Protéger vos comptes : au-delà du mot de passe

9 minutes de lecture

Un mot de passe, même compliqué, ne protège plus grand-chose à lui seul. Voici pourquoi, ce qui le remplace vraiment, et comment choisir le bon niveau de protection sans se rendre la vie impossible.

01La situation en clair

Chaque site que vous utilisez stocke votre mot de passe sous une forme transformée mathématiquement, censée le rendre illisible même en cas de vol. En théorie. En pratique, quand un site se fait pirater, sa base de données finit tôt ou tard en circulation, et des outils automatisés passent des mois à "casser" ces mots de passe transformés pour retrouver l'original. Plus le mot de passe est simple ou court, plus ce cassage va vite, mais même les mots de passe solides finissent par tomber.

Le vrai problème n'est pas là. C'est qu'une immense majorité des gens réutilisent le même mot de passe, ou une variante proche, sur plusieurs comptes. Résultat : dès qu'un des sites que vous utilisez se fait pirater, même un site sans importance, les attaquants testent automatiquement ce mot de passe retrouvé sur votre boîte mail, votre banque, vos réseaux sociaux. Cette technique a un nom : le rejeu d'identifiants. Elle ne nécessite aucun talent particulier, juste une liste de mots de passe volés ailleurs, et il en circule des milliards.

C'est pour cette raison que la protection d'un compte ne peut plus reposer uniquement sur le mot de passe. Il faut un second élément, différent, qu'un attaquant ne peut pas obtenir simplement en volant une base de données quelque part.

02Pourquoi ça compte

Un compte piraté n'est presque jamais un problème isolé. Une boîte mail compromise permet de déclencher la réinitialisation du mot de passe de tous les autres comptes qui lui sont liés : banque, réseaux sociaux, espace professionnel, hébergeur du site que vous gérez. Un seul point d'entrée peut suffire à faire tomber le reste comme des dominos.

Ajouter une vérification supplémentaire à la connexion change complètement l'équation pour un attaquant. Même s'il connaît votre mot de passe, il lui manque un élément qu'il ne peut pas deviner ni acheter dans une liste de données volées : votre téléphone, votre application d'authentification, ou une petite clé physique que vous seul possédez.

03Les trois niveaux de protection, du plus faible au plus solide

Toutes les "doubles vérifications" ne se valent pas. Il est utile de savoir où se situe chaque solution avant de choisir laquelle activer.

1. 1

   Le code reçu par SMS — mieux que rien, mais fragile

   Un SMS n'est pas chiffré : il transite en clair sur le réseau téléphonique, ce qui le rend théoriquement interceptable. Le risque le plus concret reste le détournement de numéro : un attaquant convainc votre opérateur de transférer votre ligne sur sa propre carte SIM, et reçoit vos codes à votre place. C'est la solution la plus simple à mettre en place, mais la plus faible des trois.

2. 2

   L'application d'authentification — le bon compromis

   Une application dédiée sur votre téléphone (Google Authenticator, Microsoft Authenticator, ou une équivalente) génère un code qui change toutes les trente secondes, sans jamais passer par le réseau téléphonique. Rien à intercepter à distance : il faudrait avoir physiquement accès à votre téléphone déverrouillé. C'est aujourd'hui le meilleur équilibre entre protection, simplicité et coût, et la solution à privilégier pour la quasi-totalité de vos comptes.

3. 3

   La clé de sécurité physique — le niveau maximal

   Une petite clé USB ou NFC (la plus connue s'appelle YubiKey, la norme technique s'appelle FIDO2) que vous branchez ou approchez de votre appareil pour valider la connexion. Elle ne peut être ni interceptée à distance, ni reproduite, ni détournée par une fausse page de connexion : c'est la seule méthode réellement résistante à l'hameçonnage. Réservez-la à vos comptes les plus sensibles (boîte mail principale, gestionnaire de mots de passe, accès administrateur) : son coût et le risque de perte la rendent moins pratique pour un usage généralisé.

04Ce qu'il faut faire, dans l'ordre

1. 1

   Sécurisez d'abord votre boîte mail

   C'est la porte d'entrée vers tout le reste, puisqu'elle permet de réinitialiser la quasi-totalité de vos autres comptes. Activez-y une application d'authentification en priorité, avant tout autre compte.

2. 2

   Adoptez un gestionnaire de mots de passe

   Retenir un mot de passe long et unique pour chaque site est humainement impossible sans aide. Un gestionnaire (il en existe des gratuits et fiables) les génère, les stocke de façon chiffrée, et les remplit automatiquement à votre place. Vous n'avez plus qu'un seul mot de passe à retenir : celui du gestionnaire lui-même.

3. 3

   Construisez ce seul mot de passe restant avec une phrase, pas un mot

   Pour le mot de passe du gestionnaire, celui que vous devez mémoriser, partez d'une phrase personnelle plutôt que d'un mot. Prenez la première lettre de chaque mot, alternez majuscules et minuscules, remplacez certains mots par des chiffres ou symboles. C'est la méthode recommandée par la CNIL : elle donne un résultat impossible à deviner, mais que vous pouvez reconstituer de mémoire.

4. 4

   Étendez la double vérification à tous vos comptes importants

   Banque, réseaux sociaux, hébergeur de site, mais aussi les outils que l'on oublie souvent : votre compte GitHub ou tout espace où vous stockez du code, vos accès administrateur si vous gérez un site ou un service. Ce sont des cibles précieuses, rarement protégées.

5. 5

   Mettez de côté vos codes de récupération, hors ligne

   Chaque service avec double vérification génère des codes de secours en cas de perte de votre téléphone. Notez-les et rangez-les sur un support physique (papier dans un lieu sûr, clé USB chiffrée), jamais dans un mail ou un fichier cloud non protégé. Sans eux, perdre son téléphone peut vous couper l'accès à tous vos comptes d'un coup.