Mots de passe et accès de A à Z
C'est le sujet le moins spectaculaire de la sécurité, et celui qui protège le plus. La très grande majorité des intrusions dans une petite structure ne passe par aucune prouesse technique : quelqu'un s'est connecté avec un mot de passe qui traînait ailleurs.
Avant d'appliquer ce mémo
Les manipulations décrites ici peuvent entraîner une perte de données ou l'indisponibilité d'un service. Avant d'en appliquer une seule : faites une sauvegarde complète et vérifiez qu'elle se restaure, travaillez d'abord sur un environnement sans enjeu, et n'exécutez aucune commande dont vous ne comprenez pas l'effet.
Ce mémo est un contenu pédagogique de portée générale. Il ne tient pas compte de votre situation, n'a pas valeur de conseil professionnel, et son application relève de votre seule responsabilité. Avertissement et limites d'usage
1. Pourquoi c'est encore le sujet numéro un Le moins impressionnant, et le plus rentable
Quand on parle de sécurité, l'imagination va vers l'attaque sophistiquée, la faille inconnue, le code d'exploitation. La réalité d'une petite structure est beaucoup plus banale : dans l'immense majorité des cas, personne n'a rien cassé. Quelqu'un s'est connecté normalement, avec un identifiant valide qu'il avait obtenu ailleurs.
Ce que ça coûte de traiter
Une à deux heures, une fois. Puis quelques secondes par jour, moins que ce que coûtait la méthode d'avant.
Ce que ça coûte en euros
Zéro. Tous les outils décrits ici existent en version gratuite parfaitement suffisante, et la section 5 dit lesquels.
Ce que ça évite
La messagerie détournée, le site défiguré, les virements frauduleux, et la journée entière passée à reprendre le contrôle de dix comptes.
2. Comment un mot de passe se casse vraiment Quatre chemins, et un seul est technique
| Le chemin | Comment ça marche | Fréquence | Ce qui protège |
|---|---|---|---|
| La réutilisation | Un site sans rapport se fait voler sa base. Votre adresse et votre mot de passe sont essayés partout ailleurs, automatiquement. | De très loin la première | Un mot de passe différent par service. Rien d'autre. |
| L'hameçonnage | Un message imite un service que vous utilisez et vous invite à vous connecter sur une copie du vrai site. | Très élevée | La double authentification, section 7, et la vigilance de la section 10. |
| La devinette ciblée | Prénom des enfants, année de naissance, nom de l'entreprise, le tout combiné automatiquement. | Moyenne | Un mot de passe qui ne vient pas de votre vie. |
| La force brute | On essaie mécaniquement, à très grande vitesse, sur une base volée. | Faible en pratique | La longueur, section 3. |
! Ce que cette table dit, et qui change la priorité
Les deux premières lignes n'ont rien à voir avec la solidité du mot de passe. Un mot de passe de trente caractères réutilisé sur dix sites tombe avec le premier d'entre eux. Un mot de passe parfait saisi sur une fausse page de connexion est aussitôt entre de mauvaises mains.
Autrement dit : la question « mon mot de passe est-il assez compliqué ? » est la moins importante des trois. Les deux vraies questions sont « est-il unique ? » et « qu'est-ce qui protège mon compte si on l'obtient quand même ? ».
Ete2026! puis Automne2026! ; on ne change un mot de passe que lorsqu'on a une raison de croire qu'il est exposé. Et les caractères spéciaux imposés produisent surtout des mots de passe que leur propriétaire ne retient pas, donc qu'il note sur un papier ou réutilise.3. Ce qui fait un bon mot de passe La longueur bat la complexité, et de loin
Chaque caractère ajouté multiplie le nombre d'essais nécessaires. C'est pour cela que la longueur pèse infiniment plus que le fait d'avoir glissé un point d'exclamation quelque part. Une phrase de quatre ou cinq mots sans rapport entre eux est à la fois beaucoup plus solide et beaucoup plus facile à retenir qu'un charabia de huit signes.
Ce qu'on croyait devoir faire
Tr0ub4d0ur&3
Huit à dix signes, majuscules, chiffres et symboles imposés. Difficile à retenir, pénible à taper sur un téléphone, et objectivement moins résistant que la colonne d'à côté.
