Le problème : retenir moins, protéger davantage
Réutiliser le même mot de passe sur plusieurs comptes semble pratique : un seul secret à retenir, peu de saisies à refaire. Mais une fuite sur un service peut alors donner une piste pour accéder à d’autres comptes. La messagerie mérite une attention particulière : elle reçoit souvent les liens de réinitialisation des autres services. Si elle est compromise, la fonction « mot de passe oublié » peut servir à reprendre le contrôle de comptes associés, y compris un compte bancaire, selon l’Assistance aux victimes de cybermalveillance.
À l’inverse, mémoriser tous ses mots de passe n’est pas une stratégie réaliste. L’Assistance aux victimes de cybermalveillance rappelle qu’il est humainement impossible de retenir les nombreux mots de passe longs et complexes utilisés au quotidien. Elle déconseille aussi le pense-bête laissé près de l’ordinateur, le message électronique, le fichier non protégé et le téléphone insuffisamment sécurisé comme lieux de stockage.
L’objectif est donc de remplacer la mémoire et la répétition par une organisation simple : un secret distinct pour chaque compte, un accès prioritaire à la messagerie et un endroit protégé pour conserver les autres.
Mettre ses comptes à plat sans rien acheter
Commencez par la messagerie
Repérez l’adresse qui sert à récupérer vos autres comptes. Changez son mot de passe si vous l’avez réutilisé ailleurs, puis choisissez un secret distinct que vous ne saisissez sur aucun autre service.
Examinez les options de récupération et les appareils connectés. Retirez ce que vous ne reconnaissez pas et conservez une adresse ou un moyen de récupération auquel vous avez réellement accès.
Activez la double authentification lorsque le service la propose. Faites-le en priorité sur la messagerie, les comptes financiers, les achats et les services qui contiennent des données personnelles.
Faites l’inventaire sans créer une nouvelle faiblesse
Listez vos comptes à partir de vos applications, de votre navigateur et de vos anciennes factures. Pour chaque service, indiquez seulement ce dont vous avez besoin pour le retrouver : son nom, l’adresse utilisée et l’état de sa protection. Ne recopiez pas les mots de passe dans un fichier texte ou dans un courriel non protégé.
Repérez ensuite les secrets réutilisés. Commencez par les comptes qui donnent accès à d’autres services, puis remplacez-les par des mots de passe distincts. Cette opération demande du temps et des reconnexions ; elle permet aussi de repérer les comptes oubliés, les anciennes adresses et les services que vous pouvez fermer.
Utilisez le gestionnaire déjà présent
Le gestionnaire intégré à votre navigateur ou à votre appareil peut conserver les identifiants et les remplir à votre place. Il remplace une partie de la mémorisation et évite de noter les secrets sur un support visible. Avant de l’utiliser, protégez l’accès à votre session et vérifiez que la synchronisation est activée uniquement sur vos appareils personnels.
La Commission nationale de l’informatique et des libertés décrit le gestionnaire de mots de passe comme un logiciel qui stocke les identifiants et les protège par chiffrement. Elle indique aussi qu’il évite de retenir de nombreux mots de passe ou de les inscrire en clair dans un fichier ou sur un pense-bête.
Vérifiez les fuites et réagissez sans attendre
Utilisez un service reconnu pour vérifier si vos adresses apparaissent dans des fuites connues. Ne communiquez jamais votre mot de passe pour effectuer cette vérification. Si une adresse est concernée, changez le mot de passe du compte correspondant et de tous les services où le même secret a été réutilisé.
Si vous avez un doute sur la sécurité d’un compte, ou si l’organisation qui le gère annonce une intrusion, l’Assistance aux victimes de cybermalveillance recommande de modifier immédiatement le mot de passe concerné, sans attendre d’avoir tous les détails de l’incident.
Ce que recommandent les organismes de référence
Les recommandations convergent sur un point pratique : ne pas conserver les mots de passe en clair dans un support facilement accessible. L’Assistance aux victimes de cybermalveillance déconseille notamment le pense-bête proche de l’équipement, la messagerie, le fichier non protégé et un téléphone auquel une personne malveillante pourrait accéder.
La même source recommande l’usage d’un gestionnaire sécurisé afin de ne retenir que le mot de passe qui ouvre son accès. La CNIL précise qu’un gestionnaire protège les mots de passe par chiffrement. Ces recommandations ne dispensent pas de protéger l’appareil, de surveiller les connexions et de réagir lorsqu’un compte paraît compromis.
Quand s’équiper d’une clé de sécurité physique
Une clé de sécurité physique peut remplacer, pour les services compatibles, une étape de vérification par la présentation d’un objet que vous possédez. Elle s’adresse surtout à la personne qui veut protéger en priorité une messagerie principale, un compte bancaire ou une activité professionnelle dépendant d’un accès en ligne.
Ce choix demande un achat, la vérification de la compatibilité avec les services utilisés et une organisation en cas de perte. Il ne remplace pas le renouvellement d’un mot de passe déjà exposé, ne récupère pas un compte bloqué et ne protège pas les services qui ne savent pas l’utiliser. Avant de l’acheter, vérifiez les méthodes de connexion proposées par chaque compte et prévoyez une solution de secours conforme aux options réellement disponibles.
La méthode gratuite demande surtout de l’attention, des changements successifs et un contrôle régulier des comptes. La clé échange ces manipulations contre un objet supplémentaire à conserver et à rendre disponible lors de la connexion. Le choix dépend donc de ce que vous préférez gérer : des vérifications et des mises à jour répétées, ou un équipement dédié avec ses contraintes de compatibilité et de secours.
État de la preuve : Aucune preuve indépendante
Une seule mémoire, des mots de passe différents
- Attribuez un mot de passe distinct à chaque compte, en commençant par ceux qui permettent de récupérer les autres.
- Protégez la messagerie avant les comptes secondaires, car elle peut recevoir les liens de réinitialisation.
- Activez la double authentification quand elle est proposée et vérifiez les appareils connectés.
- Utilisez un gestionnaire intégré ou dédié plutôt qu’un fichier ou une note en clair.
- Après une fuite ou un doute, changez immédiatement le secret concerné et traitez les réutilisations.
- Envisagez une clé physique si vous acceptez son coût, ses contraintes de compatibilité et la gestion d’un secours.