Transférer ses mots de passe vers un gestionnaire de mots de passe

Module 7: Collaborer, applications et sécurité · Temps de lecture : 10 minutes

Objectif pédagogique : À l'issue de cette leçon, vous saurez transférer en toute sécurité vos mots de passe depuis votre navigateur, des papiers ou des tableurs vers un gestionnaire de mots de passe adapté à votre nouvelle organisation, y compris des coffres partagés pour l'équipe.

Notions clés : gestionnaire de mots de passe, coffre, mot de passe principal, clé de récupération, mots de passe dans le navigateur (Google, Edge, Apple), export au format csv, coffre ou collection partagé, auto-hébergement, open source, chiffrement sur votre propre appareil (zero-knowledge), conservation des passkeys

L'élément oublié

Dans presque tous les inventaires, les mots de passe sont absents. Ils ne figurent dans aucun service cloud que vous résiliez, donc personne n'y pense. Pourtant, ils sont souvent au cœur du dispositif. Chez Bakkerij De Korrel, un tour de table révèle :

• la plupart des mots de passe se trouvent dans Chrome, enregistrés dans le compte Google de la personne ;
• les mots de passe de la banque, du grossiste et de la boutique en ligne figurent dans un tableur wachtwoorden.xlsx sur Google Drive ;
• le mot de passe du wifi et le code de l'alarme sont notés sur un papier ;
• deux collègues utilisent partout le même mot de passe.

Si le compte Google disparaît, les mots de passe stockés dans Chrome disparaissent avec lui. Et un tableur contenant des mots de passe dans le cloud est l'une des premières choses qu'un intrus recherche. Un changement de prestataire est donc le bon moment pour régler cela.

Ce que fait un gestionnaire de mots de passe

Un gestionnaire de mots de passe est un coffre chiffré pour vos mots de passe, avec une application sur téléphone et ordinateur et une extension dans le navigateur. Vous ne retenez qu'un seul mot de passe principal fort ; le gestionnaire crée pour chaque site un mot de passe long et unique et le saisit à votre place.

Ce qui compte, c'est l'endroit où le chiffrement a lieu. Chez les gestionnaires connus, le coffre est chiffré sur votre propre appareil avec une clé dérivée de votre mot de passe principal. Le fournisseur ne conserve que le coffre chiffré et ne peut pas lire vos mots de passe. On appelle souvent cela le « zero-knowledge ». Conséquence : si vous oubliez votre mot de passe principal et que vous n'avez pas de clé de récupération, même le fournisseur ne peut pas vous aider.

Un bon gestionnaire ne remplit également les champs que sur la véritable adresse. Un faux site de votre banque ne reçoit donc rien, même s'il est identique en apparence. C'est une protection supplémentaire contre le phishing.

Quels types existe-t-il ?

Ceci n'est pas un classement. Pour une entreprise individuelle, KeePassXC avec le fichier du coffre dans votre propre cloud peut très bien convenir. Pour une équipe de douze personnes, un gestionnaire avec coffres partagés est plus pratique. Utilisez ici aussi les cinq questions de la leçon 2.1 (siège, propriétaire, centre de données, sous-traitants, clé). Pour un gestionnaire de mots de passe, la dernière question pèse le plus lourd : qui détient la clé ? Si c'est uniquement vous, l'emplacement du coffre chiffré importe moins que pour des fichiers ordinaires.

Transférer : export, import et suppression immédiate

Presque tous les navigateurs et gestionnaires permettent d'exporter les mots de passe en fichier csv. C'est un simple fichier texte avec sur chaque ligne un site, un nom d'utilisateur et un mot de passe, non chiffré. Quiconque ouvre ce fichier peut tout lire. Par conséquent :

1. Faites-le sur un ordinateur en qui vous avez confiance, pas sur un ordinateur de boutique partagé.
2. Exportez vers votre propre ordinateur, pas vers un dossier synchronisé ou le cloud. Sinon, le fichier non chiffré se retrouve en quelques secondes sur le serveur, dans les versions et dans la corbeille.
3. Importez-le immédiatement dans le nouveau gestionnaire.
4. Vérifiez par sondage que tout est correct (connectez-vous à quelques sites).
5. Supprimez immédiatement le fichier csv, et videz aussi la corbeille de l'ordinateur.
6. Désactivez ensuite l'enregistrement des mots de passe dans le navigateur, afin qu'aucune seconde copie obsolète ne subsiste.

