Mots de passe : ce qu'il faut faire
et ce qu'il faut arrêter

Si chacun est différent, long et conservé dans un gestionnaire, inutile de les changer selon un calendrier : changez-le quand il y a une raison. C'est ce que dit le guide d'identité numérique du NIST américain (SP 800-63B), la référence suivie par de nombreuses organisations : il interdit d'exiger des changements périodiques et impose de forcer le changement en cas d'indice de compromission. La raison est pratique : celui qui doit changer son mot de passe tous les mois finit par utiliser « Ete2026! » puis « Automne2026! », ce qui ne protège de rien. L'OSI de l'INCIBE, l'organisme espagnol de cybersécurité, conseille encore de les revoir au moins tous les six mois, mais personne de sérieux ne recommande de le faire chaque mois. Les raisons de le changer sans attendre : un avis indiquant que le service a subi une fuite, une connexion que vous ne reconnaissez pas, l'avoir saisi sur une page suspecte ou l'avoir donné à quelqu'un au téléphone.

Si, et c'est un meilleur panier que l'alternative réelle, à savoir le même mot de passe sur vingt sites ou un carnet posé à côté de l'ordinateur. Le gestionnaire conserve les mots de passe chiffrés et ne les ouvre qu'avec un mot de passe maître qui ne quitte jamais vos mains ; si un service quelconque subit une fuite, l'attaquant récupère un mot de passe qui ne sert nulle part ailleurs. L'OSI de l'INCIBE le recommande précisément pour cette raison, et le guide du NIST oblige les services à autoriser les gestionnaires et le remplissage automatique. En revanche, il faut soigner le panier : un mot de passe maître long que vous n'utilisez nulle part ailleurs, la double authentification activée sur le gestionnaire lui-même et un plan si vous l'oubliez, car sans lui il est impossible de récupérer ce qu'il contient. Celui qui est intégré au navigateur ou au système du téléphone vaut déjà bien mieux que rien.

Une phrase longue dont vous pouvez vous souvenir et qui n'a publiquement aucun rapport avec vous : quatre ou cinq mots sans lien entre eux, avec des espaces si le service les accepte. La longueur compte davantage que les symboles exotiques : le guide du NIST exige au moins 15 caractères quand le mot de passe est la seule protection d'un compte, et déconseille d'imposer des règles de composition du type « une majuscule, un chiffre et un symbole ». Évitez proverbes, paroles de chansons, nom du chien ou date du mariage, qui sont les premières choses testées. C'est le seul mot de passe que vous devez mémoriser : il vaut la peine d'y consacrer cinq minutes et de l'écrire une fois sur papier, rangé chez vous ailleurs que dans le tiroir du bureau, le temps de le retenir. Et activez la double authentification sur le gestionnaire.

Parce que c'est elle qui ouvre tous les autres. Presque tous les services, de la boutique en ligne au réseau social en passant par le logiciel de facturation, vous permettent de changer votre mot de passe via un lien envoyé à votre adresse e-mail. Qui contrôle la boîte peut demander ce lien sur chaque site et prendre les comptes un par un, sans connaître aucun autre mot de passe. Depuis votre messagerie, il peut aussi écrire à vos clients ou à votre famille en se faisant passer pour vous, et c'est ainsi que commencent bien des fausses factures. La messagerie mérite donc le meilleur mot de passe que vous ayez, différent de tous les autres, la double authentification avec la méthode la plus robuste qu'elle accepte et, de temps en temps, une vérification des sessions ouvertes et des règles de transfert. Si vous ne devez bien protéger qu'un seul compte cette semaine, que ce soit celui-là.

C'est bien mieux que de ne pas avoir de deuxième facteur, et moins bien que les alternatives. Le SMS dépend de votre ligne téléphonique, et certaines fraudes consistent à obtenir un duplicata de votre carte SIM ou à détourner vos messages ; de plus, le code peut être lu à voix haute à quelqu'un qui vous appelle en se faisant passer pour la banque. Le guide du NIST classe le SMS comme méthode « restreinte » et ne le considère pas comme résistant à l'hameçonnage. Une application d'authentification sur le téléphone génère le code sans dépendre de la ligne, ce qui écarte le duplicata de SIM, mais elle ne vous protège pas si vous saisissez vous-même le code sur une fausse page. Les clés physiques et les clés d'accès (passkeys) vont plus loin : elles ne fonctionnent que sur le site authentique. Utilisez la méthode la plus robuste que propose chaque service, et le SMS seulement là où il n'y a pas d'autre choix.

C'est pour cela qu'à l'activation, chaque service vous propose des codes de récupération : une liste de codes à usage unique qui permettent de vous connecter sans le téléphone. Imprimez-les ou conservez-les hors du téléphone, dans le gestionnaire de mots de passe ou sur papier chez vous, et ne les laissez pas dans une capture d'écran sur le téléphone même que vous risquez de perdre. Si le service le permet, ajoutez une deuxième méthode : un autre appareil, une clé physique de secours ou un numéro de téléphone de secours. Les applications d'authentification les plus courantes permettent aussi de sauvegarder leurs codes pour les transférer sur un nouveau téléphone ; vérifiez-le avant de changer d'appareil, pas après. Perdre son téléphone sans rien de tout cela n'est généralement pas définitif, mais la récupération de chaque compte devient une longue démarche auprès du support de chaque service, et certains ne la mènent jamais à bien.

Un carnet à la maison est plus sûr que le même mot de passe répété partout, car pour le lire il faut entrer chez vous, et la plupart des attaques viennent d'internet, pas du salon. Le problème du carnet n'est pas tant le vol que tout le reste : il n'est pas pratique à emporter, il ne génère pas de mots de passe longs, il incite à choisir des mots de passe courts pour ne pas se lasser de les recopier et, au bureau, il finit en post-it collé sur l'écran, exactement là où il ne faut pas. Pour une personne âgée qui utilise trois services, ce peut être une solution raisonnable. Pour quiconque a plus de dix comptes, ou pour une entreprise qui détient des données clients, le gestionnaire l'emporte largement : il retient, génère et remplit à votre place. Ce qu'il ne faut jamais faire, c'est garder sur le bureau de l'ordinateur un document non protégé intitulé « mots de passe ».

Beaucoup de gestionnaires de mots de passe et les principaux navigateurs vous préviennent déjà d'eux-mêmes : ils comparent vos mots de passe enregistrés à des listes de mots de passe divulgués sans les envoyer en clair et vous indiquent ceux qui sont exposés ou réutilisés. Consultez cette rubrique de temps en temps ; elle s'appelle généralement « contrôle de sécurité » ou « vérification des mots de passe ». Les services eux-mêmes peuvent aussi vous prévenir par e-mail lorsqu'ils subissent une fuite ; dans ce cas, connectez-vous en tapant vous-même l'adresse dans le navigateur, sans cliquer sur le lien du message, au cas où l'avertissement serait faux. Si un mot de passe apparaît comme divulgué, changez-le sur ce service et partout où vous l'utilisiez à l'identique. Et si vous remarquez quelque chose d'anormal, comme des connexions que vous ne reconnaissez pas, des messages envoyés que vous n'avez pas écrits ou des règles dans la messagerie que vous n'avez pas créées, n'attendez pas l'avertissement : changez le mot de passe et fermez les sessions ouvertes.