Une amie m'a appelé un dimanche soir, paniquée. Son compte bancaire affichait trois prélèvements qu'elle ne reconnaissait pas. En vingt minutes, on a reconstitué l'histoire : un site de e-commerce piraté six mois plus tôt, le même mot de passe qu'elle utilisait partout depuis des années. Elle n'avait rien vu venir. Et franchement, elle n'était pas de mauvaise foi : personne ne lui avait jamais expliqué comment protéger ses mots de passe efficacement, juste répété qu'il fallait « faire attention ».
Le problème, c'est que « faire attention » ne veut rien dire. Ce qui marche, ce sont des gestes précis, et surtout un outil qui fait le sale boulot à votre place. Je vais vous montrer lesquels, comment les choisir, et quoi faire quand le mal est déjà fait.
Points clés à retenir
- Un mot de passe long et unique par compte reste la base. Le reste s'écroule sans ça.
- Le gestionnaire de mots de passe n'est pas un gadget : c'est la seule méthode réaliste pour tenir des dizaines de mots de passe différents.
- La double authentification doit être activée partout où c'est possible, et pas par SMS si vous pouvez l'éviter.
- Aucun outil ne sert à rien si vous ignorez qu'un compte a déjà fuité. Vérifiez.
- Les passkeys arrivent, mais ils ne remplacent pas encore tout, loin de là.
Pourquoi vos mots de passe actuels ne tiennent pas
Prenons un mot de passe que beaucoup considèrent comme solide : Marine2019!. Prénom, année, point d'exclamation. Un attaquant qui vous connaît un peu le teste en quelques secondes. Et une machine qui ne vous connaît pas du tout le trouvera en quelques minutes avec un dictionnaire bien construit.
Le vrai problème n'est pas la complexité
On nous a répété pendant vingt ans qu'un bon mot de passe devait ressembler à Xy7#kL2. Sauf que ce genre de chaîne est impossible à mémoriser, donc les gens la réutilisent partout, ou la notent. Résultat : on a créé des mots de passe difficiles pour les humains et faciles pour les machines.
Ce qui compte réellement aujourd'hui, c'est la longueur. Une phrase de passe du type girafe-tomate-orage-9 résiste infiniment mieux qu'un fouillis de caractères courts. Pourquoi ? Parce que chaque mot ajouté multiplie le nombre de combinaisons possibles. Un attaquant qui teste des milliards de combinaisons par seconde met des siècles sur une phrase de cinq mots courants, alors qu'il casse Xy7#kL2 en quelques heures.
Le péché originel : la réutilisation
Voilà le point que je martèle à chaque audit que je fais chez des clients. Une fuite sur un forum quelconque, et c'est l'ensemble de votre vie numérique qui s'ouvre. Les attaquants le savent : ils prennent les identifiants volés et les testent automatiquement sur les banques, les messageries, les réseaux sociaux. Ça s'appelle le credential stuffing, et c'est brutalement efficace.
Je me souviens d'un client qui jurait avoir des mots de passe différents. En vérifiant, il en avait trois, recyclés avec des variantes. Trois, pour une quarantaine de comptes.
Le gestionnaire de mots de passe : la seule solution réaliste
Vous ne pouvez pas mémoriser quarante mots de passe uniques de vingt caractères. Moi non plus. Personne ne peut. Donc on délègue à un logiciel qui, lui, ne fatigue pas.
Le principe est simple : vous retenez un seul mot de passe maître, solide, et le gestionnaire génère et stocke tous les autres. Il les remplit automatiquement dans votre navigateur ou votre téléphone. Vous n'avez plus à les connaître.
Comment fonctionne un gestionnaire de mots de passe
La question revient sans cesse, et elle est légitime. La plupart des outils fonctionnent sur le même modèle : votre coffre-fort est chiffré avec une clé dérivée de votre mot de passe maître. Ce mot de passe ne quitte jamais votre appareil, même quand le coffre est synchronisé dans le cloud. Le fournisseur stocke un bloc de données illisible, point.
Concrètement : si quelqu'un vole la base de données de l'éditeur, il récupère des octets inutilisables sans votre mot de passe maître. C'est pour ça qu'un bon mot de passe maître, long et unique, n'est pas négociable. C'est la clé de tout le reste.
Gratuit ou payant : faut-il vraiment payer ?
Avouons-le, la question du prix revient tout le temps. Et la bonne nouvelle, c'est qu'un gestionnaire de mots de passe gratuit couvre déjà 90 % des besoins d'un particulier. Les versions payantes ajoutent surtout le partage sécurisé entre plusieurs personnes, le stockage de fichiers, et un support technique.
Pour comparer, voici les grandes familles d'outils que je croise le plus souvent :
| Type d'outil | Points forts | Limites |
|---|---|---|
| Intégré au navigateur (Chrome, Firefox, Safari) | Gratuit, déjà là, synchronisation automatique | Peu de fonctions avancées, dépend du compte navigateur, export difficile |
| Gestionnaire cloud dédié | Synchronisation multi-appareils, générateur solide, alertes de fuite | Version gratuite parfois bridée sur un seul appareil |
| Gestionnaire local (open source) | Le fichier ne quitte jamais votre machine, auditable | Synchronisation à gérer soi-même, moins confortable au quotidien |
Mon avis, et je l'assume : pour la grande majorité des gens, un gestionnaire cloud réputé gratuit est le meilleur compromis. Le confort fait qu'on l'utilise vraiment, et un outil qu'on utilise bat toujours un outil parfait qu'on abandonne.
