Choisir et utiliser un gestionnaire de mots de passe

Module 2: Mots de passe et connexion · Temps de lecture : 9 minutes

Objectif pédagogique : Après cette leçon, vous saurez choisir et configurer un gestionnaire de mots de passe, protéger le mot de passe principal et partager des mots de passe en toute sécurité au sein d'une équipe.

Notions clés : gestionnaire de mots de passe, mot de passe principal, coffre-fort, chiffrement de bout en bout, coffre-fort partagé, accès d'urgence, gestionnaire de mots de passe du navigateur

Ce que fait un gestionnaire de mots de passe

Dans la leçon 2.1, vous avez vu que chaque compte a besoin de son propre mot de passe, long et aléatoire. Personne ne peut en retenir quatre vingts. Un gestionnaire de mots de passe est un logiciel qui s'en charge pour vous. Il :

• crée pour chaque service un mot de passe fort et aléatoire ;
• conserve tous les mots de passe de manière chiffrée dans un coffre-fort ;
• les saisit automatiquement sur le bon site web, et uniquement là ;
• signale souvent les mots de passe faibles, dupliqués ou ayant fait l'objet d'une fuite ;
• peut aussi, pour de nombreux produits, conserver les codes d'authentification à deux facteurs (2FA) et stocker des passkeys (leçons 2.3 et 2.4).

Vous ne retenez plus qu'un seul mot de passe : le mot de passe principal qui ouvre le coffre-fort. L'ANSSI recommande l'utilisation d'un gestionnaire de mots de passe comme base, y compris pour les petites structures, avec des règles claires sur le gestionnaire utilisé et les comptes pour lesquels il est obligatoire.

Types de gestionnaires de mots de passe

Il n'existe pas un type idéal unique. On distingue généralement le gestionnaire intégré au navigateur, l'application autonome, et les solutions en ligne (cloud) par opposition aux solutions hors ligne (locales). Dans la pratique, vous rencontrerez ces différentes formes :

Parmi les gestionnaires autonomes connus figurent Bitwarden, 1Password, KeePassXC et Proton Pass, en plus des gestionnaires intégrés aux navigateurs et systèmes d'exploitation. Ceci n'est pas une recommandation : choisissez en fonction des questions ci dessous.

Questions à se poser pour choisir

• Fonctionne t il sur tous vos appareils et navigateurs, y compris ceux de vos collègues ?
• Pouvez vous partager des coffres-forts avec des droits par dossier, et retirer à nouveau quelqu'un d'un coffre-fort ?
• Le coffre-fort est il chiffré de bout en bout, et que reste t il chiffré ou non (par exemple les adresses des sites web) ?
• Pouvez vous protéger le coffre-fort par authentification à deux facteurs (2FA) ou par une passkey ?
• Existe t il un accès d'urgence ou une procédure de récupération, et comment fonctionne t elle précisément ?
• Pouvez vous exporter vos données si vous souhaitez changer de solution ?
• Pour les versions gratuites : quel est le modèle économique ?

Chiffrement de bout en bout : que se passe t il si le fournisseur est piraté ?

Avec un bon gestionnaire cloud, votre coffre-fort est chiffré sur votre propre appareil à l'aide d'une clé dérivée de votre mot de passe principal. Le fournisseur ne reçoit que le paquet chiffré. C'est ce qu'on appelle le chiffrement de bout en bout (parfois appelé « zero knowledge »). Le fournisseur ne peut pas lire vos mots de passe, et ne peut donc pas non plus récupérer votre mot de passe principal pour vous.

Si le fournisseur est piraté, un attaquant peut voler les coffres-forts chiffrés. Il peut alors tenter de les casser hors ligne, comme vu dans la leçon 2.1. Votre mot de passe principal est à ce moment là votre seule protection. C'est pourquoi :

• Le mot de passe principal doit être long et unique : une phrase de passe d'au moins cinq mots aléatoires, idéalement six.
• Vous ne l'utilisez nulle part ailleurs.
• Après une fuite chez le fournisseur, vous changez votre mot de passe principal et les mots de passe de vos comptes les plus importants. L'ancien coffre-fort volé est en effet chiffré avec l'ancien mot de passe principal.

L'authentification à deux facteurs sur le coffre-fort protège contre quelqu'un qui possède votre mot de passe principal et souhaite se connecter via le site web. Elle ne protège pas contre le cassage d'un fichier de coffre-fort volé. L'ANSSI le rappelle également : la 2FA sur le gestionnaire ne justifie pas un mot de passe principal faible.

Protéger le mot de passe principal

Avec un bon gestionnaire, oublier le mot de passe principal est souvent définitif : le fournisseur ne peut pas le récupérer. Prenez donc vos précautions à l'avance :

• Notez le mot de passe principal sur papier et conservez le chez vous dans un endroit sûr. L'ANSSI considère cette pratique acceptable, à condition de ne pas préciser à quoi il sert.
• Créez le kit de récupération ou le code d'urgence proposé par votre gestionnaire, imprimez le et conservez le avec le papier.
• Ne saisissez le mot de passe principal que dans l'application ou l'extension du gestionnaire lui même, jamais sur un site web qui le demande.
• Activez le verrouillage automatique après quelques minutes d'inactivité.

