Un soir, un peu après 23 heures, j'ai reçu un SMS d'un numéro inconnu : « Code de vérification : 748 921. Ne le partagez avec personne. » Je n'avais rien demandé. Quelqu'un venait de saisir mon adresse e-mail et mon mot de passe sur un site, et tentait de passer la deuxième barrière de mon compte principal.
Ce soir-là, ce n'est pas mon mot de passe qui m'a sauvé. Il était vieux, court, réutilisé sur au moins cinq services depuis des années. C'est la double authentification. Si mon compte n'avait pas été protégé par une seconde étape, je vous écris cet article depuis une boîte mail que je ne contrôle plus.
Depuis, j'ai changé ma façon de faire. Pas avec des grands principes, mais avec des outils et des habitudes testées à l'usure. Voici ce que j'ai réellement mis en place, ce qui a tenu, et ce qui a échoué.
Points clés à retenir
- Un mot de passe unique par service, c'est la base. La réutilisation est ce qui transforme une petite fuite en catastrophe.
- Un gestionnaire de mots de passe chiffré fait le travail mieux que votre mémoire, à condition de choisir un modèle à chiffrement local ou « zero-knowledge ».
- La double authentification bloque la grande majorité des tentatives automatisées, mais seulement si vous évitez les codes par SMS quand un autre choix existe.
- Les passkeys (clés d'accès) remplacent progressivement le mot de passe sur les grands services. C'est plus solide contre l'hameçonnage.
- Après une fuite, l'ordre des gestes compte : révoquer les sessions actives, changer le mot de passe, puis vérifier les autres comptes où vous l'aviez réutilisé.
Protéger ses mots de passe : la vraie menace n'est pas celle qu'on croit
On imagine toujours un pirate devant un écran noir, en train de « casser » un mot de passe caractère par caractère. Franchement, presque personne ne fait ça. Il n'y a pas besoin.
Le scénario réel ressemble plutôt à ceci. Un forum, un site de e-commerce, une application oubliée se fait pirater. La base de données des utilisateurs part sur un forum souterrain. Votre adresse e-mail et votre mot de passe sont dedans, en clair, et quelqu'un les essaie ailleurs. C'est tout. Le credential stuffing — réutiliser les identifiants volés d'un site sur tous les autres — est mécaniquement ce qui fait fonctionner la majorité des attaques sur les comptes personnels.
Pourquoi un seul mot de passe partagé partout devient une catastrophe
Si vous utilisez le même mot de passe sur votre messagerie et sur un vieux compte de jeu en ligne dont vous avez oublié l'existence, ces deux comptes n'en font plus qu'un. La sécurité de l'ensemble tombe au niveau du site le plus fragile. Et le site le plus fragile, vous ne savez pas lequel c'est.
C'est la raison pour laquelle tous les organismes officiels répètent la même chose : un mot de passe différent par service. Le message est ennuyeux à force d'être répété. Il reste vrai.
Comment gérer ses mots de passe sans devenir fou
Une vingtaine de comptes, passe encore. Avec deux cents, il faut un outil, sinon vous finirez par réutiliser. C'est mathématique.
Un gestionnaire de mots de passe fait deux choses : il génère des mots de passe longs et aléatoires, et il les range dans un coffre chiffré que seule votre phrase de passe principale ouvre. Vous n'en retenez qu'une. Les autres existent uniquement sous forme chiffrée.
Ce qui distingue un coffre sérieux d'un simple carnet en ligne
Un bon gestionnaire ne peut pas lire vos mots de passe. Cette propriété porte un nom : zero-knowledge. Concrètement, tout est chiffré sur votre appareil avant l'envoi, et le serveur ne stocke que des données illisibles. Votre mot de passe maître ne quitte jamais votre machine.
Méfiez-vous des services gratuits qui ne détaillent pas ce point. J'en ai testé un, il y a quelques années, qui synchronisait les données sans jamais expliquer comment elles étaient chiffrées côté serveur. J'ai tout migré en une soirée. Un coffre gratuit peut être excellent — plusieurs le sont — mais le gratuit qui esquive la question du chiffrement, non.
Un coffre-fort mots de passe gratuit suffit-il ?
Pour un usage personnel, oui, très souvent. La plupart des grands gestionnaires proposent une formule gratuite qui synchronise un nombre illimité de mots de passe sur plusieurs appareils. Ce qui passe au payant, c'est généralement le partage sécurisé, l'alerte en cas de fuite, ou le stockage de fichiers.
Si vous hésitez, voici comment je compare les options concrètes :
| Type de solution | Chiffrement | Idéal pour | Limite principale |
|---|---|---|---|
| Gestionnaire cloud (gratuit ou payant) | Zero-knowledge, chiffré côté client | Usage personnel multi-appareils | Dépend d'un service tiers |
| Gestionnaire local (fichier chiffré) | Chiffrement sur votre disque uniquement | Profil technique, contrôle total | Pas de synchronisation automatique |
| Navigationneur (gestionnaire intégré) | Variable selon l'éditeur | Débuter sans rien installer | Difficile de migrer, dépendance à l'écosystème |
| Navigateur (gestionnaire Google) | Lié à votre compte Google | Usage simple si vous êtes déjà dans l'écosystème | Vous confiez tout à un seul fournisseur |
Où stocker ses mots de passe gratuitement ?
Le réflexe gratuit, c'est le gestionnaire intégré au navigateur ou au système. Celui de Google, par exemple, synchronise vos identifiants avec votre compte et les remplit automatiquement. C'est correct, pratique, et ça vaut infiniment mieux qu'un fichier texte.
