Gestionnaire de mots de passe et passkeys : voici comment sécuriser vos connexions
Chaque compte a besoin de son propre mot de passe long. Si vous utilisez le même mot de passe à plusieurs endroits, ils sont tous accessibles dès qu'il fuite une fois. Personne ne retient quatre-vingts mots de passe différents. Un gestionnaire de mots de passe le fait pour vous. Partout où c'est possible, remplacez le mot de passe par une passkey, que les faux sites ne peuvent pas détourner.
Ce que fait un gestionnaire de mots de passe
- Il crée pour chaque service un mot de passe long et aléatoire : au moins 15 caractères, ou une phrase secrète de cinq ou six mots aléatoires.
- Il conserve tout de façon chiffrée dans un coffre-fort.
- Il saisit le mot de passe sur le bon site, et uniquement là.
- Il signale souvent les mots de passe en double ou ayant fuité, et peut aussi conserver les codes de vérification en deux étapes et les passkeys.
Vous n'avez plus qu'un seul élément à retenir : le mot de passe principal du coffre-fort.
Types
| Type | Avantage | À noter |
|---|---|---|
| Intégré à votre navigateur ou votre téléphone | Déjà présent et facile | Souvent pas de mot de passe principal distinct : quiconque accède à votre ordinateur accède à vos mots de passe. Moins adapté pour plusieurs systèmes et pour le partage. |
| Application séparée avec synchronisation via le fournisseur | Fonctionne sur tous vos appareils, avec des coffres partagés pour une équipe | Vous faites confiance au fournisseur ; votre mot de passe principal doit être solide |
| Fichier de coffre local sur votre propre ordinateur | Tout entre vos mains | Vous devez vous occuper vous-même de la sauvegarde et de la synchronisation ; le partage est plus compliqué |
Des exemples connus sont Bitwarden, 1Password, KeePassXC et Proton Pass, en plus des gestionnaires intégrés aux navigateurs et aux téléphones. Ceci n'est pas une recommandation. Lors du choix, vérifiez : fonctionne-t-il sur tous vos appareils, pouvez-vous partager des coffres et en retirer quelqu'un, pouvez-vous sécuriser le coffre avec une vérification en deux étapes, existe-t-il un accès d'urgence, et pouvez-vous exporter vos données si vous souhaitez changer de solution ?
Le mot de passe principal
- Faites-en une phrase secrète de cinq ou six mots aléatoires, choisis par le générateur et non par vous-même. Une parole de chanson ou un proverbe se devine trop facilement.
- Ne l'utilisez nulle part ailleurs et ne le saisissez que dans l'application ou l'extension du gestionnaire lui-même.
- Activez la vérification en deux étapes sur le coffre. Ce n'est pas une raison pour choisir un mot de passe principal plus court : si le fournisseur est piraté, votre mot de passe principal est la seule protection de votre coffre dérobé.
- L'oublier est souvent définitif, car le fournisseur ne peut pas le récupérer. Notez-le sur papier, sans préciser à quoi il correspond, et conservez-le chez vous dans un endroit sûr, avec le code de récupération de votre gestionnaire.
- Activez le verrouillage automatique après quelques minutes d'inactivité.
rn et m. Voir Reconnaître le phishing : comment lire un lien et un expéditeur.Partage en équipe et accès d'urgence
- Donnez de préférence à chacun son propre compte. Si vous devez tout de même partager une connexion, utilisez alors un coffre partagé par sujet et ne donnez accès qu'à ceux qui en ont besoin. Ne partagez jamais par e-mail, chat ou tableur.
- Si quelqu'un quitte l'équipe, retirez le du coffre et modifiez les mots de passe qu'il pouvait voir.
- Organisez un accès d'urgence pour le cas où vous seriez indisponible : de nombreux gestionnaires permettent à une personne de confiance d'y accéder après un délai d'attente. Ou conservez les informations de récupération dans une enveloppe scellée confiée à une seconde personne.
Passkeys et clés de sécurité
Une passkey remplace le mot de passe. Il s'agit d'une paire de clés : la partie secrète reste sur votre appareil ou dans votre gestionnaire de mots de passe, le site ne conserve que la partie publique. Vous déverrouillez la passkey avec votre empreinte digitale, votre visage ou un code PIN ; cela se passe sur votre propre appareil.
- Ne fonctionne pas sur un faux site. Une passkey est liée au domaine réel, ce que votre navigateur vérifie. Sur un site similaire, il n'y a pas de passkey, donc rien à saisir ou à approuver par erreur.
- Rien à pirater. Si le site fuite, l'attaquant n'obtient que des clés publiques.
- Une clé de sécurité est un petit appareil pour le port usb ou à approcher de votre téléphone, contenant des passkeys qui ne peuvent pas en être extraites. Enregistrez toujours au moins deux clés et conservez la clé de secours à un autre endroit.
- Si votre passkey se trouve dans un gestionnaire de mots de passe ou dans le compte de votre téléphone, elle vous suit sur vos autres appareils. Protégez alors ce compte avec un soin supplémentaire.
- Votre mot de passe continue souvent de fonctionner aussi. Gardez le donc long et unique.
Chez WebOké
| Service | Que pouvez-vous faire ? |
|---|---|
| Nextcloud | La connexion avec une passkey ou une clé de sécurité est possible, sous Connexion sans mot de passe. Votre mot de passe et vos autres méthodes continuent de fonctionner. Pour les applications, créez un mot de passe d'application ; conservez le également dans votre gestionnaire. Voir Configurer une application d'authentification et conserver les codes de secours. |
| Mon WebOké | Pas de passkeys. Après votre mot de passe, Mon WebOké demande toujours un code de connexion par e-mail (Le code de connexion par e-mail), ou un code provenant d'une application d'authentification. Il n'y a pas de codes de récupération : si vous perdez l'application, contactez-nous. |
| DirectAdmin | Authentification en deux étapes avec une application d'authentification et des codes de secours, voir Configurer l'authentification en deux étapes. |
| Boîtes aux lettres | Un logiciel de messagerie se connecte avec le mot de passe. Donnez à chaque boîte aux lettres son propre mot de passe long issu de votre gestionnaire. |
Pour en savoir plus sur les mots de passe solides, consultez Mots de passe sécurisés et que faire en cas de mot de passe ayant fuité, et chez le NCSC dans Hoe kies ik een wachtwoordmanager? et Hoe kies je een MFA methode?