Protéger ses mots de passe efficacement : 7 méthodes qui marchent vraiment

Vous avez 84 comptes en ligne. Je le sais parce que j'ai fait l'exercice pour vous : j'ai ouvert mon gestionnaire, j'ai compté. 84. Dont 31 partageaient encore le même mot de passe il y a dix-huit mois. Aujourd'hui, zéro. Mais ça m'a pris du temps, et surtout, ça m'a pris une claque le jour où j'ai découvert qu'un de mes vieux comptes — un forum de photographie dont j'avais complètement oublié l'existence — avait servi de porte d'entrée à quelqu'un.

Protéger ses mots de passe efficacement ne veut pas dire retenir des suites de caractères impossibles. Ça veut dire admettre une chose simple, et un peu vexante : votre mémoire est le maillon faible. Le jour où j'ai accepté ça, tout a changé.

Pourquoi réutiliser un mot de passe est le vrai problème (pas la complexité)

La plupart des articles que je lis sur le sujet commencent par "mettez des majuscules et des symboles". Franchement, c'est passer à côté de l'essentiel. La longueur et les symboles protègent contre une attaque par force brute sur un seul service. Mais le danger réel, celui qui vous coûtera un compte bancaire, c'est le recyclage.

Voici le mécanisme, en clair. Un site de e-commerce se fait pirater sa base de données. Elle contient votre email et votre mot de passe — souvent stocké avec un hachage faible, parfois en clair quand le site est mal fait. Le pirate ne cherche pas à se connecter sur ce site. Il prend la liste et la teste automatiquement sur Gmail, sur votre banque, sur votre boîte pro. C'est ce qu'on appelle le credential stuffing, et c'est mécanique : quelques milliers de tests par minute.

Résultat : le site piraté n'était qu'une serrure de cave. C'est votre appartement qui s'ouvre.

Le chiffre qui m'a fait changer

Quand j'ai enfin pris le sujet au sérieux, j'ai fait un audit de mes propres comptes. Sur 84, 31 partageaient quatre mots de passe seulement. Autrement dit : une fuite sur un forum obscur, et quatre comptes tombaient d'un coup. J'aurais pu continuer à me dire "mais je mets un mot de passe compliqué, ça va". Non. Ça ne va pas. Le mot de passe compliqué réutilisé est un mot de passe faible déguisé.

Comment gérer ses mots de passe sans devenir fou

La réponse honnête tient en un mot, et vous l'avez déjà deviné : le gestionnaire. La question n'est pas de savoir s'il faut en utiliser un. C'est : lequel, et comment s'en servir sans transformer ça en projet de trois semaines.

Je vais être direct sur un point qui fâche. Un gestionnaire de mots de passe ne sert à rien si vous ne mettez qu'un seul mot de passe dedans. J'ai vu des gens migrer deux comptes, être fiers d'eux, et abandonner au bout d'une semaine parce que "c'était trop long". Le piège, c'est de vouloir tout basculer le premier soir.

La méthode par lots qui tient sur la durée

Ce que j'ai fini par faire, après deux échecs complets :

1. D'abord les comptes critiques — banque, email principal, boîte pro, impôts. Six comptes maximum.
2. Ensuite, la semaine suivante, les réseaux sociaux et les boutiques où une carte est enregistrée.
3. Le reste — forums, vieux comptes oubliés, newsletters — au fil de l'eau, quand je retombe dessus.
4. Et une règle que je me suis imposée : tout nouveau compte passe par le gestionnaire, sans exception.

Ça m'a pris environ trois mois pour atteindre 84 comptes migrés. Pas trois heures. Trois mois. Avouons-le, c'est long, mais c'est le prix.

Type de solution	Ce que ça vaut	Pour qui
Gestionnaire intégré au navigateur	Dépannage : synchronise entre appareils, mais peu de fonctions avancées, partage de coffre limité	Vous voulez tester le principe sans rien installer
Gestionnaire dédié gratuit	Coffre chiffré, générateur, audit de robustesse — la vraie base	Quasiment tout le monde
Gestionnaire payant	Coffre partagé en famille, alertes de fuite, stockage de fichiers	Foyers et équipes
Fichier texte sur le bureau	Aucune sécurité réelle	Personne. Jamais.

Un gestionnaire de mot de passe gratuit suffit-il vraiment ?

Oui, dans la grande majorité des cas. C'est une position que je défends fermement : le meilleur gestionnaire n'est pas le plus cher, c'est celui que vous ouvrez tous les jours. Un outil gratuit que vous maîtrisez battra toujours une solution payante que vous avez installée puis oubliée.

Ce que le gratuit vous donne en général : un coffre chiffré, un générateur de mots de passe, la synchronisation entre vos appareils, et de quoi auditer les mots de passe faibles ou réutilisés. C'est déjà énorme. Ce que vous perdez en montant en gamme : le partage de coffre avec plusieurs personnes, les alertes de fuite automatiques, l'hébergement de documents, le support.

Mon avis, après avoir testé les deux : commencez gratuit. Passez au payant le jour où vous devez partager des identifiants avec quelqu'un — un conjoint, un associé, une équipe. Pas avant.

Où stocker ses mots de passe gratuitement, sans se tromper ?

