Mots de passe solides : sécuriser vos comptes en ligne

Le piratage d’un compte ne commence pas toujours par un génie encapuchonné qui devine votre prénom de chat. Le scénario le plus banal est beaucoup moins glamour : un site où vous aviez un vieux compte subit une fuite, votre adresse e-mail et votre mot de passe circulent, puis quelqu’un essaie exactement la même combinaison sur votre messagerie, vos réseaux, une boutique ou votre banque. Cette technique s’appelle le credential stuffing. Elle adore les mots de passe réutilisés ; elle se moque de votre créativité.

Comprendre les portes vraiment convoitées

Tous vos comptes n’ont pas la même valeur, mais certains donnent accès aux autres. L’adresse e-mail principale est la clé de réinitialisation de nombreux services. Viennent ensuite le compte Apple, Google ou Microsoft, les banques, les plateformes de paiement, les opérateurs mobiles et les réseaux sociaux utilisés professionnellement. Sécuriser ces comptes en premier produit un gain concret, même si votre ménage numérique n’est pas encore parfait.

Un mot de passe robuste ne protège pas contre tout : une fausse page de connexion peut vous le soutirer, un logiciel espion sur un ordinateur compromis peut le capter, et une récupération de compte mal configurée peut contourner la serrure. La stratégie efficace empile donc trois couches : un secret unique, une preuve supplémentaire de connexion et des appareils correctement verrouillés.

• E-mail principal : à traiter comme le compte le plus sensible, car il reçoit les liens de réinitialisation et les alertes de sécurité.
• Banque et paiement : activez la validation forte proposée par l’établissement et vérifiez que le numéro de téléphone de récupération est à jour.
• Compte mobile : protégez aussi l’espace client de l’opérateur ; une fraude au transfert de numéro peut fragiliser les codes SMS.
• Réseaux sociaux : un compte détourné sert à arnaquer vos proches, voler votre audience ou lancer des campagnes de phishing sous votre nom.

Un mot de passe solide ne se retient pas

Le bon objectif n’est pas de fabriquer un mot de passe astucieux que vous saurez retaper vingt fois. C’est de créer un secret long, imprévisible et différent sur chaque site. Une suite de 18 à 24 caractères tirés au hasard par un générateur est excellente pour un compte ordinaire. Elle est pénible à mémoriser, précisément parce qu’elle ne doit pas l’être.

La longueur gagne contre les astuces

Les substitutions prévisibles ne trompent plus personne : remplacer un « a » par « @ », ajouter « ! » à la fin ou glisser votre année de naissance crée des variantes que les outils d’attaque testent très bien. Une phrase connue, des paroles de chanson, une réplique de série et les informations visibles sur vos réseaux restent également de mauvais matériaux. La longueur utile vient d’éléments qui n’ont aucun lien personnel entre eux.

• Compte courant : générez 16 à 24 caractères, avec lettres, chiffres et symboles si le site les accepte ; laissez le gestionnaire choisir la composition.
• Phrase maîtresse : assemblez 4 à 6 mots pris au hasard, sans citation ni logique biographique, par exemple des mots concrets sans rapport entre eux. N’utilisez jamais un exemple lu en ligne tel quel.
• Site capricieux : si un service limite la longueur ou interdit certains caractères, utilisez le maximum autorisé et conservez un mot de passe unique pour lui.
• Question secrète : ne répondez pas avec une information vraie. Traitez chaque réponse comme un second mot de passe aléatoire enregistré dans votre gestionnaire.

Les fausses bonnes idées à jeter

« Azerty », « MotDePasse2025! », le prénom des enfants, un nom de ville suivi de deux chiffres et un modèle du type « Site!2025 » ne sont pas des mots de passe distincts au sens utile. Dès qu’un seul est révélé, votre système de variation devient devinable. Même problème avec un cahier posé près de l’ordinateur : il peut dépanner à la maison, mais pas s’il contient aussi vos identifiants, vos codes de récupération et l’adresse de votre coffre-fort numérique.

