Accueil › Mots de passe et comptes
La plupart des atteintes à la vie privée des particuliers ne viennent pas d'un piratage sophistiqué, mais d'un compte mal protégé : un mot de passe réutilisé, une double authentification absente, un e-mail de récupération négligé. C'est le terrain le plus rentable pour renforcer sa confidentialité en ligne, parce que les gestes sont simples et l'effet immédiat.
Un mot de passe donne accès à un compte, et un compte contient souvent de quoi accéder à d'autres : adresse, historique, contacts, moyens de paiement, et surtout la possibilité de réinitialiser d'autres services. Protéger ses comptes, c'est protéger la porte d'entrée de toute sa vie numérique.
La longueur compte plus que la complexité. Un mot de passe court truffé de symboles se casse plus vite qu'une longue suite de mots ordinaires. La raison est mathématique : chaque caractère supplémentaire multiplie le nombre de combinaisons à essayer, alors que remplacer un « a » par un « @ » n'ajoute presque rien face à un outil qui connaît ces substitutions.
En pratique : visez au moins douze à seize caractères, ou une phrase de passe de quatre à cinq mots sans lien logique évident. N'utilisez jamais de mots liés à votre vie (prénoms, dates, animal, équipe), qui sont les premiers testés.
Le scénario le plus courant : un site sans importance se fait pirater, sa base de mots de passe se retrouve en ligne, et des outils automatisés essaient ces couples identifiant / mot de passe sur des centaines d'autres services — messagerie, banque, réseaux sociaux. Cette technique, appelée « bourrage d'identifiants », ne fonctionne que grâce à la réutilisation. Un mot de passe unique par compte la neutralise entièrement : la fuite reste circonscrite au site concerné.
Retenir des dizaines de mots de passe uniques est impossible. Le gestionnaire résout ce problème : il stocke vos identifiants dans un coffre chiffré, que vous ouvrez avec un seul mot de passe maître — le seul que vous ayez à mémoriser, donc long et unique. Il génère aussi des mots de passe aléatoires et les remplit automatiquement, ce qui protège au passage contre certains sites d'hameçonnage puisqu'il ne reconnaît pas la fausse adresse.
Points à regarder : le coffre doit être chiffré localement avant tout envoi éventuel vers un serveur ; une version à code ouvert est plus vérifiable ; un stockage purement local évite tout tiers mais complique la synchronisation entre appareils. Le mot de passe maître ne doit jamais être réutilisé ailleurs, et sa perte est en général irréversible : conservez une méthode de récupération sûre.
La double authentification ajoute une seconde preuve au moment de la connexion, en plus du mot de passe. Toutes les méthodes ne se valent pas.
Dans tous les cas, générez et conservez hors ligne les codes de secours fournis à l'activation : ils sont votre filet si vous perdez votre téléphone ou votre clé.
Nom de jeune fille de la mère, ville de naissance, premier animal : ces réponses se trouvent souvent en ligne ou se devinent. Traitez-les comme des mots de passe : inventez des réponses fausses et aléatoires, et stockez-les dans le gestionnaire.
Votre adresse e-mail principale sert à réinitialiser presque tous vos autres comptes. Si quelqu'un y accède, il accède en cascade au reste. C'est le compte à protéger en priorité : mot de passe long et unique, double authentification par application ou clé physique, et vérification régulière des règles de transfert automatique, qu'un intrus pourrait ajouter pour lire votre courrier discrètement.
Plutôt que de casser un mot de passe, il est souvent plus simple de le demander à la victime. Un e-mail ou un SMS imite un service connu, crée un sentiment d'urgence — « votre compte va être suspendu », « connexion inhabituelle détectée » — et renvoie vers une fausse page de connexion très ressemblante. Vous saisissez vos identifiants ; ils partent directement chez l'attaquant.
Deux protections concrètes. Le gestionnaire de mots de passe ne propose pas de remplir le formulaire sur une adresse qu'il ne reconnaît pas : cette hésitation est un signal d'alarme. La clé de sécurité physique, elle, refuse purement et simplement de répondre à un site dont l'adresse ne correspond pas. En complément : ne cliquez jamais sur le lien d'un message pour vous connecter ; ouvrez le site vous-même depuis un favori ou en tapant l'adresse.
Sur un ordinateur qui n'est pas le vôtre — bibliothèque, hôtel, poste d'un collègue —, partez du principe que tout ce que vous tapez peut être enregistré. Évitez d'y saisir des identifiants sensibles. Si vous devez vous connecter, utilisez une fenêtre de navigation privée, décochez « rester connecté », et surtout déconnectez-vous explicitement à la fin plutôt que de simplement fermer l'onglet. Au retour sur votre appareil habituel, un coup d'œil à la liste des sessions actives de vos comptes principaux permet de révoquer un accès oublié.
Des services gratuits permettent de vérifier si vos adresses apparaissent dans des fuites connues ; certains gestionnaires intègrent cette surveillance et vous alertent. Si un compte est concerné : changez son mot de passe immédiatement, changez-le aussi partout où vous l'aviez réutilisé, activez la double authentification, et méfiez-vous dans les jours qui suivent des e-mails ou SMS qui exploitent l'actualité de la fuite pour vous soutirer vos identifiants.
Utiliser la même adresse e-mail et le même profil partout facilite le recoupement de vos activités par des tiers, exactement comme le décrit la page sur le pistage web. Créer des adresses distinctes — une pour les comptes sensibles, une pour les inscriptions secondaires, des alias jetables pour le reste — cloisonne les dégâts d'une fuite et réduit la traçabilité.
Un dernier principe : la sécurité des comptes n'est jamais « finie ». Une à deux fois par an, faites le tour — sessions actives, appareils autorisés, règles de transfert de la messagerie, anciens comptes à fermer, codes de secours toujours accessibles. Ce contrôle de routine rattrape les oublis avant qu'ils ne deviennent des portes d'entrée.
Pour choisir les outils qui portent tout cela — gestionnaire, messagerie, service de double authentification —, la méthode d'évaluation est détaillée dans comment choisir un outil de confidentialité.