Le tableur contenant les mots de passe se transfère en saisissant les données manuellement dans le gestionnaire (ou en les important en csv, selon les mêmes règles). Supprimez ensuite le tableur, y compris de la corbeille et de l'historique des versions de l'ancien cloud. Changez les mots de passe les plus importants qu'il contenait, car vous ne savez pas qui a pu consulter ce fichier au fil des années.

Faites aussi attention aux passkeys (leçon 7.3). Une passkey enregistrée dans votre compte Google ou Apple ne peut pas toujours être exportée. Créez une nouvelle passkey dans votre nouveau gestionnaire pour les sites importants, ou assurez-vous de connaître votre mot de passe et la seconde étape, avant de fermer l'ancien compte.

Partager au sein d'une équipe

Certains mots de passe appartiennent à l'organisation et non à une personne : la banque, le grossiste, les comptes de réseaux sociaux, le wifi. Utilisez pour cela un coffre partagé ou une collection dans le gestionnaire :

• Créez un coffre par groupe : « Boutique », « Administration », « Modération ». Tout le monde n'a pas besoin de tout voir.
• Ne partagez jamais un mot de passe par chat ou par e-mail. Même « juste rapidement ».
• Si quelqu'un quitte l'organisation, retirez-le des coffres partagés et changez les mots de passe auxquels il avait accès et qu'il aurait pu mémoriser ou copier.

Le mot de passe principal et le jour où ça tourne mal

Le mot de passe principal est la seule clé. Choisissez une phrase longue de quatre à six mots aléatoires, que vous n'utilisez nulle part ailleurs. Activez également l'authentification à deux facteurs (2FA) sur le gestionnaire lui-même.

Organisez la récupération à l'avance :

• Conservez la clé de récupération ou l'accès d'urgence proposé par votre gestionnaire sur papier, dans un endroit sûr.
• Convenez, pour l'organisation, de qui obtient l'accès en cas de décès ou de maladie de longue durée du propriétaire. De nombreux gestionnaires proposent une fonction d'accès d'urgence à cet effet.
• Les codes de secours de vos comptes les plus importants ont aussi leur place ici, ou sur papier (leçon 7.3). Pas dans un coffre auquel vous n'accédez qu'avec ces mêmes comptes.

En pratique : à quoi cela ressemble-t-il chez un prestataire

Dans un Nextcloud WebOké, il n'y a pas de gestionnaire de mots de passe intégré ; vous utilisez le gestionnaire de votre choix. Si vous utilisez KeePassXC, vous pouvez placer le fichier chiffré du coffre dans votre Nextcloud, de sorte qu'il se trouve, via l'application de bureau, sur tous vos ordinateurs et puisse être récupéré via les versions. Le fichier est alors chiffré avec votre mot de passe principal avant même d'atteindre le serveur. Le guide sur la sécurité du Nextcloud WebOké recommande lui-même un gestionnaire de mots de passe, et le présente comme un bon endroit pour vos codes de secours.

Chez d'autres fournisseurs de cloud européens, cela fonctionne de manière comparable : le gestionnaire de mots de passe est généralement un service ou une application distincte, à côté de votre cloud.

Résumé

• Les mots de passe stockés dans le navigateur de votre ancien compte disparaissent si vous fermez ce compte. Transférez-les au préalable.
• Un gestionnaire de mots de passe chiffre sur votre propre appareil ; le mot de passe principal est la seule clé.
• Un export csv n'est pas chiffré : jamais dans un dossier synchronisé, import immédiat, suppression immédiate.
• Utilisez des coffres partagés par groupe pour les mots de passe de l'organisation, et changez-les en cas de départ.
• Organisez à l'avance la récupération et l'accès d'urgence, sur papier.

Quiz

Exercice

Exercice E7.4 : Inventaire des mots de passe et plan de transfert. Déterminez où se trouvent actuellement les mots de passe de votre organisation (navigateur de chaque personne, tableurs, papiers, comptes partagés), choisissez un gestionnaire de mots de passe à l'aide des cinq questions de la leçon 2.1, et rédigez le plan de transfert : qui exporte quoi, sur quel ordinateur, quand le fichier csv sera supprimé, et quels coffres partagés seront créés.

Pour aller plus loin

Les étapes décrites dans ces articles concernent les services de WebOké ; chez d'autres prestataires, le fonctionnement est comparable.

• Guide Nextcloud 3.1: Comment WebOké sécurise-t-il votre Nextcloud ?
• Guide Nextcloud 3.3: Configurer une application d'authentification et conserver des codes de récupération
• NCSC (l'organisme néerlandais de cybersécurité), Beginnen met cybersecurity : https://www.ncsc.nl/beginnen-met-cybersecurity
• KeePassXC : https://keepassxc.org/