Pourquoi le remplissage automatique protège contre le phishing

Un gestionnaire de mots de passe associe chaque mot de passe à l'adresse du site web. Sur https://mijnbank.example, il saisit votre mot de passe. Sur un site similaire comme https://rnijnbank.example (rn au lieu de m) ou https://mijnbank-veilig.example, il ne fait rien, car ces adresses ne sont pas associées à l'élément enregistré.

Un humain ne voit souvent pas la différence entre rn et m. Le gestionnaire, lui, compare les caractères et ne se fatigue ni ne se précipite jamais. C'est une protection réelle, mais seulement si vous le laissez agir :

Votre gestionnaire ne remplit soudain plus rien sur un site où cela fonctionnait toujours auparavant ? Ne contournez pas cela en copiant le mot de passe à la main. Regardez d'abord très attentivement l'adresse. C'est précisément le moment où le gestionnaire vous alerte.

Il existe parfois une bonne raison de ne pas remplir automatiquement : un service qui a déménagé vers une nouvelle adresse. Vérifiez alors cela par un autre moyen, par exemple en tapant vous même l'adresse que vous connaissiez déjà.

Partager en équipe

Dans une petite entreprise, il y a toujours des comptes utilisés en commun : la boutique en ligne sur webwinkelplatform.example, le compte chez koeriersdienst.example, les réseaux sociaux de l'entreprise. L'idéal est que chacun dispose de son propre compte (module 7). Si ce n'est pas possible, utilisez un coffre-fort partagé :

• Créez des coffres-forts ou des dossiers par thème (« Boutique en ligne », « Finances », « Réseaux sociaux ») et donnez l'accès uniquement à ceux qui en ont besoin.
• Ne partagez jamais par e-mail, chat ou tableur. Quiconque a accès au coffre-fort partagé y voit le mot de passe.
• Quelqu'un part ? Retirez le du coffre-fort et changez les mots de passe qu'il pouvait consulter. Le retirer du coffre-fort seul ne suffit pas : il a pu les recopier ou les enregistrer.
• Prévoyez un accès d'urgence : que se passe t il si vous, le propriétaire, êtes malade ou indisponible ? De nombreux gestionnaires proposent une fonction permettant à une personne de confiance d'obtenir l'accès après un délai d'attente. Ou bien vous conservez les informations de récupération dans une enveloppe scellée confiée à une deuxième personne.

En pratique : changer de gestionnaire en un après midi

1. Choisissez un gestionnaire et installez le sur votre ordinateur et votre téléphone, avec l'extension de navigateur.
2. Créez un mot de passe principal (phrase de passe), notez le, conservez le kit de récupération.
3. Activez l'authentification à deux facteurs (2FA) sur le coffre-fort.
4. Importez les mots de passe déjà enregistrés par votre navigateur. Un export est souvent un fichier non chiffré : supprimez le immédiatement après l'import, y compris de la corbeille.
5. Commencez par les comptes les plus importants et attribuez à chacun un nouveau mot de passe unique : votre boîte mail (info@example.com), votre hébergement et l'enregistrement de votre domaine, votre banque et votre comptabilité (par exemple sur boekhoudpakket.example).
6. Mettez à jour le reste au fur et à mesure que vous vous connectez. Les alertes de mots de passe dupliqués vous aideront.

Utilisez vous un service de l'environnement WebOké, comme une boîte mail ou Nextcloud, avec des applications sur votre téléphone ? Pour cela, vous créez parfois un mot de passe d'application distinct (voir la Base de connaissances 436). Conservez le également dans le gestionnaire, au bon endroit. Chez d'autres fournisseurs, le fonctionnement est similaire.

Résumé

• Un gestionnaire de mots de passe crée, conserve et saisit des mots de passe uniques ; vous ne retenez que le mot de passe principal.
• Types : intégré au navigateur ou au système, application autonome avec cloud, local, open source ou autohébergé. Choisissez en fonction des appareils, du partage, du chiffrement et de la récupération.
• Avec le chiffrement de bout en bout, votre mot de passe principal est la dernière ligne de défense si le fournisseur est piraté.
• Si le gestionnaire ne remplit rien, vérifiez l'adresse plutôt que de copier manuellement.
• Partagez via un coffre-fort partagé et changez les mots de passe lorsqu'une personne quitte l'équipe.

Quiz

Exercice

Exercice D2.2 : Configurer votre gestionnaire de mots de passe. Choisissez un gestionnaire de mots de passe, créez un mot de passe principal et un kit de récupération, activez l'authentification à deux facteurs sur le coffre-fort et attribuez à vos cinq comptes les plus importants un nouveau mot de passe unique. Cochez la liste de vérification et répondez aux questions de réflexion. Vous ne saisissez de mot de passe nulle part.

Pour aller plus loin

Les étapes des articles WebOké s'appliquent à l'environnement WebOké ; chez d'autres fournisseurs, le fonctionnement est similaire.

• Guide DirectAdmin 3.7: Mots de passe sécurisés et que faire en cas de mot de passe compromis
• Créer un mot de passe d'application (nécessaire pour se connecter à des applications et appareils)
• Guide Nextcloud 3.5: Mots de passe d'application : quand et comment
• ANSSI, Agence nationale de la sécurité des systèmes d'information : https://cyber.gouv.fr/
• Cybermalveillance.gouv.fr, ressources et conseils pour les entreprises : https://www.cybermalveillance.gouv.fr/