Gestionnaire de mots de passe et passkeys : sécurisez vos connexions
Chaque compte a besoin de son propre mot de passe long. Si vous utilisez le même mot de passe à plusieurs endroits, tous vos comptes sont exposés dès qu'un seul fuite. Personne ne retient quatre-vingts mots de passe différents. Un gestionnaire de mots de passe s'en charge pour vous. Lorsque c'est possible, remplacez le mot de passe par une passkey, que les faux sites ne peuvent pas exploiter.
Ce que fait un gestionnaire de mots de passe
- Il crée pour chaque service un mot de passe long et aléatoire : au moins 15 caractères, ou une phrase de passe de cinq ou six mots choisis au hasard.
- Il conserve tout de manière chiffrée dans un coffre-fort.
- Il saisit le mot de passe sur le bon site web, et uniquement sur celui-ci.
- Souvent, il vous avertit des mots de passe en double ou ayant fuité, et il peut aussi conserver les codes de vérification en deux étapes et les passkeys.
Vous n'avez plus qu'un seul mot de passe à retenir : le mot de passe principal du coffre-fort.
Types
| Type | Avantage | Attention |
|---|---|---|
| Intégré à votre navigateur ou à votre téléphone | Déjà présent et simple | Souvent sans mot de passe principal distinct : quiconque accède à votre ordinateur accède à vos mots de passe. Moins adapté à l'utilisation sur différents systèmes et au partage. |
| Application distincte avec synchronisation via l'éditeur | Fonctionne sur tous vos appareils, avec des coffres-forts partagés pour une équipe | Vous faites confiance à l'éditeur ; votre mot de passe principal doit être robuste |
| Fichier de coffre-fort local sur votre propre ordinateur | Vous gardez tout sous contrôle | Vous devez gérer vous-même la sauvegarde et la synchronisation ; le partage est plus compliqué |
Notre conseil : Proton Pass (une entreprise suisse proposant une version gratuite généreuse) ou 1Password avec un compte sur 1password.eu (une entreprise canadienne, payant et très simple d'utilisation). Tous deux fonctionnent sur votre Mac, votre PC Windows, votre téléphone et dans tous les principaux navigateurs. Bitwarden est également un bon choix, mais il s'agit d'une entreprise américaine : le droit américain s'y applique, même si votre coffre-fort est hébergé dans l'UE. Dans le guide Le gestionnaire de mots de passe en pratique, nous comparons 23 gestionnaires de mots de passe en matière de simplicité, de sécurité et de conformité UE/RGPD, et vous découvrez étape par étape comment configurer Proton Pass ou 1Password.
Lors de votre choix, vérifiez les points suivants : fonctionne-t-il sur tous vos appareils, pouvez-vous partager des coffres-forts et en retirer quelqu'un, pouvez-vous protéger le coffre-fort par une vérification en deux étapes, existe-t-il un accès d'urgence, et pouvez-vous exporter vos données si vous souhaitez changer de solution ?
Le mot de passe principal
- Créez une phrase de passe de cinq ou six mots aléatoires, choisis par le générateur et non par vous-même. Des paroles de chanson ou un proverbe se devinent facilement.
- Ne l'utilisez nulle part ailleurs et saisissez-le uniquement dans l'application ou l'extension du gestionnaire lui-même.
- Activez la vérification en deux étapes sur le coffre-fort. Ce n'est pas une raison pour choisir un mot de passe principal plus court : si l'éditeur est piraté, votre mot de passe principal est la seule protection de votre coffre-fort volé.
- Un oubli est souvent définitif, car l'éditeur ne peut pas le récupérer. Notez-le sur papier, sans indiquer à quoi il sert, et conservez-le chez vous en lieu sûr, avec le code de récupération de votre gestionnaire.
- Activez le verrouillage automatique après quelques minutes d'inactivité.
rn et m. Consultez Reconnaître le phishing : comment lire un lien et un expéditeur.Partage au sein d'une équipe et accès d'urgence
- Donnez de préférence à chacun son propre compte. Si vous devez tout de même partager un identifiant, utilisez un coffre-fort partagé par thème et n'accordez l'accès qu'aux personnes qui en ont besoin. Ne partagez jamais par e-mail, par messagerie instantanée ou via un tableur.
- Si quelqu'un quitte l'équipe, retirez-le du coffre-fort et modifiez les mots de passe auxquels il avait accès.
- Prévoyez un accès d'urgence au cas où vous ne seriez plus disponible : de nombreux gestionnaires permettent à une personne de confiance d'accéder au coffre-fort après un délai d'attente. Vous pouvez aussi confier les informations de récupération, dans une enveloppe scellée, à une autre personne.
Passkeys et clés de sécurité
Une passkey remplace le mot de passe. Il s'agit d'une paire de clés : la partie secrète reste sur votre appareil ou dans votre gestionnaire de mots de passe, le site web ne conserve que la partie publique. Vous déverrouillez la passkey avec votre empreinte digitale, votre visage ou votre code PIN ; cela se fait sur votre propre appareil.
- Ne fonctionne pas sur un faux site. Une passkey est liée au domaine authentique, et votre navigateur le vérifie. Sur un site imitant l'original, il n'y a pas de passkey, donc rien à saisir ou à approuver par erreur.
- Rien à pirater. Si le site web subit une fuite, l'attaquant ne dispose que de clés publiques.
- Une clé de sécurité est un petit appareil à brancher sur le port USB ou à approcher de votre téléphone, contenant des passkeys qui ne peuvent pas en être extraites. Enregistrez toujours au moins deux clés et conservez la clé de secours dans un autre endroit.
- Si votre passkey est stockée dans un gestionnaire de mots de passe ou dans le compte de votre téléphone, elle vous suit sur vos autres appareils. Protégez alors ce compte avec un soin tout particulier.
- Souvent, votre mot de passe continue lui aussi de fonctionner. Veillez donc à ce qu'il reste long et unique.
Chez WebOké
| Service | Quelles possibilités ? |
|---|---|
| Nextcloud | Vous pouvez vous connecter avec une passkey ou une clé de sécurité, via Authentification sans mot de passe. Votre mot de passe et vos autres méthodes continuent de fonctionner. Pour les applications, créez un mot de passe d'application ; conservez-le également dans votre gestionnaire. Consultez Configurer une application d'authentification et conserver les codes de secours. |
| Mon WebOké | Pas de passkeys. Après votre mot de passe, Mon WebOké demande toujours un code de connexion par e-mail (Le code de connexion par e-mail), ou un code issu d'une application d'authentification. Il n'existe pas de codes de récupération : si vous avez perdu l'application, contactez-nous. |
| DirectAdmin | Two-Step Authentication avec une application d'authentification et des codes de secours, consultez Configurer la Two-Step Authentication. |
| Boîtes mail | Un logiciel de messagerie se connecte avec le mot de passe. Attribuez à chaque boîte mail son propre mot de passe long, issu de votre gestionnaire. |
Pour en savoir plus sur les mots de passe robustes, consultez Des mots de passe sûrs et que faire en cas de fuite d'un mot de passe, ainsi que les articles du NCSC Comment choisir un gestionnaire de mots de passe ? et Comment choisir une méthode MFA ?
Envie d'en apprendre davantage ? Suivez le cours gratuit Sécurité en ligne pour les entrepreneurs, leçon 2.2 Choisir et utiliser un gestionnaire de mots de passe, ou le cours gratuit Passer à un cloud européen, leçon 7.4 Transférer vos mots de passe vers un gestionnaire de mots de passe.