Gestion des mots de passe
la méthode qui protège vraiment vos comptes
Robustesse, erreurs à éviter, double authentification, réaction en cas de fuite, organisation en équipe : les principes actuels, quel que soit l’outil utilisé.
Bien gérer ses mots de passe repose sur quelques principes stables : privilégier la longueur — les phrases de passe — plutôt que la complexité cryptique, un mot de passe unique par compte, la double authentification sur les services sensibles, et un changement uniquement en cas de suspicion de fuite. En entreprise s’ajoute la gestion du cycle de vie des accès : création nominative à l’arrivée, révocation immédiate au départ, comptes partagés maîtrisés.
- Longueur avant complexité : une phrase de passe de plusieurs mots bat une chaîne courte pleine de symboles.
- Unicité : un mot de passe par compte, sans variante devinable.
- Double authentification : la mesure au meilleur rapport effort/protection.
Pourquoi la gestion des mots de passe reste le maillon faible
Les compromissions de comptes commencent rarement par un exploit technique sophistiqué. Le plus souvent, elles passent par la porte principale : un mot de passe deviné, volé lors d’une fuite, ou réutilisé sur plusieurs services. Le problème n’est pas que les mots de passe soient un mauvais système en soi. C’est que leur nombre a explosé — messageries, banques, réseaux sociaux, outils professionnels, commerces en ligne — et qu’aucune mémoire humaine ne peut suivre.
Face à cette accumulation, chacun bricole : le même mot de passe partout, des variantes minimes, un carnet, un fichier « mots de passe » sur le bureau. Ces bricolages sont précisément ce que les attaquants exploitent. Quand un site se fait dérober sa base de comptes, les identifiants volés sont testés automatiquement sur des dizaines d’autres services. Si le mot de passe est réutilisé, une fuite chez un marchand anodin ouvre la messagerie, et la messagerie ouvre tout le reste.
Gérer ses mots de passe relève donc moins de la corvée que de la méthode : quelques principes stables, des réflexes organisés. Elle vaut pour un particulier comme pour une équipe.
Ce qui fait un mot de passe robuste aujourd’hui
Les recommandations ont évolué, et c’est une bonne nouvelle : elles sont devenues plus simples à vivre.
Premier principe : la longueur prime sur la complexité cryptique. Un mot de passe long — une phrase de passe composée de plusieurs mots sans lien logique — résiste mieux aux attaques par essais massifs qu’une chaîne courte truffée de symboles, tout en restant mémorisable. « corniche-thermos-ourson-velours » protège mieux que « P@ss1! », et se retient mieux.
Deuxième principe : l’unicité. Chaque compte mérite son propre mot de passe, sans variante devinable. C’est le principe qui neutralise l’effet domino des fuites : un service compromis ne compromet que lui-même.
Troisième principe, souvent méconnu : la rotation systématique n’est plus la règle. Changer ses mots de passe tous les trois mois, comme on l’a longtemps imposé en entreprise, pousse aux variantes faibles — le même mot suivi d’un chiffre qui s’incrémente — sans bénéfice de sécurité démontré par les référentiels publics. Le consensus actuel : changer un mot de passe quand il y a une raison — suspicion de fuite, partage passé, compte sensible mal protégé.
Les référentiels de la CNIL et de cybermalveillance.gouv.fr détaillent ces bonnes pratiques et sont régulièrement mis à jour. En cas de doute sur une règle, ce sont eux qui font foi.
Reste la question de la mémoire. Personne ne retient des dizaines de phrases de passe uniques : c’est le rôle d’un gestionnaire de mots de passe, un coffre-fort chiffré qui les génère et les retient pour vous. Le choix et le déploiement de cet outil mériteraient un article entier — l’essentiel ici est de comprendre qu’il est une brique de la méthode, pas la méthode elle-même.
Les erreurs qui coûtent cher
Certaines pratiques reviennent dans presque tous les incidents, et elles se regroupent en quatre familles.
Réutilisation et variantes
« Soleil2024! » qui devient « Soleil2025! » ne trompe aucun outil d’attaque. Un mot de passe réutilisé transforme la moindre fuite en compromission en chaîne.
Partages qui laissent des traces
Un mot de passe envoyé par mail ou par messagerie reste lisible dans l’historique, parfois pendant des années, et survit à tous les changements de téléphone.
Supports exposés
Le fichier « mdp.xlsx » sur un serveur partagé, le post-it sous le clavier, les questions de sécurité devinables — le nom de votre premier animal figure parfois sur vos réseaux sociaux.
Environnements non maîtrisés
Mots de passe enregistrés dans le navigateur d’un poste partagé, connexion sensible depuis un ordinateur public, session laissée ouverte : aucun mot de passe ne résiste à un environnement compromis.
La double authentification, le filet de sécurité
Même bien géré, un mot de passe peut être volé — par hameçonnage, par fuite chez le service, ou par logiciel espion, un programme qui enregistre ce que vous tapez. La double authentification (ou authentification multifacteur) ajoute une deuxième preuve : quelque chose que vous possédez, en plus de quelque chose que vous savez.
Concrètement, après le mot de passe, le service demande un code généré par une application sur votre téléphone, la validation d’une notification, ou la présence d’une clé de sécurité physique. Le SMS reste proposé par beaucoup de services : c’est mieux que rien, mais c’est la forme la moins robuste, car un numéro de téléphone peut être détourné. Quand vous avez le choix, préférez l’application d’authentification ou la clé physique.
