Les guides
Gestionnaire de mots de passe : à quoi ça sert vraiment
Tous les conseils de sécurité finissent par la même phrase : « un mot de passe différent pour chaque compte ». Personne ne peut tenir ça de tête, et c’est le problème que résout un gestionnaire. Voici ce qu’il fait, ce qu’il ne fait pas et comment s’y mettre sans y passer la journée.
Le problème qu’il résout
Une fuite de données est rarement grave à elle seule. Elle le devient quand le mot de passe volé sur un petit site ouvre aussi votre boîte mail, un site marchand ou votre banque. Pas besoin d’être un génie pour ça : les listes de mots de passe volés sont essayées automatiquement sur d’autres sites.
Un mot de passe par compte casse ce mécanisme. Mais il faudrait retenir des dizaines de mots de passe, ce qui finit toujours de la même façon : la variante avec un chiffre au bout, le carnet perdu, le même mot de passe partout. Le gestionnaire ne rend pas la règle plus sûre : il la rend tenable.
Comment ça marche
Un gestionnaire est un coffre protégé par un seul mot de passe, dit « maître ». Vous retenez celui-là, il retient tous les autres. Au quotidien :
- Il propose un mot de passe unique à chaque création de compte et l’enregistre à votre place.
- Il remplit les formulaires de connexion tout seul, sur ordinateur comme sur téléphone.
- Il ne remplit rien sur un faux site : le remplissage est lié à l’adresse exacte du site. Une imitation, même réussie, ne déclenche rien, ce qui protège aussi contre le phishing.
« Tous les œufs dans le même panier ? »
L’objection est légitime. Oui, le coffre rassemble tout. Oui, des éditeurs de gestionnaires ont déjà eu des incidents de sécurité. Mais le contenu du coffre est brouillé : sans votre mot de passe maître, un coffre volé reste illisible. C’est pourquoi un mot de passe maître faible affaiblit tout le reste.
La bonne comparaison n’est pas entre un gestionnaire et un coffre-fort parfait, mais entre un gestionnaire et le même mot de passe partout. Cette deuxième situation est exploitée tous les jours, automatiquement. Pour la plupart des gens, le gestionnaire est nettement plus sûr.
Par où commencer, sans tout reprendre
L’erreur classique est de vouloir reprendre cent comptes en une soirée. Mieux vaut commencer par ceux qui permettent de récupérer les autres :
- Choisir un gestionnaire. Le plus simple est celui qui est déjà dans votre téléphone ou votre navigateur (celui d’Apple sur un iPhone, celui de Google sur Android ou dans Chrome) : il est gratuit et suffit à la plupart des gens. Une application à part sert surtout si vous voulez partager des mots de passe en famille ou passer d’un iPhone à un ordinateur Windows. Le meilleur est celui que vous utiliserez vraiment.
- Un mot de passe maître long : une phrase d’au moins sept mots sans rapport entre eux, comme le recommande la CNIL, qui ne sert nulle part ailleurs.
- Les codes de récupération fournis à l’installation, notés sur papier et rangés chez vous. C’est l’étape la plus souvent oubliée, et elle manque au pire moment.
- Cinq comptes, pas cinquante : boîte mail, banque, opérateur, le site marchand que vous utilisez le plus et le compte lié à votre téléphone. Le reste se fera au fil de vos connexions.
- La double authentification sur la boîte mail et sur le coffre lui-même.
Et si je préfère le papier ?
Un carnet rangé chez vous, avec un mot de passe unique par compte, vaut mieux qu’un mot de passe réutilisé partout. Ce n’est pas le plus pratique (pas de remplissage automatique et c’est compliqué avec le téléphone), mais ce n’est pas absurde : ceux qui essaient des listes de mots de passe volés sont loin, pas dans votre salon. Seule précaution : laisser le carnet à la maison, pour qu’un sac volé n’emporte pas l’ordinateur et tous vos mots de passe d’un coup.