Choisir et utiliser un gestionnaire de mots de passe

Module 2: Mots de passe et connexion · Temps de lecture : 9 minutes

Objectif : À l'issue de cette leçon, vous saurez choisir et configurer un gestionnaire de mots de passe, protéger le mot de passe principal et partager des mots de passe en toute sécurité au sein d'une équipe.

Notions clés : gestionnaire de mots de passe, mot de passe principal, coffre-fort, chiffrement de bout en bout, coffre-fort partagé, accès d'urgence, gestionnaire de mots de passe du navigateur

Ce que fait un gestionnaire de mots de passe

Dans la leçon 2.1, vous avez vu que chaque compte a besoin de son propre mot de passe, long et aléatoire. Personne ne peut en retenir quatre-vingts. Un gestionnaire de mots de passe est un logiciel qui le fait à votre place. Il :

• crée un mot de passe fort et aléatoire pour chaque service ;
• conserve tous les mots de passe de manière chiffrée dans un coffre-fort ;
• les saisit sur le bon site web, et uniquement sur celui-ci ;
• vous avertit souvent des mots de passe faibles, réutilisés ou ayant fuité ;
• peut, pour de nombreux produits, également conserver les codes d'authentification à deux facteurs (2FA) et enregistrer des passkeys (leçons 2.3 et 2.4).

Vous n'avez plus qu'un seul mot de passe à retenir : le mot de passe principal qui ouvre le coffre-fort. Le NCSC néerlandais recommande un gestionnaire de mots de passe comme base incontournable, y compris pour les petites organisations, avec des règles claires sur le gestionnaire à utiliser et les comptes pour lesquels il est obligatoire.

Types de gestionnaires de mots de passe

Il n'existe pas un seul type idéal. Le NCSC néerlandais distingue le gestionnaire intégré au navigateur et l'application indépendante, ainsi que la version en ligne (cloud) et la version hors ligne (locale). En pratique, vous rencontrerez les formes suivantes :

Parmi les gestionnaires indépendants connus figurent Proton Pass, 1Password, Bitwarden et KeePassXC, en plus des gestionnaires intégrés aux navigateurs et aux systèmes d'exploitation. Dans le guide Le gestionnaire de mots de passe en pratique, nous comparons 23 gestionnaires de mots de passe sur la facilité d'utilisation, la sécurité et la confidentialité (UE et RGPD), avec le pays de l'entreprise, le prix et les avis (voir Pour aller plus loin). Notre conseil : Proton Pass, ou 1Password si vous recherchez la solution la plus simple. En cas de doute, choisissez à l'aide des questions ci-dessous.

Questions pour faire votre choix

• Fonctionne-t-il sur tous vos appareils et navigateurs, y compris ceux de vos collègues ?
• Pouvez-vous partager des coffres-forts avec des droits par dossier, et retirer quelqu'un d'un coffre-fort ?
• Le coffre-fort est-il chiffré de bout en bout, et qu'est-ce qui est chiffré ou non (par exemple les adresses des sites web) ?
• Pouvez-vous protéger le coffre-fort avec l'authentification à deux facteurs (2FA) ou une passkey ?
• Existe-t-il un accès d'urgence ou une procédure de récupération, et comment fonctionne-t-elle exactement ?
• Pouvez-vous exporter vos données si vous souhaitez changer de solution ?
• Pour les versions gratuites : quel est le modèle économique ?

Chiffrement de bout en bout : que se passe-t-il si le fournisseur est piraté ?

Avec un bon gestionnaire cloud, votre coffre-fort est chiffré sur votre appareil à l'aide d'une clé dérivée de votre mot de passe principal. Le fournisseur ne reçoit que le paquet chiffré. C'est ce qu'on appelle le chiffrement de bout en bout (parfois « zero knowledge »). Le fournisseur ne peut pas lire vos mots de passe et ne peut donc pas non plus réinitialiser votre mot de passe principal à votre place.