Le gestionnaire : votre coffre, pas un luxe

Un gestionnaire de mots de passe crée, enregistre et remplit des secrets uniques. C’est la solution la plus réaliste pour sortir du duo dangereux « même mot de passe partout » et « post-it qui fait le tour du salon ». Les bons outils synchronisent un coffre chiffré entre vos appareils, proposent un générateur, signalent les doublons et stockent aussi les codes de récupération, notes sécurisées ou numéros de carte si vous choisissez de le faire.

Choisissez un service établi, mis à jour régulièrement, avec chiffrement de bout en bout annoncé clairement, authentification multifacteur pour le coffre, export possible de vos données et procédure de récupération expliquée avant l’achat. Une formule familiale ou premium coûte souvent autour de 2 à 5 € par mois ; des offres gratuites sérieuses existent, parfois avec des limites de synchronisation ou de partage. Le prix ne remplace jamais une phrase maîtresse robuste.

• Phrase maîtresse : créez-la uniquement pour le coffre, avec 4 à 6 mots aléatoires ou davantage ; ne la recyclez sur aucun site.
• MFA du coffre : activez-la tout de suite, idéalement avec une application d’authentification ou une clé de sécurité.
• Verrouillage automatique : réglez un verrouillage après quelques minutes d’inactivité sur mobile et ordinateur portable.
• Export de secours : conservez une copie chiffrée ou une procédure documentée dans un endroit sûr ; un export en clair sur le Bureau est une très mauvaise idée.

MFA et passkeys : ajoutez une seconde serrure

L’authentification multifacteur, ou MFA, demande autre chose que le mot de passe : un code d’application, une notification à valider, une clé physique ou une passkey. Elle bloque une grande partie des connexions frauduleuses faites avec un mot de passe volé. Elle n’autorise pas pour autant le pilotage automatique : valider une demande inattendue revient à ouvrir la porte à quelqu’un qui a déjà son pied dans l’embrasure.

Préférez ce qui résiste au phishing

Les passkeys remplacent progressivement le mot de passe sur les services qui les proposent. Elles reposent sur le verrouillage de votre téléphone ou ordinateur — code local, empreinte ou reconnaissance faciale — et sont liées au vrai site, ce qui les rend beaucoup plus difficiles à voler via une page imitée. Les clés de sécurité physiques offrent une protection comparable, voire supérieure pour un e-mail professionnel, un compte administrateur ou un portefeuille financier. Gardez-en idéalement deux : une sur vous, une de secours à domicile.

1. Passkey ou clé physique : premier choix quand le service l’accepte, surtout pour l’e-mail, les comptes cloud et l’administration.
2. Application d’authentification : très bon compromis ; elle produit un code temporaire sans dépendre du réseau mobile.
3. Notification à valider : pratique, mais vérifiez toujours le lieu, l’appareil et l’heure avant d’accepter.
4. SMS : mieux que rien, mais moins robuste face au phishing et aux fraudes liées au numéro de téléphone.

Faire le ménage sans y passer dimanche

Ne tentez pas de réinitialiser cent comptes à l’aveugle : vous finirez par créer des variations réutilisées et par perdre l’élan. Un audit en trois vagues est plus efficace. Commencez par les comptes qui réinitialisent les autres, poursuivez avec l’argent et les données privées, puis supprimez les vieux comptes marchands, forums et essais gratuits dont vous n’avez plus l’usage.

Votre gestionnaire peut repérer les mots de passe répétés ou compromis, mais gardez du discernement. Pour savoir si une adresse e-mail a figuré dans une fuite connue, utilisez un service de notification de fuite réputé et saisissez l’adresse, pas votre mot de passe sur un « testeur » obscur. Si une alerte concerne un service où vous avez encore un compte, changez immédiatement le secret de ce service et vérifiez qu’il n’a été utilisé nulle part ailleurs.

Changer au bon moment, pas par superstition

Le changement systématique tous les 60 ou 90 jours a un défaut très humain : il pousse à passer de « Maison!2025 » à « Maison!2026 ». Un mot de passe long, unique et gardé secret n’a pas besoin d’être remplacé selon un calendrier arbitraire. Une entreprise peut imposer cette règle ; dans ce cas, générez un nouveau secret complet au lieu d’éditer deux caractères.

