Gestionnaire de mots de passe : bien choisir et protéger son coffre

Votre messagerie et un compte secondaire ont le même mot de passe ? Si le second est compromis, quelqu’un peut essayer ce code sur votre boîte mail. Un gestionnaire de mots de passe évite cette réutilisation : il garde vos identifiants dans un coffre chiffré et peut créer un mot de passe différent pour chaque compte.

Ce que fait un gestionnaire de mots de passe

Il s’agit d’une application, parfois accompagnée d’une extension de navigateur, qui enregistre vos informations de connexion. Une fois le coffre ouvert, vous pouvez retrouver un identifiant, copier un mot de passe ou laisser l’outil le remplir sur un site reconnu. Selon le service, vous pouvez aussi y conserver des notes sécurisées ou des codes de récupération.

Le chiffrement rend le contenu du coffre illisible sans la clé nécessaire pour l’ouvrir. Dans de nombreux gestionnaires, cette clé dépend d’un mot de passe principal, parfois associé à d’autres protections. Ce mot de passe donne accès au coffre ; il est distinct de ceux que vous utilisez pour vos comptes.

Le gestionnaire ne protège pas de toutes les fraudes. Si vous saisissez vos identifiants sur une fausse page, ou si votre appareil est compromis, il ne peut pas toujours empêcher leur vol. Il vous aide en revanche à éviter deux habitudes risquées : employer le même mot de passe partout et choisir des codes trop simples pour pouvoir les retenir.

Pourquoi des mots de passe uniques comptent autant

Une fuite de données sur un service ne touche pas forcément vos autres comptes. Le risque grandit si le mot de passe divulgué sert aussi ailleurs. La messagerie demande une vigilance particulière, car elle permet souvent de réinitialiser l’accès à d’autres services. Un compte lié aux soins d’un animal, à une assurance ou à des rendez-vous peut également contenir des coordonnées et des documents personnels : donnez-lui son propre mot de passe.

Un gestionnaire peut créer des mots de passe longs et aléatoires que vous n’avez pas à mémoriser. Si un site accepte les phrases de passe, une suite de mots choisis au hasard peut aussi convenir. Dans les deux cas, respectez les exigences du service et gardez un mot de passe unique. Ajouter le nom du site à une ancienne formule ne suffit pas : ces variantes restent prévisibles.

Choisir un outil sans se perdre dans les options

Votre navigateur ou votre appareil propose peut-être déjà un gestionnaire intégré. D’autres applications fonctionnent sur plusieurs systèmes et navigateurs. Le bon choix dépend surtout de vos usages : prenez le temps de comprendre comment le coffre s’ouvre, se synchronise et se récupère en cas de problème.

Les points à vérifier avant d’y déplacer ses comptes

• Compatibilité : l’outil fonctionne-t-il sur les appareils et navigateurs que vous utilisez réellement ?
• Synchronisation : vos changements apparaissent-ils sur vos différents appareils, ou le coffre reste-t-il uniquement en local ?
• Récupération : que se passe-t-il si vous oubliez le mot de passe principal ou perdez votre téléphone ? Les possibilités varient selon les outils.
• Protection du compte : pouvez-vous activer l’authentification à deux facteurs pour accéder au gestionnaire ?
• Exportation : pourrez-vous récupérer vos données si vous changez d’outil ? Gardez à l’esprit qu’un fichier exporté peut être lisible sans ouvrir le coffre.
• Partage : si plusieurs personnes ont besoin du même accès, existe-t-il une fonction prévue pour cela, plutôt que d’envoyer un mot de passe par message ?

Une version gratuite peut suffire si elle couvre les appareils dont vous avez besoin. Avant d’activer d’autres fonctions, vérifiez les conditions du service et les limites de la formule choisie. Mieux vaut un outil simple que vous utiliserez qu’une solution compliquée que vous finirez par abandonner.