Si le fournisseur est piraté, un attaquant peut voler les coffres-forts chiffrés. Il peut alors tenter de les casser hors ligne, comme dans la leçon 2.1. À ce moment-là, votre mot de passe principal est votre seule protection. C'est pourquoi :

• Le mot de passe principal est long et unique : une phrase de passe d'au moins cinq, de préférence six mots aléatoires.
• Vous ne l'utilisez nulle part ailleurs.
• Après une fuite chez le fournisseur, vous changez votre mot de passe principal ainsi que les mots de passe de vos comptes les plus importants. L'ancien coffre-fort volé est en effet chiffré avec l'ancien mot de passe principal.

L'authentification à deux facteurs sur le coffre-fort protège contre une personne qui connaît votre mot de passe principal et tente de se connecter via le site web. Elle ne protège pas contre le cassage d'un fichier de coffre-fort volé. Le NCSC néerlandais le dit aussi : la 2FA sur le gestionnaire ne justifie pas un mot de passe principal faible.

Protéger le mot de passe principal

Avec un bon gestionnaire, oublier le mot de passe principal est souvent définitif : le fournisseur ne peut pas le récupérer. Prenez donc vos dispositions à l'avance :

• Notez le mot de passe principal sur papier et conservez-le chez vous en lieu sûr. Le NCSC néerlandais l'admet tout à fait, à condition de ne pas indiquer à quoi il sert.
• Créez le kit de récupération ou le code d'urgence proposé par votre gestionnaire, imprimez-le et conservez-le avec le papier.
• Ne saisissez le mot de passe principal que dans l'application ou l'extension du gestionnaire lui-même, jamais sur un site web qui vous le demande.
• Activez le verrouillage automatique après quelques minutes d'inactivité.

Pourquoi la saisie automatique protège contre le phishing

Un gestionnaire de mots de passe associe chaque mot de passe à l'adresse du site web. Sur https://mabanque.example, il saisit votre mot de passe. Sur un site imitant l'original comme https://rnabanque.example (rn au lieu de m) ou https://mabanque-securise.example, il ne fait rien, car ces adresses ne figurent pas dans l'élément enregistré.

Un être humain ne voit souvent pas la différence entre rn et m. Le gestionnaire compare les caractères et n'est jamais fatigué ni pressé. C'est une véritable protection, mais seulement si vous le laissez faire son travail :

Votre gestionnaire ne remplit soudain plus rien sur un site où il le faisait toujours ? Ne le contournez pas en copiant le mot de passe à la main. Examinez d'abord très attentivement l'adresse. C'est précisément à ce moment-là que le gestionnaire vous avertit.

Il existe parfois une raison légitime à l'absence de saisie : un service qui a déménagé vers une nouvelle adresse. Vérifiez-le alors par un autre moyen, par exemple en tapant vous-même l'adresse que vous connaissiez déjà.

Partager au sein d'une équipe

Dans une petite entreprise, il y a toujours des comptes utilisés en commun : la boutique en ligne sur plateforme-boutique.example, le compte chez colisexpress.example, les réseaux sociaux de l'entreprise. L'idéal est que chacun dispose de son propre compte (module 7). Si ce n'est pas possible, utilisez un coffre-fort partagé :

• Créez des coffres-forts ou des dossiers par thème (« Boutique en ligne », « Finances », « Réseaux sociaux ») et ne donnez l'accès qu'aux personnes qui en ont besoin.
• Ne partagez jamais par e-mail, messagerie instantanée ou tableur. Les personnes ayant accès au coffre-fort partagé y voient le mot de passe.
• Quelqu'un quitte l'entreprise ? Retirez-le du coffre-fort et changez les mots de passe qu'il pouvait voir. Le retirer du coffre-fort ne suffit pas : il a pu les recopier ou les enregistrer.
• Prévoyez un accès d'urgence : que se passe-t-il si vous, le propriétaire, êtes malade ou indisponible ? De nombreux gestionnaires proposent une fonction permettant à une personne de confiance d'obtenir l'accès après un délai d'attente. Vous pouvez aussi confier les informations de récupération dans une enveloppe scellée à une deuxième personne.