La question revient souvent, alors je la traite frontalement. Trois emplacements tiennent la route :

• Un gestionnaire dédié installé sur votre téléphone et votre ordinateur, avec le coffre synchronisé.
• Le gestionnaire intégré à votre navigateur, si vous restez dans un usage simple et un seul écosystème.
• Un coffre chiffré local, si vous ne voulez confier vos identifiants à personne — mais vous perdez la synchronisation, et c'est souvent ce qui fait tout capoter.

Et ce qui ne tient pas la route : le fichier Word, les notes du téléphone, le tableur partagé, le carnet papier posé près de l'écran. J'ai fait l'erreur du tableur Excel il y a quelques années. Il traînait dans un dossier "divers". Je ne l'ai jamais chiffré. Je l'ai retrouvé par hasard six mois plus tard. Total waste of time, comme on dit — sauf que le mien avait une valeur.

Quel gestionnaire est recommandé par l'ANSSI ?

Question légitime, et la réponse mérite mieux qu'un nom de marque lancé en pâture. L'ANSSI, l'agence française de cybersécurité, ne fait pas de pub pour un éditeur. Elle publie des recommandations : ce qu'un bon gestionnaire doit faire, et comment l'utiliser.

En substance, l'agence insiste sur des critères précis : un chiffrement robuste du coffre et de la synchronisation, une authentification forte pour accéder au coffre lui-même, un code source ouvert ou audité de façon indépendante, un hébergement clair sur le plan juridique, et la possibilité d'exporter ses données pour ne pas être captif d'un fournisseur. Elle recommande aussi de traiter le mot de passe maître comme une phrase de passe longue, pas comme un mot.

Donc quand on vous demande "quel gestionnaire l'ANSSI recommande", la bonne réponse n'est pas une marque : c'est une liste de critères. Aucun outil ne coche tout parfaitement, et c'est très bien — ça vous oblige à choisir selon votre usage, pas selon un logo.

La pièce dont on ne parle jamais : le mot de passe maître

Tout repose sur lui. Si vous le perdez, vous perdez l'accès à tout, c'est le principe même du chiffrement à connaissance nulle. Si vous le réutilisez, c'est comme si vous n'aviez rien fait. Sur ce point je ne bouge pas : la phrase de passe longue, mémorisable, avec des mots sans lien logique entre eux, bat n'importe quelle suite de symboles que vous allez noter sur un post-it dans les deux jours.

La double authentification : le filet qui change tout

Même avec un mot de passe unique par compte, un mot de passe reste un mot de passe. Il peut être intercepté sur un site de phishing, volé dans une fuite, deviné. La double authentification ajoute une seconde preuve — un code généré par une application, une clé physique, une validation sur votre téléphone.

J'ai activé la 2FA sur l'ensemble de mes comptes critiques en une après-midi. C'est fastidieux, mais c'est de loin le meilleur ratio effort / protection de tout ce que j'ai testé. Le pirate peut avoir votre mot de passe : sans le second facteur, il reste dehors.

Application d'authentification ou code par SMS ?

Une application d'authentification (ou mieux, une clé physique) plutôt que le SMS. Le SMS peut être intercepté par un transfert de carte SIM, une technique bien rodée. Ce n'est pas parfait non plus, mais c'est nettement supérieur. Si un service ne propose que le SMS, activez-le quand même : mieux vaut ça que rien.

Que faire en cas de fuite de mot de passe ?

Le téléphone sonne, un mail arrive, une alerte du gestionnaire s'affiche : un de vos mots de passe circule. Dans quel ordre agir ? Voici la procédure que j'applique, et que je vous conseille d'écrire quelque part avant que ça n'arrive.

1. Changez immédiatement le mot de passe du service concerné, en le remplaçant par un mot de passe unique généré par votre gestionnaire.
2. Cherchez partout où ce même mot de passe servait encore. C'est l'étape que tout le monde saute, et c'est l'erreur. Ce n'est pas le mot de passe du compte piraté qu'il faut changer : c'est tous ceux qui partageaient le même.
3. Vérifiez les sessions actives et les appareils connectés sur les comptes sensibles, email en tête, et déconnectez tout ce que vous ne reconnaissez pas.
4. Activez ou réactivez la double authentification sur le compte concerné si ce n'était pas fait.
5. Surveillez vos relevés bancaires et vos boîtes mail pendant quelques semaines. Une fuite sert parfois dans un second temps, pas dans l'heure.

La première fois que ça m'est arrivé, j'ai changé le mot de passe du site en question, j'ai fermé l'onglet, et j'ai continué ma journée. Grave erreur : ce mot de passe traînait sur onze autres comptes. J'ai passé la soirée à rattraper le coup.

Ce qu'il faut retenir, en une phrase

Votre mémoire n'est pas un coffre, et elle ne le sera jamais. Un gestionnaire de mots de passe, même gratuit, même celui intégré à votre navigateur, fait le travail à votre place — à condition que vous acceptiez d'y mettre du vôtre : quelques comptes cette semaine, la double authentification sur les dix qui comptent, et un mot de passe maître que vous ne réutilisez nulle part.

Il reste une question que je ne sais pas trancher à votre place : parmi vos 84 comptes, combien sont encore ouverts alors que vous ne les utilisez plus depuis des années ? C'est souvent là que ça se joue.