• Fuite confirmée : changez le mot de passe du site concerné dès que possible, puis tout compte où il a été réutilisé.
• Faux site visité : considérez le mot de passe comme volé, même si la page semblait crédible et même si aucune alerte n’arrive.
• Appareil perdu : déconnectez les sessions actives, révoquez les passkeys ou jetons si nécessaire et changez les accès critiques depuis un appareil sûr.
• Alerte inconnue : modifiez le mot de passe, contrôlez les méthodes de récupération et retirez les appareils ou applications non reconnus.
• Partage terminé : remplacez immédiatement un accès transmis à une ancienne colocataire, un prestataire ou un ex-partenaire.

Réagir proprement à une compromission

Vous avez reçu un e-mail de réinitialisation que vous n’avez pas demandé, constaté un achat étrange ou validé trop vite une connexion ? Ne cliquez pas sur le lien du message. Ouvrez l’application ou tapez vous-même l’adresse officielle dans le navigateur, depuis un appareil dont vous avez confiance. Changez le mot de passe, déconnectez les sessions actives, vérifiez les appareils liés et inspectez les règles de transfert de votre messagerie : les pirates les ajoutent parfois pour surveiller vos échanges.

• E-mail détourné : vérifiez les adresses de récupération, les filtres, les transferts automatiques et les applications tierces ayant accès à la boîte.
• Carte ou paiement : contactez sans délai votre banque ou l’émetteur de la carte via le numéro officiel ; contestez les opérations selon sa procédure.
• Réseau social : cherchez la page de récupération officielle de la plateforme, prévenez vos contacts par un canal différent et conservez les captures utiles.
• Ordinateur suspect : faites analyser l’appareil, installez les mises à jour et changez les accès sensibles depuis un autre appareil sain.
• Compte professionnel : prévenez immédiatement le service informatique ou le responsable sécurité ; ne gérez pas seule un incident qui peut concerner l’entreprise.

Vos appareils peuvent annuler vos efforts

Un coffre-fort impeccable reste vulnérable si votre téléphone est déverrouillé sans protection ou si votre ordinateur installe des extensions douteuses. Utilisez un code de verrouillage d’au moins six chiffres, ou un mot de passe alphanumérique sur ordinateur ; activez l’effacement ou la localisation à distance quand le système le permet. Les mises à jour du système, du navigateur et du gestionnaire de mots de passe corrigent aussi des failles : ne les reportez pas pendant des mois.

En déplacement, notamment pendant les vacances d’hiver entre gare, location et réseau d’hôtel, le Wi-Fi public n’est pas une raison de paniquer si le site utilise bien HTTPS. En revanche, il ne protège pas d’un faux portail captif ni d’une page qui imite votre banque. Pour une opération sensible, préférez votre réseau mobile ou attendez un réseau de confiance. Un VPN peut chiffrer une partie de la connexion, mais il ne rend pas un site de phishing honnête et ne remplace ni MFA ni vigilance.

Les pièges de récupération à ne pas sous-estimer

La sécurité de récupération mérite le même sérieux que le mot de passe. Vérifiez au moins deux fois par an les adresses e-mail, numéros de téléphone, appareils approuvés, contacts de confiance et questions de sécurité associés à vos comptes centraux. Retirez l’ancien numéro d’une carte SIM résiliée et l’adresse d’un employeur quitté. Un compte bien verrouillé mais récupérable par une vieille boîte mail est une serrure avec la clé sous le paillasson.

• E-mail secondaire : sécurisez-le aussi avec un secret unique et MFA, sinon il devient le chemin de contournement évident.
• Numéro mobile : demandez à votre opérateur les protections disponibles contre les changements de carte SIM ou de numéro.
• Codes imprimés : placez-les dans un lieu physique sûr, distinct de votre téléphone et de votre ordinateur portable.
• Accès d’urgence : si votre gestionnaire le propose, configurez-le uniquement avec une personne de confiance et testez la procédure ensemble.
• Compte d’enfant ou parent : évitez de centraliser tous les accès sous un même mot de passe familial ; créez des comptes séparés quand le service le permet.