Ce qui protège vraiment
girafe-tabouret-mangue-orage
Quatre mots choisis au hasard, séparés par des tirets. Vingt-huit signes, mémorisable en trente secondes parce que le cerveau fabrique une image, et hors de portée d'une attaque par force brute.
Les trois règles, et il n'y en a que trois
- Unique pour chaque service. C'est la règle numéro un, avant toutes les autres.
- Long : quinze signes au minimum, davantage pour ce qui compte vraiment.
- Sans rapport avec vous : ni prénoms, ni dates, ni nom de l'entreprise, ni du chien.
Vous remarquerez que la règle numéro un est impossible à tenir de tête au-delà de cinq ou six comptes. C'est exactement le problème que résout la section suivante, et c'est pourquoi elle vient juste après.
4. Le gestionnaire de mots de passe Ce que c'est, et la peur qu'il faut regarder en face
Un gestionnaire est un coffre chiffré qui retient vos mots de passe à votre place. Vous n'en retenez plus qu'un seul, celui du coffre. Il remplit les formulaires, génère des mots de passe uniques, et se synchronise entre votre ordinateur et votre téléphone.
1 Ce qu'il règle, en une fois
- L'unicité : chaque service a son mot de passe, vous n'en retenez aucun.
- La longueur : trente signes aléatoires ne vous coûtent rien puisque vous ne les tapez pas.
- L'hameçonnage, en grande partie : le gestionnaire ne propose pas de remplir un formulaire sur une adresse qu'il ne reconnaît pas. Cette hésitation est un signal d'alarme précieux.
- Le partage propre d'un accès, section 11.
- L'inventaire : vous découvrez enfin combien de comptes vous aviez, et lesquels dorment.
2 « Mettre tous ses œufs dans le même panier »
C'est l'objection légitime, et elle mérite une vraie réponse plutôt qu'un haussement d'épaules.
Oui, c'est un point unique. Mais comparez ce que vous avez aujourd'hui : le même mot de passe sur quarante sites, c'est déjà un point unique, sauf qu'il est répliqué chez quarante prestataires dont vous ignorez tout de la sécurité. Le coffre, lui, est chiffré sur votre appareil avant d'être stocké : même le fournisseur ne peut pas le lire.
Le panier existe. Il est simplement beaucoup plus solide que les quarante d'avant.
5. Lequel choisir Et pourquoi la version gratuite suffit
| Famille | Comment ça marche | Coût | Pour qui |
|---|---|---|---|
| Gestionnaire libre synchronisé | Coffre chiffré chez vous, copie chiffrée dans le cloud du fournisseur pour la synchronisation. | Gratuit Offres familiales et professionnelles payantes | La recommandation par défaut Indépendants, TPE, particuliers. |
| Gestionnaire libre en fichier local | Un fichier chiffré que vous rangez où vous voulez, et que vous synchronisez vous-même. | Gratuit | Ceux qui ne veulent rien confier à personne et acceptent de gérer la synchronisation. |
| Gestionnaire du navigateur | Intégré, activé en un clic. | Gratuit | Mieux que rien, nettement. Limité au navigateur, partage difficile, dépend d'un compte que vous ne maîtrisez pas toujours. |
| Gestionnaire commercial | Service hébergé, interface soignée, support. | Quelques euros par mois | Structures qui veulent un support joignable et une administration centralisée. |
Les quatre critères qui comptent
- Le chiffrement se fait sur votre appareil, avant tout envoi. C'est ce qui garantit que le fournisseur ne peut pas lire votre coffre.
- Le code est ouvert et audité : n'importe qui peut vérifier, ce qui vaut mieux qu'une promesse commerciale.
- L'export est possible, dans un format lisible. C'est votre porte de sortie, et elle doit exister avant d'entrer.
- Il existe sur tous vos appareils, sinon vous ne l'utiliserez pas.
La version à zéro euro, qui suffit vraiment
Pour un indépendant ou une TPE, l'offre gratuite d'un gestionnaire libre couvre tout ce dont vous avez besoin : nombre de mots de passe illimité, synchronisation, applications mobiles, générateur.
Ce que les offres payantes ajoutent : le partage avancé entre plusieurs personnes, la surveillance des fuites, le stockage de fichiers, et un support. Utile à partir de trois ou quatre personnes, superflu avant.
N'attendez pas de pouvoir payer pour commencer. Un coffre gratuit rempli aujourd'hui vaut infiniment mieux qu'un abonnement prévu pour l'an prochain.
