En finir avec les mots de passe oubliés : installer un coffre-fort numérique

Vous venez encore de cliquer sur « Mot de passe oublié ». Vous attendez un courriel pour rentrer chez vous, sur un compte qui est le vôtre. Et comme la dernière fois, vous allez saisir une variante du mot de passe que vous utilisez déjà ailleurs, parce que c'est le seul moyen de vous en souvenir.

Ce guide règle cette situation une bonne fois. À la fin, un coffre installé sur deux appareils, votre première fiche dedans, et un seul mot de passe à retenir. Comptez une heure, dont quarante minutes à ne rien faire d'autre que lire des écrans d'installation.

Pourquoi ça ne tient plus, et ce n'est pas votre faute

Un adulte connecté a entre trente et cent comptes. On demande à chacun d'eux un secret long, unique, sans rapport avec les autres, et changé de temps en temps. Personne ne peut retenir quarante secrets distincts sans indice. Ce n'est pas un manque de rigueur, c'est une limite de la mémoire humaine : elle retient ce qui a du sens et ce qui se répète, exactement les deux propriétés qu'un bon mot de passe ne doit pas avoir.

Alors on s'adapte, et toujours de la même façon : un mot de passe central, décliné site par site. Soleil2019! pour la boutique, Soleil2019? pour la messagerie.

Le problème n'est pas qu'un pirate devine votre mot de passe. C'est qu'il n'a rien à deviner. Quand un site quelconque se fait voler sa base de comptes, votre adresse et votre mot de passe circulent en clair, et ils sont essayés automatiquement partout ailleurs. Un seul site négligent suffit à ouvrir les trente-neuf autres. C'est le scénario décrit dans la fiche Mon compte Facebook ou Instagram est piraté, et il commence presque toujours ainsi.

Le carnet papier n'est pas la faute que l'on croit

On répète qu'écrire ses mots de passe est une erreur de débutant. C'est inexact, et le dire fait plus de mal que de bien.

Un carnet rangé dans un tiroir chez vous est exposé à une seule menace : quelqu'un qui entre physiquement dans la pièce. C'est infiniment moins probable qu'une fuite de base de données à l'autre bout du monde. Un carnet avec quarante mots de passe différents protège mieux qu'une tête avec un seul mot de passe répété.

Ce que le carnet ne sait pas faire, en revanche : vous suivre sur le téléphone, remplir les champs à votre place, vous prévenir qu'un site a été compromis, et survivre à un dégât des eaux. Le coffre-fort numérique fait tout cela. Mais si vous en sortez avec un carnet plutôt que rien, vous avez déjà progressé.

Ce qu'est un coffre-fort numérique

C'est un fichier chiffré qui contient toutes vos fiches : site, identifiant, mot de passe, notes. Un seul mot de passe, dit mot de passe maître, l'ouvre. Une fois ouvert, le coffre remplit les formulaires de connexion à votre place et fabrique des mots de passe aléatoires pour les nouveaux comptes.

L'analogie utile, et on l'abandonne aussitôt : c'est le trousseau de clés du gardien d'immeuble. Une clé sur lui, celle de son local ; toutes les autres à l'intérieur. Vous ne connaissez plus vos mots de passe, et c'est le but : ce que vous ne savez pas, vous ne pouvez pas le réutiliser par paresse ni le taper sur un faux site.

Trois options honnêtes, et ce qui les sépare vraiment

Les comparatifs opposent les fonctionnalités. Ce n'est pas là que se joue le choix. Trois questions le tranchent : où vivent les données, que se passe-t-il si l'éditeur disparaît, et combien ça coûte réellement.

Le gestionnaire du navigateur n'est pas un mauvais choix. Pour quelqu'un qui vit sur un seul ordinateur avec un seul navigateur, il fait 80 % du travail, il est déjà installé, et il sera réellement utilisé. Un outil parfait que l'on abandonne au bout de trois jours protège moins bien qu'un outil correct que l'on garde dix ans. Sa vraie limite est ailleurs : il protège mal contre quelqu'un qui a déjà la main sur votre session ouverte, et il vous enferme dans un écosystème.

Quel outil dans votre situation

flowchart TD
    A["Vos mots de passe vivent-ils déjà dans un seul navigateur,<br/>sur un seul ordinateur, et cela vous convient ?"]
    A -- "Oui, je ne sors pas de là" --> B["Gestionnaire du navigateur<br/>Rien à installer<br/>Activer la synchronisation"]
    A -- "Non : téléphone, second PC,<br/>plusieurs navigateurs" --> C{"Acceptez-vous qu'un éditeur héberge<br/>votre coffre, sous forme chiffrée ?"}
    C -- "Oui, je veux que ce soit automatique" --> D["Bitwarden<br/>Gratuit, tous appareils<br/>Le choix par défaut"]
    C -- "Non, le fichier reste chez moi" --> E["KeePass<br/>Fichier local<br/>Synchronisation manuelle"]
    B --> F["Dans les trois cas :<br/>un mot de passe maître solide<br/>et un secours écrit hors ligne"]
    D --> F
    E --> F

En cas d'hésitation, prenez Bitwarden. C'est le choix qui se regrette le moins : gratuit, présent sur tous les appareils, et le coffre s'exporte vers les deux autres solutions si vous changez d'avis.

