Bien choisir et gérer ses mots de passe

Un mot de passe différent par compte, une phrase de passe facile à retenir, un gestionnaire pour tout ranger, la double authentification et les clés d'accès. Sans être expert.

La règle essentielle

Un compte = un mot de passe différent.

Des sites se font pirater régulièrement, et les mots de passe volés sont essayés ailleurs. Avec un mot de passe différent par compte, un site piraté ne donne accès à rien d'autre.

1. Une phrase de passe, facile à retenir

Pour un mot de passe que vous tapez vous-même, la longueur compte plus que la complication : au moins 12 caractères, et de préférence quatre mots tirés au hasard, reliés par des tirets.

Exemple : torche-brioche-lavande-cartable

• Au hasard, vraiment : ouvrez un livre à quatre pages au hasard et prenez un mot sur chacune, ou laissez un gestionnaire de mots de passe les tirer pour vous. Une phrase qui a du sens (« Mon chat dort sur le canapé ») se devine plus facilement.
• Si un site exige un chiffre et un caractère spécial, ajoutez-les : torche-brioche-lavande-cartable-7!
• Évitez les caractères qui se confondent quand on lit ou recopie : O et 0, I, l et 1, S et 5, B et 8.

Mieux vaut un mot de passe long, simple à taper et différent pour chaque compte qu'un mot de passe compliqué que l'on finit par réutiliser partout.

2. Où les noter

• Un carnet papier, rangé à la maison et jamais emporté : c'est simple et sûr. Notez le site, l'identifiant et le mot de passe.
• Jamais dans un mail, un SMS, une note du téléphone non protégée ou un fichier « mots de passe » sur le bureau.
• Ne donnez votre mot de passe à personne : ni à un conseiller, ni au support technique, ni à un proche par message. Aucun service sérieux ne le demande.

3. Un gestionnaire de mots de passe

Un gestionnaire est un coffre-fort qui retient tous vos mots de passe. Il en crée de longs et différents pour chaque site, les remplit à votre place, et vous n'en retenez plus qu'un : celui du coffre.

Exemple de mot de passe créé par un gestionnaire : q7#Vt2!mK9@rP4$xL8&nZ. Vous n'avez pas à le retenir ni à le taper : le gestionnaire s'en charge.

Le mot de passe du coffre

C'est le seul que vous devez retenir, et il protège tous les autres. Choisissez une phrase de passe d'au moins quatre mots, différente de toutes les autres, et notez-la sur papier, rangée avec vos papiers importants : un gestionnaire ne peut pas la retrouver si vous l'oubliez.

4. La double authentification

Elle demande une deuxième preuve après le mot de passe : un code, ou une validation sur le téléphone. Même avec votre mot de passe, un pirate ne peut pas entrer.

Activez-la en priorité sur : votre messagerie (c'est elle qui permet de changer tous les autres mots de passe), votre banque, votre gestionnaire de mots de passe, vos comptes importants (impôts, santé, réseaux sociaux).

• Une application de validation, ou une clé d'accès, protège mieux qu'un code par SMS ; le SMS reste bien mieux que rien.
• Notez les codes de secours que le service vous donne, avec vos papiers : ils servent si vous changez de téléphone.
• Un code reçu ne se donne jamais, même à quelqu'un qui se présente comme votre banque : voir Bloquer les appels indésirables.

Le réglage se trouve dans la partie Sécurité de chaque compte, sous le nom « validation en deux étapes », « double authentification » ou « vérification en deux étapes ».

5. Les clés d'accès (passkeys)

De plus en plus de services (Google, Apple, Microsoft, certaines banques et boutiques) proposent une clé d'accès à la place du mot de passe : vous vous connectez en déverrouillant votre téléphone ou votre ordinateur (empreinte, visage ou code), comme d'habitude.

• Rien à retenir, rien à taper.
• Impossible à voler par un faux site : la clé ne fonctionne que sur le vrai site, ce qui déjoue l'hameçonnage.
• Quand un site vous propose « Créer une clé d'accès », vous pouvez accepter. Gardez votre téléphone verrouillé par un code, et vos moyens de récupération à jour.

6. Un mot de passe a peut-être fuité

• Votre téléphone ou votre gestionnaire signale les mots de passe exposés dans des piratages : voir Faire le point sur ses comptes, rubrique « Les mots de passe exposés ».
• Changez d'abord celui du compte concerné, puis tous les comptes où vous aviez le même.
• Quelqu'un est déjà entré dans votre compte : voir Mon compte est piraté.

À éviter

• 123456, azerty, motdepasse et les mots de passe très courants.
• Votre prénom, votre date de naissance, le nom de votre animal ou toute information facile à trouver.
• Un ancien mot de passe auquel on ajoute 1 ou !.
• Un exemple trouvé sur cette page ou sur Internet.

En résumé

1. Un compte = un mot de passe différent.
2. Une phrase de passe de quatre mots au hasard, ou un gestionnaire qui retient tout.
3. La double authentification, d'abord sur la messagerie et la banque ; une clé d'accès quand le site la propose.

Pour vous entraîner : Mots de passe : vrai ou faux ?. Un mot de passe oublié : J'ai oublié mon mot de passe.