6. Le mot de passe maître Le seul que vous retiendrez, et le plan si vous l'oubliez
1 Comment le choisir
- Une phrase de passe de quatre ou cinq mots tirés au hasard, comme en section 3.
- Jamais employée ailleurs, sur aucun autre service.
- Tapée à la main plusieurs fois le premier jour : la mémoire des doigts s'installe en une dizaine de répétitions.
- Écrite une fois sur papier, et rangée dans un endroit fermé et distinct de l'ordinateur, le temps de la mémoriser. Ce n'est pas une faute, c'est une précaution transitoire.
! Le piège qui enferme dehors
Dans un gestionnaire correctement conçu, personne ne peut réinitialiser votre mot de passe maître, pas même le fournisseur. C'est précisément ce qui fait sa sécurité, et c'est aussi ce qui rend l'oubli définitif.
Perdre ce mot de passe, c'est perdre l'accès à tous les autres d'un coup. C'est le seul vrai risque de la méthode, et il se traite entièrement à l'avance.
Les trois filets, à poser le premier jour
- Le code ou la clé de récupération fournie à la création : imprimée, rangée ailleurs que dans l'ordinateur.
- Un export chiffré du coffre, refait deux fois par an, conservé avec vos sauvegardes.
- Un contact de confiance ou une enveloppe scellée chez un proche, si l'activité en dépend. Cela vaut aussi pour ce qui se passerait en cas d'accident : c'est désagréable à envisager, et c'est exactement pour cela qu'on le fait à froid.
7. La double authentification Quatre formes, de la plus faible à la plus solide
La double authentification ajoute une deuxième preuve au moment de la connexion. Son intérêt est simple à formuler : même si votre mot de passe est volé, il ne suffit plus. C'est la seule protection qui reste debout quand tout le reste a échoué.
| Forme | Comment ça marche | Solidité | Quand l'utiliser |
|---|---|---|---|
| Code par SMS | Un code à six chiffres envoyé sur votre téléphone. | Faible | Quand il n'y a rien d'autre. Vulnérable au détournement de ligne, mais infiniment mieux que rien. |
| Application d'authentification | Un code qui change toutes les trente secondes, calculé hors ligne sur votre téléphone. | Bonne | Le bon choix par défaut Gratuit, fonctionne partout, y compris sans réseau. |
| Clé physique | Un petit objet à brancher ou à approcher, qui vérifie l'adresse du site avant de répondre. | Très forte | Comptes critiques : messagerie principale, banque, bureau d'enregistrement du domaine. |
| Clé d'accès sans mot de passe | Votre appareil prouve votre identité par empreinte ou visage, sans qu'aucun mot de passe circule. | Très forte | Partout où c'est proposé. C'est la direction que prend le secteur. |
1 Les cinq comptes à protéger en priorité
- La messagerie principale. Elle commande la réinitialisation de tous les autres : si elle tombe, tout tombe.
- Le gestionnaire de mots de passe.
- Le bureau d'enregistrement du nom de domaine, souvent oublié et pourtant central.
- La banque et les outils de paiement.
- L'administration du site et l'hébergement.
Ces cinq-là prennent un quart d'heure au total. Faites-les avant de vous occuper des trente autres.
8. Les codes de secours Ce qu'on ignore le jour où on active, et qu'on regrette après
! La situation, telle qu'elle arrive
Vous activez la double authentification, tout fonctionne, vous passez à autre chose. Six mois plus tard, votre téléphone tombe dans l'eau. Vous en achetez un neuf, et vous découvrez que l'application d'authentification ne s'est pas transférée : les codes vivaient dans l'ancien appareil.
Vous connaissez vos mots de passe, ils sont justes, et vous ne pouvez plus entrer nulle part. Le rattrapage passe par un service client, avec des justificatifs, et il prend des jours.
Les trois gestes, à faire au moment de l'activation
- Télécharger les codes de secours proposés à l'activation. Chaque service en donne une liste, utilisable une fois chacun.
- Les imprimer et les ranger physiquement, ou les mettre dans le gestionnaire, à condition que le gestionnaire lui-même ait un autre moyen de secours.
- Enregistrer un second facteur quand c'est possible : un deuxième téléphone, une seconde clé physique. C'est ce qui évite d'avoir jamais besoin des codes.