Mettre en place son coffre, étape par étape

1. Créer le mot de passe principal. Choisissez une longue phrase de passe réservée à cet usage. Elle doit être facile à retenir pour vous, mais impossible à deviner à partir d’informations publiques sur votre famille ou vos animaux.
2. Prévoir la récupération. Si l’outil fournit un code de secours, conservez-le selon ses instructions, à l’écart de l’appareil que vous utilisez au quotidien. Vérifiez aussi les solutions réellement disponibles si vous perdez le mot de passe principal.
3. Protéger le compte du gestionnaire. Activez l’authentification à deux facteurs si elle est proposée, et gardez les méthodes de secours associées.
4. Commencer par les comptes prioritaires. Ajoutez votre messagerie principale, les comptes servant à récupérer d’autres accès et ceux qui contiennent des informations sensibles. Remplacez sans attendre les mots de passe réutilisés.
5. Étendre progressivement. Au fil des connexions, enregistrez chaque compte ou remplacez son ancien mot de passe par un mot de passe généré. Testez le nouvel accès avant de supprimer une ancienne entrée.

Vous n’avez pas besoin de tout changer le même soir. Si vous importez des identifiants depuis un navigateur, profitez-en pour repérer les doublons et les comptes obsolètes. Supprimez ensuite les fichiers d’importation temporaires contenant des mots de passe en clair, notamment ceux restés dans le dossier des téléchargements.

Mot de passe principal et double authentification : deux rôles différents

Le mot de passe principal sert à ouvrir le coffre. L’authentification à deux facteurs demande une preuve supplémentaire lors de certaines connexions : un code produit par une application, une clé de sécurité ou, selon le service, un code reçu par SMS. Elle complète le mot de passe principal, sans remplacer la nécessité de bien le choisir.

Activez aussi un deuxième facteur sur vos comptes importants lorsque c’est possible, surtout sur la messagerie. Garder les codes de double authentification dans le même gestionnaire que les mots de passe est pratique, mais rassemble davantage d’éléments au même endroit. Les conserver séparément ajoute une barrière si quelqu’un accède au coffre, au prix d’une organisation supplémentaire. Quelle que soit votre méthode, conservez les codes de récupération fournis par chaque service.

Les limites à connaître au quotidien

Le remplissage automatique demande une vérification

Avant de valider une connexion, regardez l’adresse affichée dans le navigateur. Une page frauduleuse peut ressembler à un service connu, avec une seule lettre différente dans son nom. Si le gestionnaire ne propose pas l’identifiant attendu, ne collez pas aussitôt votre mot de passe : vérifiez d’abord la page. En cas de doute, ouvrez le service depuis son adresse habituelle enregistrée.

Un appareil partagé n’est pas un appareil personnel

Sur l’ordinateur familial, chaque personne devrait avoir, si possible, sa propre session et son propre coffre. Pour un compte utilisé par plusieurs membres du foyer, préférez la fonction de partage du gestionnaire, si elle existe. Ne laissez pas le coffre ouvert sur un écran accessible aux enfants ou aux visiteurs, et verrouillez l’appareil quand vous vous absentez. Sur un appareil public ou emprunté, ne laissez pas le navigateur enregistrer vos identifiants.

Continuez à mettre à jour le système, le navigateur et le gestionnaire : le chiffrement du coffre ne corrige pas une faille présente ailleurs sur l’appareil. Méfiez-vous aussi des liens reçus par e-mail ou par message avant de saisir vos identifiants, même lorsqu’ils évoquent une livraison ou un rendez-vous urgent.

Si un accès semble compromis

Si vous pensez qu’un mot de passe a été divulgué, changez-le en passant par l’adresse habituelle du service. Vérifiez ensuite les autres comptes où vous auriez pu le réutiliser, ainsi que les sessions actives et les options de récupération du compte concerné. Si vous soupçonnez une compromission du mot de passe principal, suivez immédiatement la procédure de sécurité du gestionnaire depuis un appareil de confiance. Occupez-vous en priorité de la messagerie et des comptes sensibles.

Pour commencer sans tout bouleverser, prenez votre messagerie principale. Ouvrez-la depuis son adresse habituelle, créez un mot de passe unique avec le gestionnaire, puis déconnectez-vous et reconnectez-vous. Vous aurez ainsi vérifié que le nouvel accès fonctionne et qu’il est bien enregistré avant de passer au compte suivant.