Où stocker ses mots de passe gratuitement, sans se tromper
Trois options tiennent la route. Un gestionnaire cloud gratuit, si vous acceptez que le coffre chiffré soit synchronisé chez un tiers. Un gestionnaire local si vous êtes à l'aise avec la technique. Et le gestionnaire intégré à votre navigateur, à condition de bien protéger le compte qui le synchronise.
Ce qui ne tient pas la route : le fichier Excel, le document texte, le carnet photo dans le téléphone, ou le fichier intitulé motsdepasse.txt sur le bureau. J'en ai vu. Plusieurs fois.
Le gestionnaire de mots de passe de Google vaut-il le coup ?
Celui intégré à Chrome et Android fait très bien le travail de base : génération, remplissage automatique, alerte quand un mot de passe apparaît dans une fuite connue. Sa faiblesse, c'est la dépendance totale à votre compte Google. Si ce compte tombe, tout tombe avec lui. C'est un point à garder en tête, surtout si vous cherchez à répartir les risques.
La double authentification : bien plus qu'un bonus
Imaginez que votre mot de passe fuite demain. Sans second facteur, l'attaquant entre. Avec, il se heurte à un mur — à condition d'avoir choisi le bon type de second facteur.
Toutes les doubles authentifications ne se valent pas, et c'est là que beaucoup se trompent :
- SMS : mieux que rien, mais vulnérable au SIM swapping, où un attaquant obtient une copie de votre carte SIM auprès de l'opérateur.
- Application d'authentification (TOTP) : le code change toutes les 30 secondes, stocké localement. C'est le standard raisonnable aujourd'hui.
- Clé physique FIDO2 : la plus solide. Il faut la brancher ou la taper physiquement pour valider. Difficile à contourner à distance.
- Passkeys : le futur, en partie déjà là. On y revient plus bas.
Ma règle simple : activez la double authentification partout, et privilégiez une application ou une clé physique plutôt que le SMS. Sur certaines administrations françaises, le SMS reste imposé, mais dès qu'on vous propose mieux, prenez mieux.
Que faire quand un compte a déjà fuité
Personne n'aime cette partie, mais elle est décisive. Et la plupart des gens réagissent trop tard, ou mal.
Vérifier si vous êtes concerné
Le site Have I Been Pwned reste la référence : vous y entrez votre adresse email et il vous dit quelles fuites connues la concernent. Faites-le. Une fois. Puis inscrivez-vous aux alertes, vous serez prévenu automatiquement. Beaucoup de gestionnaires de mots de passe intègrent d'ailleurs cette surveillance directement.
La procédure en cas de compromission
Si un compte est touché, l'ordre des opérations compte. D'abord, changez le mot de passe du compte concerné, et vérifiez qu'il n'est pas réutilisé ailleurs. Ensuite, révoquez les sessions actives : c'est l'étape que tout le monde oublie. Un attaquant déjà connecté reste connecté même après un changement de mot de passe, tant que vous ne coupez pas les sessions en cours.
Puis activez la double authentification si ce n'était pas fait. Et si le compte touché donne accès à d'autres services (une boîte mail, par exemple, qui sert à réinitialiser tous les autres mots de passe), changez ces accès aussi.
Et si c'est le mot de passe maître qui fuit ?
Scénario rare mais sérieux. Si votre coffre-fort lui-même est compromis, il faut tout réinitialiser : changer le mot de passe maître, régénérer les mots de passe des comptes les plus sensibles (banque, messagerie principale, comptes professionnels), révoquer les accès. C'est pénible, mais c'est faisable en une soirée avec un bon gestionnaire, précisément parce qu'il génère les remplacements à votre place.
Les passkeys : faut-il déjà y passer ?
Grosse question, et je vais être franc : oui, quand on vous propose un passkey, acceptez. Mais ne jetez pas votre gestionnaire pour autant.
Un passkey remplace le mot de passe par une paire de clés cryptographiques stockée sur votre appareil, déverrouillée par votre empreinte ou votre visage. Vous n'avez plus rien à retenir. C'est plus simple et plus résistant au phishing, parce qu'il n'y a plus de mot de passe à deviner.
La limite, c'est la couverture. Beaucoup de services n'en proposent pas encore, et la synchronisation entre appareils de marques différentes n'est pas toujours fluide. Donc en 2026, la réalité est hybride : mots de passe là où il en faut encore, passkeys partout où c'est proposé, le tout orchestré par votre gestionnaire qui gère les deux. C'est d'ailleurs l'argument qui a fini de me convaincre de garder un coffre-fort dédié plutôt que de tout laisser au navigateur.
Les erreurs que je vois le plus souvent
Après avoir accompagné pas mal de monde là-dessus, certains schémas reviennent.
- Croire qu'un mot de passe compliqué mais réutilisé est sûr. Il ne l'est pas.
- Activer la double authentification… uniquement sur les comptes « importants ». L'attaquant, lui, commence souvent par le compte secondaire qui donne accès au principal.
- Changer son mot de passe tous les trois mois, machinalement, en le passant de Hiver2026 à Printemps2026. Cette rotation systématique ne sert à rien si le nouveau est prévisible.
- Garder le trousseau de secours dans la même boîte que le mot de passe maître.
- Ne jamais vérifier ses fuites, par peur de ce qu'on va découvrir.
Sur ce dernier point, je comprends. Mais savoir tôt vaut mieux que subir tard, comme mon amie du dimanche soir l'a appris à ses dépens.
La vérité, c'est que protéger ses mots de passe n'a rien de sorcier. C'est une phrase de passe longue, un gestionnaire qui gère le reste, une double authentification solide, et une vérification de temps en temps. Quatre gestes. Le jour où un service vous proposera un passkey et que vous cliquerez sans réfléchir dessus, vous saurez que le pli est pris.