Le cas du changement de téléphone
Avant de rendre ou d'effacer l'ancien appareil, transférez les comptes d'authentification. La plupart des applications proposent un export ou une sauvegarde chiffrée ; certaines demandent de désactiver puis réactiver la double authentification service par service.
C'est une demi-heure ennuyeuse, et c'est infiniment moins pénible que la reconstruction après coup.
9. Savoir si vos identifiants circulent Vérifier, puis réagir dans l'ordre
Les fuites de bases de données sont banales et concernent tout le monde. Ce n'est ni honteux ni évitable de votre côté : c'est le prestataire qui s'est fait voler, pas vous. Ce qui compte est de le savoir, et de réagir sur les bons comptes.
1 Comment vérifier, gratuitement
- Les services publics de recherche de fuites, qui recensent les bases dérobées et vous disent dans lesquelles votre adresse apparaît.
- Le contrôle intégré au gestionnaire, qui compare vos entrées aux fuites connues et signale les mots de passe compromis, réutilisés ou trop faibles.
- L'alerte de votre navigateur, qui prévient à la connexion si l'identifiant saisi figure dans une fuite.
Ces trois moyens sont gratuits et se cumulent. Le deuxième est le plus utile, parce qu'il vous dit aussi où le même mot de passe a été réutilisé.
2 Réagir, dans cet ordre
- Changer le mot de passe du service concerné.
- Changer celui de tous les services où le même était utilisé. C'est l'étape qui compte vraiment, et celle qu'on saute.
- Activer la double authentification sur ces comptes.
- Vérifier les sessions actives et déconnecter tout ce que vous ne reconnaissez pas.
- Sur la messagerie, contrôler les règles de transfert automatique : c'est ce qu'un intrus pose en premier pour continuer à lire votre courrier après le changement.
10. L'hameçonnage Pourquoi les gens attentifs se font avoir
On imagine le message frauduleux mal écrit, plein de fautes, facile à repérer. Les campagnes actuelles sont propres, personnalisées, et arrivent au moment où le message est plausible : une facture quand vous en attendez une, une alerte de livraison quand vous avez commandé. Se faire piéger n'a rien à voir avec l'intelligence, tout avec le contexte.
1 Les cinq signaux
- L'urgence. « Votre compte sera suspendu sous 24 h. » L'urgence sert à empêcher la vérification, c'est sa seule fonction.
- Un lien qui ne va pas où il dit. Survolez avant de cliquer et lisez l'adresse réelle, en particulier ce qui précède le premier
/. - Une demande d'identifiants depuis un message. Aucun service sérieux ne procède ainsi.
- Un changement de coordonnées bancaires annoncé par courriel, y compris d'un fournisseur connu. Celui-là coûte très cher aux petites entreprises.
- Une pièce jointe inattendue, même d'un expéditeur familier dont la messagerie peut être compromise.
Un signal qui n'en est plus un : le cadenas dans la barre d'adresse. Un certificat SSL est gratuit et automatique, y compris pour les sites frauduleux. Il prouve que la connexion est chiffrée, pas que le site est celui qu'il prétend être.
2 Le réflexe qui remplace tous les autres
Ne jamais se connecter depuis un lien reçu. Ouvrez un onglet, tapez l'adresse du service que vous connaissez, et regardez si l'alerte existe vraiment dans votre compte.
Ce seul réflexe neutralise la quasi-totalité des campagnes, sans rien avoir à identifier ni à juger. Il fonctionne même quand le message est parfaitement imité, parce qu'il ne demande pas de savoir si le message est faux.
Pour un virement ou un changement de coordonnées bancaires, ajoutez un appel téléphonique à un numéro que vous connaissez déjà, jamais à celui indiqué dans le message.
11. Partager un accès proprement Avec un associé, un salarié, un prestataire
1 La règle avant toutes les autres : un compte par personne
Partager un identifiant commun paraît simple et coûte cher. On ne sait plus qui a fait quoi, on ne peut retirer l'accès à une personne sans le changer pour tout le monde, et le départ d'un salarié ou la fin d'une mission laisse une porte ouverte que personne ne pense à fermer.
La plupart des outils, y compris les CMS et les hébergements, permettent de créer plusieurs comptes avec des droits différents. C'est gratuit et cela prend deux minutes par personne.