Il existe une voie intermédiaire pour ceux qui entretiennent déjà un serveur à la maison : garder les applications Bitwarden, mais héberger le coffre chez soi avec Vaultwarden. Elle demande d'assumer soi-même la sauvegarde et les mises à jour ; le guide Héberger son gestionnaire de mots de passe avec Vaultwarden dit à qui elle convient, et à qui elle ne convient pas.

Le mot de passe maître : le vrai sujet

Tout le dispositif tient à ce seul secret. Un coffre parfait fermé par azerty123 ne protège rien. Un coffre parfait dont le mot de passe est perdu ne s'ouvre plus, et c'est définitif. Cette section mérite plus d'attention que toutes les autres réunies.

En fabriquer un que vous retiendrez

Oubliez les majuscules, chiffres et symboles imposés : ils produisent des mots de passe courts, illisibles et oubliés. Ce qui rend un mot de passe difficile à casser, c'est d'abord sa longueur.

La méthode qui fonctionne : quatre ou cinq mots ordinaires, sans lien entre eux, assemblés en une phrase absurde que vous pouvez voir dans votre tête.

• girafe-tiroir-cascade-bonbon
• le vieux piano mange trois nuages

Une phrase absurde de vingt-cinq caractères se retient en trois jours et résiste bien mieux que Tr0ub4dor&3. Trois règles seulement : jamais une phrase connue (citation, parole de chanson, titre), jamais un élément de votre vie devinable (prénoms, dates, animal de compagnie), et ce mot de passe maître ne sert à rien d'autre, nulle part.

Tapez-le vingt fois de suite le jour de l'installation. Puis chaque jour de la semaine suivante. C'est de la mémoire musculaire, elle vient vite.

Où écrire le secours

Écrivez votre mot de passe maître sur papier. Ce n'est pas une concession, c'est la procédure recommandée.

• Sur une feuille, en toutes lettres, sans indiquer à quoi elle sert.
• Rangée là où vous rangez vos papiers importants : classeur familial, coffret, enveloppe fermée.
• Idéalement un second exemplaire ailleurs, chez un proche de confiance ou dans un coffre bancaire, en cas d'incendie ou de cambriolage.
• Jamais dans un fichier sur l'ordinateur, jamais dans un courriel que vous vous envoyez, jamais en photo sur le téléphone. Ces trois endroits sont exactement ceux qu'un logiciel malveillant fouille.

Si votre outil propose en plus un kit d'urgence ou une clé de récupération à imprimer, imprimez-le et rangez-le avec la feuille. C'est ce qui rattrape un oubli.

Et si j'oublie le mot de passe maître

Franchement : dans la plupart des cas, le coffre est perdu, et son contenu avec.

Aucun éditeur sérieux ne détient votre mot de passe maître. Le déchiffrement se fait sur votre appareil ; l'hébergeur ne stocke qu'un bloc chiffré qu'il ne sait pas lire. Il n'y a donc personne à appeler, pas de service client capable de vous rouvrir la porte. C'est précisément ce qui fait la solidité du système, et c'est ce qui le rend impitoyable.

Ce qui existe pour vous rattraper :

Ce dernier cas est désagréable mais pas mortel, à condition que votre messagerie principale reste accessible : c'est elle qui réinitialise tous les autres comptes. D'où la règle : le mot de passe de votre messagerie est le seul, avec le mot de passe maître, que vous devez aussi savoir par cœur.

Installer le coffre sur le premier appareil

Sur l'ordinateur, et dans cet ordre.

1. Créer le compte. Téléchargez l'outil depuis son site officiel, jamais depuis un lien reçu par message. Créez le compte avec votre adresse de messagerie principale.
2. Saisir le mot de passe maître fabriqué plus haut. Prenez le temps de bien le taper : à ce stade, une faute de frappe non détectée est un coffre inutilisable dans deux jours.
3. Imprimer ou noter le secours. Maintenant, pas plus tard. « Plus tard » n'arrive jamais.
4. Installer l'extension dans le navigateur. C'est elle qui proposera de remplir et d'enregistrer. Sans elle, vous ferez des copier-coller pendant une semaine, puis vous abandonnerez.
5. Créer votre première fiche à la main, pour voir le mécanisme : un site, votre identifiant, le mot de passe actuel. Enregistrez, fermez le coffre, rouvrez-le. Vous savez maintenant à quoi ressemble le geste quotidien.
6. Activer le verrouillage automatique, par exemple après quinze minutes d'inactivité. Un coffre qui reste ouvert sur un poste partagé n'est plus un coffre.

Si vous avez choisi le gestionnaire du navigateur, les étapes 1 et 4 disparaissent : ouvrez les paramètres de mots de passe du navigateur, activez la synchronisation, et vérifiez que le compte associé est lui-même bien protégé.

Synchroniser vers le second appareil : l'étape où l'on abandonne

C'est ici que la plupart des gens s'arrêtent, et c'est ici que tout se joue. Un coffre présent sur un seul appareil est une contrainte ; présent sur deux, il devient un service. Tant que le téléphone n'est pas équipé, la tentation de retaper l'ancien mot de passe reste intacte.

