La méthode des mots de passe qui tient en trois règles

Les conseils de sécurité ont longtemps produit l’effet inverse de celui recherché. À force d’exiger une majuscule, un chiffre et un caractère spécial, on a obtenu des millions de Bonjour123! — un mot de passe conforme aux règles et parfaitement prévisible.

La sécurité réelle tient en trois principes, dans cet ordre d’importance.

Règle 1 — La longueur prime sur la complexité

Chaque caractère supplémentaire multiplie le temps nécessaire pour casser un mot de passe. Chaque symbole exotique, lui, ne fait que le rendre pénible à taper.

Une phrase de passe de quatre mots sans rapport entre eux — girafe-tiroir-pluie-bougie — est plus solide qu’un Xk9!m que vous ne retiendrez pas.

Objectif : 16 caractères minimum pour les comptes qui comptent.

Règle 2 — Un mot de passe par compte, sans exception

C’est la règle qui protège le plus, et celle qu’on applique le moins.

Le scénario réel n’est pas qu’un pirate « devine » votre mot de passe. C’est qu’un site quelconque — un forum, une boutique — se fasse voler sa base de données. Les identifiants volés sont ensuite testés automatiquement sur des centaines d’autres services. Si vous réutilisez le même, une fuite chez un petit marchand ouvre votre messagerie, donc tout le reste.

Retenir cinquante mots de passe distincts est impossible. C’est précisément pourquoi les gestionnaires de mots de passe existent.

Règle 3 — La double authentification sur les comptes clés

Même un mot de passe volé devient inutilisable si une deuxième preuve est exigée.

Priorité absolue, dans cet ordre :

1. votre messagerie principale — c’est la clé de tous les autres comptes, via « mot de passe oublié » ;
2. votre banque ;
3. vos comptes de stockage en ligne ;
4. vos réseaux sociaux.

Toutes les méthodes ne se valent pas :

Le SMS reste très supérieur à l’absence de double authentification : si c’est la seule option proposée, activez-la.

Le gestionnaire de mots de passe : l’objection et la réponse

« Mettre tous ses mots de passe au même endroit, c’est risqué. » L’objection est logique, mais l’alternative — réutiliser trois mots de passe partout — est nettement plus dangereuse. Un gestionnaire chiffre la base localement : sans votre mot de passe principal, le contenu est illisible, y compris pour l’éditeur du logiciel.

Ce qu’il faut vérifier avant d’en choisir un :

• chiffrement de bout en bout, l’éditeur ne peut pas lire vos données ;
• export possible dans un format standard, pour ne pas rester captif ;
• fonctionnement hors ligne ;
• audits de sécurité publiés.

Le plan de migration, en trois soirées

Soirée 1 — Installez le gestionnaire, choisissez un mot de passe principal long (une phrase), activez la double authentification dessus, notez la clé de récupération sur papier et rangez-la ailleurs qu’à côté de l’ordinateur.

Soirée 2 — Changez les mots de passe des cinq comptes critiques : messagerie, banque, stockage, opérateur, réseau social principal. Générez-les au hasard, laissez le gestionnaire les retenir.

Soirée 3 — Traitez le reste au fil de l’eau : à chaque connexion à un vieux compte, changez le mot de passe. En un mois, tout est passé.

Ce qui ne sert à rien

• Changer de mot de passe tous les trois mois. Cette pratique pousse à des variantes prévisibles (Été2026, Été2026!). Changez quand il y a une raison de le faire.
• Les indices personnalisés. « Nom de mon chien + année » est une information que vous avez probablement publiée.
• Les carnets de mots de passe rangés sous le clavier. Un carnet dans un tiroir fermé, en revanche, reste préférable à la réutilisation.