Quand il faut quand même partager un secret
- Par le gestionnaire, qui prévoit le partage : la personne reçoit l'accès, pas la valeur, et vous le retirez d'un clic.
- Par un service de message éphémère à lecture unique, si vous n'avez rien d'autre.
- Jamais par courriel, message instantané ou document partagé : ces canaux gardent une trace qui vous survivra.
- Et demandez le changement à la première connexion.
Le ménage de fin de mission
À chaque départ, à chaque fin de contrat, une liste à dérouler : comptes désactivés plutôt que supprimés le premier mois, accès au dépôt de code retirés, clés de connexion au serveur révoquées, accès aux services tiers repris.
Et une revue générale une fois par an : ouvrez la liste des comptes de chaque outil et demandez-vous, ligne par ligne, si cette personne doit encore y avoir accès. C'est une demi-heure, et on y trouve toujours quelque chose.
12. Le plan d'une heure, à zéro euro Ce qu'on met en place aujourd'hui
10 min : Installer un gestionnaire et créer le coffre
Un gestionnaire libre en version gratuite, sur l'ordinateur et sur le téléphone. Phrase de passe de quatre mots, tapée dix fois. Codes de récupération imprimés et rangés.
15 min : Sécuriser les cinq comptes critiques
Messagerie, gestionnaire, nom de domaine, banque, hébergement. Nouveau mot de passe généré, double authentification par application, codes de secours conservés.
10 min : Vérifier les fuites
Passer votre adresse dans un service de recherche de fuites, et lancer le contrôle intégré du gestionnaire. Traiter d'abord ce qui est signalé comme compromis.
15 min : Faire le ménage
Vérifier les règles de transfert de la messagerie, les sessions actives, et la liste des personnes ayant accès à vos outils. Retirer ce qui n'a plus lieu d'être.
10 min : Le reste, au fil de l'eau
Ne reprenez pas les quarante comptes restants aujourd'hui. Laissez le gestionnaire proposer un nouveau mot de passe à chaque connexion : en trois semaines, le travail se fait tout seul et sans effort.
Les six règles qui résument ce mémo
- Unique avant tout : un mot de passe réutilisé tombe avec le site le plus faible.
- La longueur bat la complexité. Quatre mots au hasard valent mieux qu'un charabia de huit signes.
- Le gestionnaire n'est pas un luxe, c'est ce qui rend la règle numéro un tenable.
- Double authentification sur les cinq comptes critiques, et codes de secours rangés le jour même.
- On ne se connecte jamais depuis un lien reçu.
- Un compte par personne, et une revue des accès une fois par an.
Mémo publié par NET&PRO à titre pédagogique. Information générale, sans garantie d'exactitude, d'exhaustivité ni d'actualité, et sans valeur de conseil personnalisé. Avertissement et limites d'usage
Dans le glossaire
Les mots croisés au fil de ce mémo, définis en une phrase. Ils sont soulignés dans le texte : un clic y mène directement.
Mémos liés
La Cybersécurité de A à Z
De Zero Trust à l'IA offensive : menaces 2026, fondamentaux, attaques modernes, cas Mythos, IA défensive et offensive, outils.
Lire le mémoLes sauvegardes de A à Z
Quoi sauvegarder, où, à quelle fréquence, comment automatiser et chiffrer, et le seul contrôle qui prouve que ça marche : restaurer pour de vrai.
Lire le mémoProtéger sa connexion sans abonnement
Ce qu’un VPN chiffre vraiment, le prix des services sérieux au 1er octobre 2026, et un montage Headscale à zéro euro de logiciel pour qui a déjà un serveur.
Lire le mémoLe faire vous-même
C'est le chantier de sécurité le moins cher et le plus rentable : il ne demande aucun achat et règle la majorité des incidents réels.
- Le temps réel : une demi-journée pour installer un gestionnaire de mots de passe et reprendre les comptes critiques.
- Les outils gratuits : un gestionnaire libre, et la double authentification, qui est gratuite partout où elle existe.
- Le piège : oublier les comptes partagés et ceux des anciens prestataires. C'est par là que passent la plupart des intrusions, bien avant le mot de passe deviné.
Si vous préférez me le confier
Sur ce sujet, voici ce que je fais pour mes clients. Les formules disent ce qui est compris, ce qui ne l'est pas, et ce que ça coûte au bout de trois ans.