On reçoit une alerte de connexion suspecte sur sa boîte mail un dimanche soir, et la première réaction est de se demander quel mot de passe on avait mis sur ce compte. Souvent, c’est le même que sur trois autres services. Sécuriser ses mots de passe au quotidien ne relève pas d’une discipline abstraite : c’est une série de gestes concrets qui évitent de perdre l’accès à ses comptes, ses données personnelles ou ses outils de travail.
Mots de passe volés : ce qui a changé côté attaques
Les contenus concurrents parlent beaucoup de mots de passe « faibles ». Le problème s’est déplacé. Selon le rapport Verizon DBIR 2025, 88 % des attaques contre des applications web basiques impliquent des identifiants volés. On ne parle plus seulement de combinaisons devinées par force brute, mais de bases de données entières d’identifiants récupérés par des logiciels malveillants de type infostealer, puis revendus.
Un mot de passe de 14 caractères avec majuscules et symboles ne protège pas si ce même mot de passe a été aspiré sur un poste infecté. La robustesse du mot de passe ne suffit plus sans hygiène globale : mises à jour des logiciels, vérification des sessions actives, surveillance des fuites de données associées à son adresse mail.
L’exploitation de vulnérabilités techniques est d’ailleurs en train de détrôner le vol de mots de passe comme première porte d’entrée des compromissions au niveau global. Les bonnes pratiques de gestion des mots de passe doivent donc s’intégrer dans un ensemble plus large de cybersécurité, pas rester isolées.
Entropie et recommandation CNIL : construire un mot de passe solide
La CNIL a adopté en juillet 2022 une nouvelle recommandation qui abroge celle de 2017. Le changement majeur : on raisonne désormais en entropie minimale de 80 bits plutôt qu’en nombre de types de caractères imposés. En pratique, cela signifie qu’une phrase de passe longue composée uniquement de mots courants peut atteindre le seuil requis, à condition qu’elle soit suffisamment longue et imprévisible.
Phrase de passe ou combinaison aléatoire
La phrase de passe fonctionne bien au quotidien parce qu’on la retient. « CaféVertSurTableBleue » se mémorise sans effort. Une combinaison générée aléatoirement par un gestionnaire (du type « k7$Rz!mP2xVn ») est plus dense en entropie à longueur égale, mais personne ne la tape de mémoire.
Le choix dépend du contexte. Pour le mot de passe maître d’un gestionnaire, on a besoin de le retenir : la phrase de passe est adaptée. Pour les dizaines d’autres comptes, on délègue la génération et le stockage au gestionnaire.
Abandon du renouvellement périodique
La CNIL ne recommande plus de changer ses mots de passe à intervalle régulier pour les comptes utilisateurs classiques. Le renouvellement doit intervenir en cas de suspicion ou de preuve de compromission. Forcer un changement tous les 90 jours poussait les utilisateurs à incrémenter un chiffre en fin de mot de passe, ce qui n’améliorait pas la sécurité.
Gestionnaire de mots de passe : le choix du coffre-fort
Utiliser un mot de passe unique par service implique d’en gérer des dizaines. Sans outil, on finit par noter ses identifiants dans un fichier texte ou dans les notes du téléphone. Un gestionnaire de mots de passe chiffre l’ensemble de la base et la protège derrière un seul mot de passe maître.
Voici les critères concrets pour choisir un gestionnaire adapté :
- Chiffrement local des données avant synchronisation, pour que le fournisseur du service n’ait jamais accès aux mots de passe en clair
- Compatibilité multiplateforme (ordinateur, téléphone, navigateur) avec remplissage automatique des formulaires de connexion
- Fonction de génération aléatoire intégrée, avec paramétrage de la longueur et des types de caractères
- Alerte en cas de fuite détectée sur un identifiant stocké dans le coffre
KeePassXC est une solution gratuite et open source régulièrement citée par l’ANSSI. Les solutions commerciales (Bitwarden, 1Password) ajoutent la synchronisation cloud native et une interface plus accessible pour les utilisateurs non techniques. Les retours varient sur le confort d’utilisation selon les plateformes.
Authentification multifacteur : le verrou supplémentaire contre le vol d’identifiants
Même avec un mot de passe robuste stocké dans un gestionnaire, un identifiant volé par un infostealer donne accès au compte. L’authentification multifacteur (MFA) ajoute une vérification indépendante du mot de passe : un code temporaire, une notification sur le téléphone, ou une clé physique.
Activer la double authentification sur les comptes sensibles bloque la majorité des tentatives d’accès frauduleux, même quand le mot de passe a été compromis. Les comptes prioritaires sont la messagerie principale (c’est elle qui reçoit les liens de réinitialisation de tous les autres comptes), les services bancaires, et les outils professionnels.
Quel second facteur privilégier
Le SMS reste le facteur le plus répandu, mais il est vulnérable aux attaques par échange de carte SIM. Une application d’authentification (type TOTP) génère des codes localement sur le téléphone, sans dépendre du réseau mobile. Pour les comptes d’entreprise ou les accès critiques, les clés de sécurité physiques (FIDO2/WebAuthn) offrent le niveau de protection le plus élevé.
- SMS : facile à activer, mais interceptable via SIM swapping
- Application TOTP (Google Authenticator, Authy) : bon compromis sécurité et praticité pour la plupart des utilisateurs
- Clé physique USB (YubiKey, Titan) : protection maximale, surtout en environnement professionnel
Vérifier ses comptes après une fuite de données
On apprend souvent qu’un service a subi une fuite de données plusieurs mois après les faits. Vérifier régulièrement si son adresse mail apparaît dans des bases compromises permet de réagir avant qu’un attaquant n’exploite les identifiants récupérés.
Quand une fuite est confirmée, la marche à suivre est simple : changer le mot de passe du service concerné, puis vérifier tous les comptes où on aurait pu réutiliser le même mot de passe. C’est la réutilisation qui transforme une fuite isolée en compromission en chaîne.
La gestion des mots de passe n’est qu’une couche dans une posture de cybersécurité plus large. Maintenir ses logiciels à jour, vérifier les sessions actives sur ses comptes et limiter les permissions accordées aux applications tierces complètent le dispositif. Un coffre-fort bien configuré avec un second facteur actif sur les comptes critiques couvre la très grande majorité des risques liés aux identifiants.
