Les gestionnaires de mots de passe : principe, choix, migration

Retenir vingt mots de passe longs, uniques et aléatoires est impossible pour un cerveau humain. Faut-il pour autant revenir au même mot de passe partout ? Non : c'est exactement le problème que résolvent les gestionnaires de mots de passe. Cette leçon vous explique comment ils fonctionnent, comment choisir et comment migrer sans stress.

Dans la leçon précédente, vous avez choisi une phrase de passe que vous allez retenir par cœur. Elle va servir de « clé du coffre » : une seule chose à mémoriser, pour des dizaines de comptes sécurisés.

Le principe : un coffre-fort numérique

Un gestionnaire de mots de passe est un logiciel qui stocke vos identifiants dans un fichier chiffré, protégé par un mot de passe maître. Vous retenez ce mot de passe maître ; le gestionnaire retient tout le reste. Il peut aussi :

• générer des mots de passe longs et aléatoires, uniques pour chaque compte ;
• remplir automatiquement les formulaires de connexion sur les bons sites ;
• signaler les mots de passe faibles, réutilisés ou apparus dans une fuite connue ;
• synchroniser vos identifiants entre ordinateur et téléphone ;
• conserver d'autres informations sensibles : notes sécurisées, codes de secours, numéros de cartes.

Analogie : au lieu de porter vingt clés différentes sur un trousseau que l'on peut perdre ou copier, vous gardez un seul coffre dont vous seul connaissez la combinaison, et qui contient tout le reste.

Le chiffrement et la notion de « zéro connaissance »

Dans un bon gestionnaire, vos données sont chiffrées sur votre appareil avant d'être stockées ou synchronisées. Le fournisseur du service ne voit que des données illisibles, et ne connaît pas votre mot de passe maître. On parle d'architecture « à connaissance nulle » (zero knowledge). Conséquence importante : si vous perdez votre mot de passe maître, personne ne peut le récupérer à votre place. Prévoyez donc une méthode de secours (voir plus bas).

Est-ce vraiment sûr de tout mettre au même endroit ?

C'est la question la plus courante, et elle est légitime. Mettre tous ses œufs dans le même panier semble risqué. Comparons les deux situations :

Il est plus raisonnable de défendre très bien un point (le coffre, protégé par une longue phrase de passe et une double authentification) que de défendre mal vingt points. Les organismes de référence, dont l'ANSSI, recommandent d'ailleurs l'usage d'un gestionnaire de mots de passe.

Un avantage souvent sous-estimé : le remplissage automatique vérifie le nom du site. Si vous êtes sur une fausse page qui imite votre banque, le gestionnaire ne proposera pas vos identifiants, car l'adresse ne correspond pas. C'est un détecteur de phishing involontaire.

Comment choisir son gestionnaire

Il existe plusieurs solutions : intégrées à un navigateur ou à un système, applications dédiées, installées en local ou synchronisées dans le nuage. Sans recommander de marque, voici les critères pour évaluer :

• Chiffrement et conception : chiffrement côté appareil, architecture documentée, mots de passe stockés sous forme chiffrée uniquement ;
• Transparence : audits de sécurité indépendants publiés, code ouvert (ce n'est pas obligatoire, mais c'est un plus) ;
• Double authentification pour accéder au coffre ;
• Disponibilité sur tous vos appareils (ordinateur, téléphone, navigateur) ;
• Options de secours : kit de récupération, partage d'urgence avec un proche de confiance ;
• Partage sécurisé pour la famille si nécessaire ;
• Pérennité et réputation du fournisseur, politique de confidentialité claire ;
• Simplicité d'usage : un outil trop compliqué sera abandonné.

Le meilleur gestionnaire est celui que vous utiliserez réellement, tous les jours, sur tous vos appareils. Un gestionnaire intégré à un navigateur ou à un système d'exploitation, protégé par une authentification forte, vaut mieux que pas de gestionnaire du tout, même si des solutions dédiées offrent souvent plus de fonctionnalités.

Migrer pas à pas

Passer à un gestionnaire ne se fait pas en une soirée, et ce n'est pas nécessaire. Procédez par étapes :

1. Choisissez et installez le gestionnaire sur votre ordinateur et votre téléphone, depuis les sources officielles.
2. Créez le mot de passe maître : votre phrase de passe de cinq mots aléatoires. Entraînez-vous à la saisir.
3. Activez la double authentification du coffre et conservez le kit de récupération (voir plus bas).
4. Importez les mots de passe enregistrés dans votre navigateur si le gestionnaire le propose, puis supprimez-les du navigateur une fois l'import vérifié.
5. Traitez en priorité les comptes sensibles : messagerie, banque, impôts, santé. Pour chacun, connectez-vous, utilisez la fonction de changement de mot de passe et laissez le gestionnaire en générer un nouveau, long et unique.
6. Avancez au fil de l'eau : chaque fois que vous vous connectez à un compte, mettez-le à jour. En quelques semaines, l'essentiel est fait.
7. Utilisez le rapport de santé du gestionnaire pour repérer les doublons et mots de passe faibles restants.

La récupération : ne pas se verrouiller dehors

Parce que le fournisseur ne peut pas retrouver votre mot de passe maître, il faut anticiper l'oubli ou la perte d'un appareil :

• conservez le kit de récupération proposé par le gestionnaire (une clé ou un code de secours) imprimé, dans un endroit physique sûr, comme un coffre ou un dossier de documents importants ;
• ne le stockez pas dans un fichier sur le même ordinateur, ni dans votre messagerie ;
• si votre famille doit pouvoir accéder à vos comptes en cas de problème grave, regardez les options de transmission d'urgence ;
• testez la récupération une fois, à froid, pour être sûr de savoir faire.

Et le remplissage automatique du navigateur ?

Les navigateurs proposent d'enregistrer vos mots de passe. C'est un début acceptable, nettement meilleur que le mot de passe unique. Pour qu'il soit sûr, il faut qu'il soit protégé : un code ou une authentification de votre session, un verrouillage de l'ordinateur, une synchronisation protégée par un compte lui-même sécurisé. Si vous partagez votre ordinateur ou voulez plus de contrôle, préférez un gestionnaire dédié.

À vous de jouer

Planifiez votre migration sur une semaine. Pour chaque jour, écrivez une tâche de 15 minutes maximum.

Un bon mot de passe ne suffit pourtant pas : s'il est volé, il suffit à un attaquant. La leçon suivante ajoute une seconde barrière, la double authentification.