Le vrai danger n’est pas que votre mot de passe soit trop court. C’est que le même mot de passe serve pour votre courriel, votre compte Amazon, le site de la pharmacie et un forum de jardinage inscrit en 2014.

Le jour où l’un de ces sites se fait pirater — et il y en a qui se font pirater chaque semaine — les voleurs obtiennent une liste d’adresses courriel avec les mots de passe associés. Ils essaient ensuite cette liste, automatiquement, sur des centaines d’autres services. Votre mot de passe de forum de jardinage vient d’ouvrir votre boîte de courriel. C’est comme ça que la majorité des comptes se font voler, pas par quelqu’un qui devine « Fido2019 » en le tapant à la main.

Un gestionnaire de mots de passe règle ce problème en entier, et il ne demande qu’une chose en échange : retenir un seul mot de passe, une fois pour toutes.

Ce que c’est, en une phrase

C’est un coffre-fort chiffré qui garde tous vos identifiants, et qui les remplit à votre place quand vous arrivez sur un site.

Vous ouvrez le coffre avec un mot de passe maître. À partir de là, l’application connaît chacun de vos comptes et tape le bon mot de passe sur le bon site, sans que vous ayez à vous en souvenir. Les mots de passe qu’elle enregistre ne ressemblent plus à des mots : ce sont des suites du genre x7Kq!m2Pv8dLnA que personne, vous inclus, ne pourrait retenir. C’est exactement le but.

Pourquoi le problème n’est pas celui qu’on croit

On répète depuis vingt ans qu’il faut des mots de passe « compliqués », avec une majuscule, un chiffre et un caractère spécial. Résultat : tout le monde a inventé une petite recette personnelle, du genre Montreal2024!, et l’utilise partout avec des variantes.

Ces recettes sont bien connues des outils qui cassent les mots de passe. Remplacer le a par un @ ne ralentit personne.

Mais surtout, la longueur et la complexité ne protègent de rien quand le site lui-même se fait voler sa base de données. Dans ce cas, le mot de passe part tel quel, aussi tordu soit-il. La seule protection réelle, c’est qu’il ne serve nulle part ailleurs. Et pour avoir un mot de passe différent partout, il faut renoncer à les retenir.

Comment ça fonctionne, sans jargon

Le coffre est un fichier chiffré. Sans le mot de passe maître, son contenu est illisible, même pour l’entreprise qui vend le logiciel : la clé de déchiffrement se fabrique sur votre appareil, à partir de votre mot de passe maître, et ne quitte jamais l’appareil.

C’est ce qu’on appelle un système « à connaissance nulle ». Concrètement, ça veut dire que si l’entreprise se fait pirater, les voleurs récupèrent des blocs de données brouillées, pas vos comptes.

Le coffre se synchronise ensuite entre vos appareils : ordinateur, téléphone, tablette. Vous enregistrez un nouveau mot de passe sur l’ordinateur, il est disponible sur le téléphone une minute plus tard.

Celui du navigateur, ou une application dédiée ?

Chrome, Safari, Firefox et Edge proposent tous d’enregistrer les mots de passe. Apple a son application Mots de passe, Google la sienne. Ces outils sont gratuits, déjà installés, et beaucoup mieux qu’il y a quelques années.

Le gestionnaire du navigateur est un bon choix si vous vivez dans un seul écosystème — tout en Apple, ou tout en Chrome — et que vous voulez quelque chose qui fonctionne sans rien installer. C’est infiniment mieux qu’un carnet de mots de passe réutilisés.

Une application dédiée vaut la peine si vous mélangez les appareils (un iPhone et un PC Windows, par exemple), si vous voulez partager certains mots de passe avec votre conjoint, ou si vous devez y ranger autre chose que des sites Web : un numéro d’assurance sociale, le code du coffre-fort, la réponse aux fameuses questions secrètes.

Il n’y a pas de mauvaise réponse ici. Le pire choix reste de n’en utiliser aucun. Si vous hésitez, commencez par celui du navigateur : vous pourrez exporter vers autre chose plus tard, tous les gestionnaires sérieux offrent l’importation.

Le mot de passe maître : le seul que vous devez retenir

C’est la pièce centrale, alors il mérite deux minutes de réflexion.

Un bon mot de passe maître est long avant d’être compliqué. Une phrase de quatre ou cinq mots sans rapport entre eux, comme cuillère-tracteur-brume-quarante, est à la fois plus solide et infiniment plus facile à retenir que Xk9$2q. La longueur est ce qui compte.

Trois règles :

Il ne doit servir à rien d’autre. Jamais.
Il ne doit contenir ni votre date de naissance, ni le nom d’un enfant, ni celui du chien.
Vous devez pouvoir le taper de mémoire, tous les jours, sans hésiter.

Écrivez-le une fois sur papier pendant les premières semaines, le temps que vos doigts l’apprennent, et rangez ce papier ailleurs qu’à côté de l’ordinateur. Un mot de passe maître noté dans un tiroir de chambre à coucher est un risque bien plus faible que le même mot de passe réutilisé sur quarante sites.