Faites-le dans la foulée, le même jour :

1. Installez l'application sur le téléphone, depuis la boutique officielle.
2. Connectez-vous avec la même adresse et le même mot de passe maître. Le coffre se synchronise seul.
3. Activez le déverrouillage par empreinte ou reconnaissance faciale. Vous saisirez le mot de passe maître au redémarrage seulement.
4. Activez le remplissage automatique dans les réglages du téléphone. Sans cela, l'application reste un bloc-notes chiffré que vous n'ouvrirez pas.
5. Testez pour de vrai : connectez-vous à un site depuis le téléphone en laissant le coffre remplir les champs.

Avec KeePass, cette étape demande de placer le fichier de coffre dans un espace de stockage en ligne partagé entre les appareils, et d'ouvrir ce même fichier depuis l'application mobile. C'est le prix du contrôle total, et la raison pour laquelle Bitwarden convient mieux au plus grand nombre.

Reprendre l'existant sans y passer le week-end

Personne ne repart de zéro. Votre navigateur stocke déjà des dizaines de mots de passe, et c'est votre point de départ.

Importer ce qui existe déjà

Les navigateurs exportent leurs mots de passe dans un fichier ; les gestionnaires savent le relire. Dans les paramètres de mots de passe du navigateur, cherchez « Exporter », puis « Importer » dans votre coffre.

Deux précautions, qui ne sont pas des détails : ce fichier exporté est en clair, lisible par n'importe qui. Ne le laissez pas traîner dans le dossier Téléchargements, et supprimez-le définitivement dès l'import terminé, corbeille comprise. Ensuite seulement, désactivez l'enregistrement des mots de passe dans le navigateur, pour ne pas entretenir deux coffres qui divergent : c'est la cause du désordre décrit dans Favoris et mots de passe perdus après une réinstallation.

Changer les mots de passe dans le bon ordre

Ne changez pas quarante mots de passe en une soirée. Vous vous épuiserez sur le vingtième et vous laisserez les autres en plan. Un compte par jour suffit, en commençant par ceux qui comptent.

La méthode pour le rang 5 est la bonne : ne planifiez rien. Chaque fois que vous vous connectez à un site, laissez le coffre proposer un nouveau mot de passe aléatoire et enregistrez-le. En trois mois, votre parc est assaini sans y avoir consacré une seule soirée.

Pour chaque compte du rang 1 et 2, activez aussi la MFA (authentification à deux facteurs), qui ajoute un code à usage unique en plus du mot de passe. Le sujet est traité à part, notamment dans J'ai perdu mon téléphone d'authentification.

Erreurs fréquentes

• Réutiliser un ancien mot de passe comme mot de passe maître. Il est probablement déjà dans une base volée quelque part. Le coffre s'ouvrirait avec le secret le plus exposé que vous possédez.
• Remettre le secours papier à plus tard. C'est la seule étape qui ne se rattrape pas : quand vous en avez besoin, il est trop tard pour l'écrire.
• S'arrêter après l'ordinateur. Sans le téléphone, l'outil sert une fois sur deux, donc il ne sert pas.
• Changer les quarante mots de passe d'un coup. L'abandon est garanti au bout d'une heure, avec un coffre à moitié rempli et deux sources de vérité qui se contredisent.
• Laisser le fichier d'export en clair dans le dossier Téléchargements après l'import. Vous venez de déposer tous vos mots de passe en texte lisible sur votre disque.

À retenir

• La réutilisation est le vrai problème, et elle vient d'une limite de mémoire, pas d'un manque de sérieux.
• Trois options valables selon la situation : le navigateur pour un usage sur un seul poste, Bitwarden pour la synchronisation sans effort, KeePass pour garder le fichier chez soi.
• Le mot de passe maître est le point unique de défaillance : long, fait de mots ordinaires, unique, et écrit sur papier rangé hors ligne.
• Personne ne peut rouvrir votre coffre à votre place : c'est sa force et son danger.
• Le déploiement se termine sur le second appareil, pas sur le premier.

Ce que ça change pour vous

Le jour même, vous cessez de perdre du temps sur « Mot de passe oublié ». En trois mois, une fuite chez un commerçant en ligne ne concerne plus qu'un seul de vos comptes au lieu de tous. Et le jour où votre téléphone tombe dans l'eau, vos accès ne sont pas dedans : ils sont dans un coffre que vous rouvrez ailleurs avec une phrase que vous connaissez par cœur.

Mini-exercice

Sans rien installer, ouvrez les paramètres de mots de passe de votre navigateur et regardez la liste. Comptez combien d'entrées partagent le même mot de passe, et repérez si votre messagerie principale en fait partie. Ce chiffre est votre point de départ, et il est en général plus élevé que prévu.

Si vous êtes déjà bloqué dehors d'un compte au moment où vous lisez ceci, commencez par la fiche Mot de passe oublié partout, puis revenez ici pour que cela n'arrive plus. Pour comprendre le fond, le cours Cybersécurité : les bases reprend le sujet en détail.