passe et les passkeys retirent peu à peu l'objet du vol. Si un compte se comporte déjà bizarrement, laissez les mots de passe et commencez par les étapes après un piratage.