Et si j’oublie le mot de passe maître ?

C’est la question que tout le monde pose, et il faut y répondre franchement : dans la plupart des cas, le coffre est perdu.

Ce n’est pas un défaut, c’est la conséquence directe du chiffrement. Si l’entreprise pouvait vous redonner accès, elle pourrait aussi le donner à quelqu’un d’autre. Il n’y a pas de bouton « mot de passe oublié » comme sur un site ordinaire.

Ce qui existe pour amortir le coup :

Une clé ou un code de récupération, généré à l’inscription, à imprimer et à ranger avec vos papiers importants. La plupart des gestionnaires dédiés en fournissent un. Faites-le le jour même, pas « plus tard ».
Un contact d’urgence, chez certains services : une personne de confiance qui peut demander l’accès après un délai d’attente.
La biométrie, empreinte ou visage, qui vous évite de taper le mot de passe maître vingt fois par jour et l’use donc moins vite dans votre mémoire. Attention : ça ne le remplace pas. Après un redémarrage ou un changement d’appareil, l’appareil redemande le vrai mot de passe.

Pour les gestionnaires intégrés à Apple ou à Google, la récupération passe par votre compte Apple ou Google, ce qui déplace la question sans la supprimer : le mot de passe de ce compte devient alors le vrai mot de passe maître.

Commencer sans y passer la soirée

Personne ne devrait migrer deux cents comptes d’un coup. C’est le plan le plus sûr pour abandonner à mi-chemin.

Voici l’approche qui fonctionne :

Installez le gestionnaire et créez le mot de passe maître. Trente minutes, une seule fois.
Laissez-le importer ce qui est déjà enregistré dans votre navigateur. C’est souvent cinquante ou cent comptes récupérés sans effort. Ces mots de passe sont encore les vieux, ce n’est pas grave.
Changez seulement cinq mots de passe cette semaine : le courriel principal d’abord, puis la banque, puis les deux ou trois sites où votre carte de crédit est enregistrée. Ce sont ceux qui comptent.
Laissez le reste venir tout seul. Chaque fois que vous vous connectez quelque part dans les mois qui suivent, le gestionnaire propose de remplacer le vieux mot de passe par un nouveau, généré. Acceptez. En six mois, le ménage est fait sans jamais y avoir consacré une soirée.

Le courriel en premier, toujours. C’est par lui que se réinitialisent tous les autres mots de passe, donc c’est le compte dont la chute entraîne tous les autres.

Ce que ça change au quotidien

Beaucoup de gens s’attendent à ce que ce soit un fardeau de plus. C’est le contraire : après deux semaines, l’ouverture de session devient plus rapide qu’avant, parce qu’il n’y a plus d’hésitation ni de « mot de passe oublié ».

Il y a aussi un bénéfice qu’on n’anticipe pas. Un gestionnaire ne remplit un mot de passe que sur l’adresse exacte à laquelle il est associé. Sur une fausse page qui imite votre banque, il ne proposera rien. Ce silence est un signal d’alarme très fiable, et c’est une protection réelle contre l’hameçonnage, sujet voisin de celui des arnaques de soutien technique.

Les clés d’accès, la suite logique

Vous verrez de plus en plus de sites proposer une « clé d’accès » (passkey) plutôt qu’un mot de passe. Le principe : votre appareil prouve votre identité avec votre empreinte ou votre visage, et il n’y a plus de mot de passe à voler ni à hameçonner.

Les gestionnaires modernes rangent ces clés d’accès à côté des mots de passe classiques. Vous n’avez rien à décider aujourd’hui : le jour où un site vous le proposera, dites oui, et le gestionnaire s’occupera du reste.

Les erreurs à éviter, et par où commencer

Le gestionnaire installé, mais les vieux mots de passe jamais changés. L’outil est en place, les mots de passe réutilisés le sont toujours. Il faut les remplacer, au moins pour les comptes importants.

Le mot de passe maître qui sert aussi ailleurs. Ça annule à peu près tout l’exercice.

Le code de récupération jamais imprimé. Il existe, il est dans les réglages, et il n’a jamais été mis sur papier.

La double authentification oubliée. Un gestionnaire protège vos mots de passe. Il ne remplace pas le deuxième facteur sur les comptes sensibles, qui est une couche différente et complémentaire.

Et pour commencer : choisissez un gestionnaire, créez un mot de passe maître long, importez ce qui existe déjà, imprimez le code de récupération, et changez les cinq mots de passe qui comptent. Le reste peut attendre des mois sans conséquence.

Si vous préférez que quelqu’un fasse la mise en place avec vous et vérifie que le coffre est bien synchronisé sur le téléphone avant de partir, c’est ce que couvre notre service de sécurité et confidentialité. La reprise en main d’un courriel et des comptes en ligne va souvent de pair, et tout se fait très bien à distance.