En pratique : passer au gestionnaire en un après-midi

1. Choisissez un gestionnaire et installez-le sur votre ordinateur et votre téléphone, avec l'extension de navigateur.
2. Créez un mot de passe principal (phrase de passe), notez-le et conservez le kit de récupération.
3. Activez l'authentification à deux facteurs sur le coffre-fort.
4. Importez les mots de passe déjà enregistrés par votre navigateur. Un export est souvent un fichier non chiffré : supprimez-le immédiatement après l'import, y compris de la corbeille.
5. Commencez par les comptes les plus importants et donnez à chacun un nouveau mot de passe aléatoire : votre boîte mail (info@example.com), votre hébergement et l'enregistrement de votre domaine, votre banque et votre comptabilité (par exemple sur comptafacile.example).
6. Mettez à jour les autres comptes au fil de vos connexions. Les alertes sur les mots de passe réutilisés vous y aideront.

Vous utilisez un service de l'environnement WebOké, comme une boîte mail ou Nextcloud, avec des applications sur votre téléphone ? Vous devez parfois créer pour cela un mot de passe d'application distinct (voir la base de connaissances 436). Celui-ci aussi, conservez-le dans le gestionnaire, avec l'élément correspondant. Chez d'autres fournisseurs, le fonctionnement est similaire.

Résumé

• Un gestionnaire de mots de passe crée, conserve et saisit des mots de passe uniques ; vous ne retenez que le mot de passe principal.
• Types : intégré au navigateur ou au système, application indépendante avec cloud, local, open source ou auto-hébergé. Choisissez selon les appareils, le partage, le chiffrement et la récupération.
• Avec le chiffrement de bout en bout, votre mot de passe principal est la dernière ligne de défense si le fournisseur est piraté.
• Si le gestionnaire ne remplit rien, examinez l'adresse au lieu de copier le mot de passe.
• Partagez via un coffre-fort partagé et changez les mots de passe lorsque quelqu'un quitte l'entreprise.

Quiz

Exercice

Exercice D2.2 : Configurer votre gestionnaire de mots de passe. Choisissez un gestionnaire de mots de passe, créez un mot de passe principal et un kit de récupération, activez l'authentification à deux facteurs sur le coffre-fort et donnez à vos cinq comptes les plus importants un nouveau mot de passe unique. Cochez la liste de contrôle et répondez aux questions de réflexion. Vous ne saisissez aucun mot de passe dans l'exercice.

Pour aller plus loin

Les étapes décrites dans les articles WebOké s'appliquent à l'environnement WebOké ; chez d'autres fournisseurs, le fonctionnement est similaire.

• Guide DirectAdmin 3.7: Mots de passe sécurisés et que faire en cas de mot de passe compromis
• Créer un mot de passe d'application (nécessaire pour se connecter à des applications et appareils)
• Guide Nextcloud 3.5: Mots de passe d'application : quand et comment
• ANSSI (Agence nationale de la sécurité des systèmes d'information) : https://cyber.gouv.fr/
• Cybermalveillance.gouv.fr, conseils pour les entreprises : https://www.cybermalveillance.gouv.fr/
• Gestionnaire de mots de passe et passkeys : sécurisez vos connexions
• Le gestionnaire de mots de passe en pratique 1.1: Pourquoi un gestionnaire de mots de passe, et ce que ce manuel vous apprend
• Le gestionnaire de mots de passe en pratique 1.2: Proton Pass, 1Password ou votre navigateur : lequel vous convient ?
• Le gestionnaire de mots de passe en pratique 1.3: Votre mot de passe principal : le créer, le conserver et ne jamais le perdre
• Le gestionnaire de mots de passe en pratique 1.4: Tous les gestionnaires de mots de passe connus comparés : pays, options, avis et notes