La limite est le confort : tout dépend d'un seul fournisseur. Si vous tenez à la gratuité et à un peu plus de contrôle, un coffre dédié gratuit vous laisse exporter vos données quand vous voulez. Avouons-le, on ne change pas de gestionnaire tous les mois, mais le jour où l'on veut partir, pouvoir exporter change tout.
Passkeys et double authentification : la vraie ligne de défense
Un mot de passe, même parfait, reste un secret que quelqu'un peut vous extorquer. La double authentification ajoute une seconde preuve, que l'attaquant n'a pas forcément. C'est ce qui m'a sauvé ce soir-là.
Le principe est simple : après votre mot de passe, un second facteur est demandé — un code temporaire, une validation sur votre téléphone, une clé physique. Le gros avantage, c'est que même si votre mot de passe fuite, le compte tient bon.
Les passkeys, c'est quoi exactement ?
Une passkey (clé d'accès) remplace carrément le mot de passe. Au lieu d'un secret que vous tapez, votre appareil conserve une clé cryptographique privée, et le site détient la clé publique correspondante. Vous vous connectez en validant avec votre visage, votre empreinte ou un code local.
L'intérêt ? Il n'y a plus rien à voler côté serveur. Et surtout, une passkey est liée au site d'origine : impossible de la saisir sur une fausse page d'hameçonnage, puisqu'elle ne quitte jamais votre appareil. En 2026, la plupart des grandes plateformes la proposent. Si un service la propose, activez-la. S'il la propose et que vous ne l'activez pas, vous gardez le maillon faible.
Quel second facteur choisir en priorité ?
- Clé de sécurité physique ou passkey : le niveau le plus élevé. Coût : le prix d'une clé USB.
- Application d'authentification qui génère les codes sur votre téléphone : le bon compromis partout.
- Code par SMS : mieux que rien. Beaucoup mieux que rien, même. Mais vulnérable au détournement de ligne, alors évitez-le quand une alternative existe.
Mon ordre de priorité est clair, et je le défends : passkey ou clé physique d'abord, application ensuite, SMS en dernier recours. Sur les services que je considère critiques — messagerie, banque, compte principal — j'ai basculé tout ce que je pouvais vers des passkeys.
Que faire après une fuite de mots de passe
Une fuite n'est pas une question de « si », mais de « quand ». La bonne réaction tient en peu de gestes, mais dans le bon ordre. Beaucoup de gens le font à l'envers et perdent du temps précieux.
- Changer d'abord le mot de passe du compte concerné. Pas seulement sur le site piraté, mais partout où vous l'avez réutilisé.
- Révoquer les sessions actives. Un attaquant déjà connecté à votre compte n'a pas besoin de votre mot de passe pour rester dedans.
- Activer ou réactiver la double authentification. Réglez-la avant de dormir, si possible.
- Vérifier vos autres comptes importants. Messagerie en tête, puis banque, puis réseaux sociaux.
J'ajoute une cinquième étape que j'ai longtemps négligée : la phrase de passe de mon gestionnaire lui-même. Si elle a fuité quelque part, tout votre coffre est à refaire. C'est le seul mot de passe qui mérite une attention vraiment particulière.
Comment savoir si je suis concerné par une fuite ?
Vous ne le saurez presque jamais directement. Le site piraté vous préviendra rarement, et quand il le fait, c'est des mois plus tard. Le plus fiable : des services qui vérifient votre adresse e-mail contre les bases de données déjà publiées. Plusieurs gestionnaires intègrent cette alerte, et il existe des sites dédiés.
Ne vous contentez pas d'un seul contrôle. La fuite qui a failli me coûter mon compte était passée inaperçue dans le premier outil que j'avais consulté. En recoupant deux sources, je l'ai retrouvée.
Gérer les mots de passe en entreprise
En équipe, la logique change. Un compte partagé entre cinq personnes, ce n'est plus un mot de passe — c'est un problème de gouvernance. La bonne pratique est de ne plus jamais diffuser d'identifiants par messagerie ou dans un tableur. On passe par un coffre partagé, qui trace qui a accédé à quoi et quand.
Côté conformité, ce n'est plus optionnel. Le RGPD impose de protéger les accès aux données personnelles, et les réglementations sectorielles sur la cybersécurité durcissent progressivement les exigences pour les organisations sensibles. Pour une PME, le premier réflexe utile est simple : un coffre par personne, plus des partages explicites et révocables. Rien de plus, rien de moins.
J'ai vu des équipes partager un compte administrateur via une note partagée. Ça fonctionne jusqu'au jour où personne ne sait qui a modifié quoi, ni surtout qui doit changer le mot de passe après le départ d'un salarié.
Ce qui compte vraiment
La vérité, c'est que la sécurité des mots de passe n'a rien de spectaculaire. Elle se résume à une discipline ennuyeuse, appliquée avec constance : un gestionnaire qui génère et range, une deuxième couche partout où c'est possible, et une réaction rapide le jour où ça tourne mal.
Mon SMS suspect de ce soir-là n'est jamais revenu. La double authentification l'a bloqué sans que je fasse quoi que ce soit. C'est un peu ça, la protection parfaite : vous ne la remarquez jamais, parce qu'elle fait exactement son travail pendant que vous dormez.
Reste une question qui mérite d'être posée posément. Si demain on publiait le contenu de votre gestionnaire de mots de passe — pas votre phrase de passe principale, juste le reste — combien de vos comptes tomberaient dans l'heure ? Le chiffre vous donnera votre vraie priorité pour ce week-end.
