Gestionnaire de mots de passe : mieux que votre mémoire

Le conseil habituel, c'est "utilisez des mots de passe solides". Le problème, c'est ce que personne ne dit ensuite : personne ne peut retenir quarante mots de passe différents et compliqués. Alors les gens font ce qui est humain : ils réutilisent le même partout, ou changent juste un chiffre à la fin. Et c'est là, pas dans la force d'un mot de passe, que se trouve la vraie faille.

Le problème n'est pas votre mot de passe. C'est de le réutiliser

Imaginez qu'une boutique quelconque où vous vous êtes inscrit il y a des années subisse une fuite. Votre e-mail et votre mot de passe se retrouvent sur une liste qui circule en ligne. Si ce même mot de passe ouvre aussi votre messagerie, votre banque et vos réseaux, un attaquant n'a pas besoin de vous "pirater" : il teste simplement cette combinaison partout. Cela s'appelle le credential stuffing, et c'est automatisé.

Un mot de passe très long ne vous sauve pas si vous l'avez utilisé à deux endroits. La vraie sécurité n'est pas d'être difficile à deviner : c'est d'être unique pour chaque service.

Ce que fait exactement un gestionnaire de mots de passe

Un gestionnaire génère et enregistre un mot de passe différent pour chaque site, et le remplit à votre place. Vous n'en retenez qu'un : le mot de passe maître qui ouvre le gestionnaire. Les autres peuvent être des chaînes impossibles à mémoriser, puisque vous n'avez pas à les retenir.

Résultat : si un site fuit demain, les dégâts restent sur ce site. Aucun autre compte ne partage cette clé.

Soyons honnêtes : et s'il arrive quelque chose au gestionnaire ?

C'est le doute légitime, et il mérite une réponse franche : oui, vous concentrez tout derrière une seule porte. C'est précisément pour ça qu'elle doit être bonne. Deux choses la rendent très solide :

1. Un mot de passe maître long. Pas rempli de symboles bizarres, mais long : une phrase de quatre ou cinq mots que vous seul reliez. Facile à retenir, très difficile à casser.

2. Un second facteur. Activez la validation en deux étapes sur le gestionnaire lui-même. Même en connaissant le mot de passe maître, il manquerait la seconde étape.

Comparé au système du "même mot de passe partout", un gestionnaire bien verrouillé n'est pas un risque plus grand : il est bien plus petit.

Que regarder pour en choisir un

Chiffrement à connaissance nulle. Même l'entreprise ne peut pas lire ce que vous stockez. Si elle ne peut pas le voir, elle ne peut ni le livrer ni le perdre dans une fuite.

Il fonctionne sur vos appareils. Téléphone et ordinateur, avec remplissage automatique. Si c'est pénible, vous ne l'utiliserez pas.

Export libre. Vous pouvez emporter vos données si un jour vous voulez changer. Méfiez-vous de ce qui vous enferme.

Le principe de fond

Tout cela relève d'une même habitude : réduire les points de défaillance. Un mot de passe différent par site limite les dégâts d'une fuite. Un second facteur limite les dégâts d'un mot de passe volé. Et choisir des outils qui n'accumulent pas plus de données que nécessaire limite ce qui peut être perdu en votre nom — la même raison pour laquelle certaines messageries ne demandent même pas votre numéro de téléphone pour discuter.

Il ne s'agit pas de devenir paranoïaque. Il s'agit de faire en sorte que, le jour où quelque chose lâche — et quelque chose lâche toujours — la panne reste petite.