Créer un mot de passe sécurisé et protéger ses comptes

Un mot de passe sécurisé doit être suffisamment long, difficile à prévoir et différent pour chaque compte. Le plus pratique est de laisser un gestionnaire générer et mémoriser des secrets aléatoires. Protégez ensuite les comptes importants avec une authentification supplémentaire et des moyens de récupération fiables.

Pourquoi une variante du même mot de passe ne suffit pas

Ajouter le nom du site ou l’année à une base commune rend les variantes prévisibles. Si l’une est divulguée, les autres peuvent être devinées. Une majuscule au début et un point d’exclamation à la fin ne compensent pas un prénom, une date ou une suite connue.

Le risque ne vient pas seulement d’une tentative de deviner votre secret. Une fuite sur un service peut conduire à essayer automatiquement les mêmes identifiants ailleurs. L’unicité limite cette propagation. Commencez par votre messagerie principale : elle sert souvent à réinitialiser l’accès aux autres comptes.

Créer un secret avec un gestionnaire

1. Choisissez un gestionnaire dont vous comprenez le fonctionnement, les sauvegardes et les options de récupération.
2. Créez un mot de passe maître long et distinct de tous vos autres comptes.
3. Pour chaque service, utilisez le générateur et les caractères acceptés par son formulaire.
4. Enregistrez l’adresse exacte du site et l’identifiant avec le secret.
5. Testez la connexion et la récupération avant d’effacer vos anciennes notes.

Une longueur généreuse, par exemple vingt caractères aléatoires lorsque le service les accepte, laisse davantage de marge qu’un secret court mémorisable. Ce n’est pas une garantie universelle : les restrictions du service, la protection de l’appareil et les attaques par hameçonnage comptent aussi. Ne recopiez pas un exemple publié dans un article comme mot de passe réel.

Si vous devez mémoriser une phrase de passe

Utilisez plusieurs mots choisis de façon imprévisible, sans citation célèbre, paroles de chanson ou information personnelle. Une phrase qui raconte votre vie peut être longue tout en étant devinable. Respectez les contraintes du service sans revenir à une base commune pour tous les comptes.

Le secret principal de votre coffre mérite une attention particulière. Prévoyez sa conservation d’urgence dans un lieu protégé auquel vous pourrez accéder si l’appareil habituel disparaît. Un coffre inaccessible et sans récupération peut vous bloquer durablement ; un secret affiché à côté de l’ordinateur ne le protège pas.

Double authentification : choisir et préparer le secours

Cybermalveillance.gouv.fr recommande la double authentification lorsqu’elle est disponible. Selon le service, elle peut utiliser une application, une clé de sécurité ou un autre moyen pris en charge. Activez-la en priorité sur la messagerie, le gestionnaire et les comptes sensibles.

Conservez les codes de récupération séparément et comprenez comment remplacer un téléphone perdu. Deux applications sur le même appareil ne constituent pas forcément deux moyens indépendants de retrouver votre accès. N’envoyez jamais un code à une personne qui se présente comme le support : saisissez-le seulement dans le parcours de connexion que vous avez vous-même ouvert.

OpenID n’est pas un générateur de mots de passe

OpenID concerne des mécanismes d’identité et d’authentification. Le libellé OpenID pour générer un mot de passe sécurisé ne doit pas être compris comme une recommandation de générateur : il décrit mal la fonction de cette technologie. Un bouton permettant de se connecter via un fournisseur d’identité et un outil créant des secrets aléatoires répondent à deux besoins différents.

Avec une connexion fédérée, la sécurité du compte fournisseur devient essentielle. Vérifiez quel compte sert à vous connecter, ses moyens de récupération et les applications auxquelles vous avez donné accès. Ne supprimez pas ce compte sans mesurer les conséquences pour les services liés.

Quand faut-il changer un mot de passe ?

Changez-le rapidement s’il est compromis, réutilisé sur un service ayant subi une fuite, communiqué par erreur ou saisi sur une fausse page. Pour un compte personnel ordinaire, le changement calendaire systématique n’est pas une bonne raison de fabriquer des variantes faibles. La CNIL distingue notamment les comptes utilisateurs des comptes administrateurs dans ses recommandations ; les règles d’une organisation peuvent imposer des exigences particulières.

Que faire après une alerte de fuite ?

• Ouvrez le service par son adresse habituelle, sans suivre un lien douteux.
• Remplacez le secret concerné et toutes ses réutilisations.
• Examinez les sessions, les coordonnées de récupération et les accès tiers.
• Déconnectez les sessions inconnues et activez une protection supplémentaire.
• Contrôlez les actions récentes si le service le permet.

Si votre messagerie est touchée, vérifiez aussi les règles de transfert : un attaquant peut conserver une copie des courriels même après un changement de mot de passe. Un appareil infecté doit également être pris en charge, sinon le nouveau secret peut être volé à son tour.

Et les clés d’accès, ou passkeys ?

Lorsqu’un service les propose, elles permettent une connexion sans transmettre un mot de passe classique. Vérifiez où elles sont conservées, comment elles se synchronisent et comment récupérer l’accès après perte d’un appareil. Elles réduisent certains risques, mais ne dispensent pas de protéger l’appareil et le compte qui les héberge.