L’effet est mécanique : un mot de passe volé ne suffit plus. Pour un attaquant, la barrière devient nettement plus haute, surtout à distance. C’est la mesure au meilleur rapport effort/protection qui existe aujourd’hui : activez-la en priorité sur la messagerie — qui permet de réinitialiser tous les autres comptes —, la banque et les comptes professionnels.
Lors de l’activation, la plupart des services fournissent des codes de récupération à usage unique. Conservez-les hors ligne, dans un endroit sûr : ils restent votre porte d’entrée si vous perdez votre téléphone ou votre clé.
Fuite de données
la marche à suivre
Un jour ou l’autre, un service que vous utilisez annoncera une fuite. La bonne réaction est une séquence ordonnée, à dérouler sans précipitation.
-
Changez le mot de passe du service touché
Sans attendre d’en savoir plus sur l’ampleur de la fuite. L’opération prend deux minutes et coupe court au risque immédiat.
-
Traquez les réutilisations
Ce mot de passe servait-il ailleurs ? Si oui, changez-le partout, en commençant par la messagerie — elle permet de réinitialiser tous les autres comptes — puis la banque et les services professionnels.
-
Activez la double authentification
Sur les comptes sensibles où elle manquait encore. C’est le moment où la mesure rapporte le plus.
-
Surveillez les semaines suivantes
Tentatives de connexion inhabituelles, mails d’hameçonnage personnalisés utilisant les données volées, demandes de réinitialisation que vous n’avez pas initiées : les données fuitées se monnayent et se réutilisent.
-
En cas d’incident avéré, faites-vous accompagner
En France, cybermalveillance.gouv.fr publie des fiches réflexes et oriente vers une assistance adaptée, pour les particuliers comme pour les entreprises.
En entreprise
gérer les accès, pas seulement les mots de passe
Dans une organisation, la gestion des mots de passe change d’échelle : elle devient une gestion des accès. La question n’est plus seulement « ce mot de passe est-il robuste ? » mais « qui a accès à quoi, et est-ce encore justifié ? ».
Le point critique, ce sont les mouvements de personnel. Une arrivée doit déclencher la création d’accès nominatifs — pas le partage du compte d’un collègue. Une mobilité interne doit interroger les accès devenus inutiles. Un départ, surtout, doit déclencher la révocation immédiate de tous les accès, y compris les services en ligne souscrits en dehors du service informatique. Les comptes orphelins de collaborateurs partis sont un grand classique des incidents.
Les comptes partagés — réseaux sociaux de l’entreprise, boîtes génériques, abonnements — méritent un traitement explicite : un détenteur identifié, un partage par un canal maîtrisé plutôt que par mail, et un changement de mot de passe à chaque départ d’une personne qui y avait accès.
Reste la dimension humaine : une règle que personne ne peut appliquer sera contournée. Mieux vaut une politique simple — phrases de passe uniques, double authentification sur les services sensibles, gestionnaire fourni par l’entreprise, procédure de départ systématique — qu’un règlement de vingt pages que chacun ignore. La sécurité des accès est un processus continu, pas un document.
À retenir
La gestion des mots de passe tient en une méthode : des phrases de passe longues et uniques, la double authentification sur les services sensibles, un changement motivé par une raison plutôt que par le calendrier, une séquence claire en cas de fuite, et, en entreprise, un cycle de vie des accès suivi de l’arrivée au départ. Les outils aident, mais c’est la méthode qui protège.
Qu’est-ce qu’un bon mot de passe aujourd’hui ?
Un mot de passe long et unique : une phrase de passe de plusieurs mots sans lien logique résiste mieux aux attaques massives qu’une chaîne courte pleine de symboles, tout en restant mémorisable. L’essentiel est qu’il ne serve que pour un seul compte, sans variante devinable d’un service à l’autre.
Faut-il changer ses mots de passe régulièrement ?
Non, plus systématiquement. La rotation forcée pousse aux variantes faibles sans bénéfice démontré. Le consensus actuel : changer un mot de passe quand il y a une raison — suspicion de fuite, partage passé, compte sensible mal protégé. Les référentiels publics comme ceux de la CNIL détaillent cette évolution.
Comment savoir si un de mes mots de passe a fuité ?
Les services ont l’obligation d’informer leurs utilisateurs en cas de violation de données. Les navigateurs et gestionnaires de mots de passe intègrent par ailleurs des alertes de compromission qui comparent vos identifiants aux fuites connues. En cas de doute, changez le mot de passe concerné : l’opération coûte moins cher que le risque.
La double authentification est-elle vraiment utile ?
Oui : c’est la mesure au meilleur rapport effort/protection. Un mot de passe volé ne suffit plus à entrer, car il faut aussi le second facteur — code d’application, notification ou clé physique. Préférez l’application ou la clé au SMS, et activez-la en priorité sur la messagerie, la banque et les comptes professionnels.
Comment gérer les mots de passe dans une équipe ?
En raisonnant en accès plutôt qu’en mots de passe : création nominative à l’arrivée, revue lors des mobilités, révocation immédiate et complète au départ. Les comptes partagés doivent avoir un détenteur identifié, un partage par canal maîtrisé et un changement de mot de passe à chaque départ. Une politique simple et applicable vaut mieux qu’un règlement ignoré.
Vous n’avez pas besoin de tout mettre en place le même jour. Commencez par la messagerie : phrase de passe unique et double authentification. Puis étendez la méthode, compte après compte, en gardant une règle en tête : chaque accès doit avoir son propre secret, et chaque secret doit avoir une raison d’être changé.