Mots de passe : une méthode simple pour ne plus vous mettre en danger

Pourquoi le même mot de passe partout est le vrai risque #

Le danger ne vient pas seulement d’un mot de passe facile à deviner. Il vient surtout de sa réutilisation. Lorsqu’un site marchand, un forum, une ancienne application ou une association subit une fuite, les identifiants qui y étaient enregistrés peuvent circuler. Des fraudeurs essaient alors automatiquement la même adresse électronique et le même mot de passe sur les services les plus intéressants : messagerie, banque, impôts, assurance maladie, retraite ou réseaux sociaux. Cette méthode est souvent appelée réutilisation d’identifiants. Vous n’avez pas besoin d’avoir fait une erreur pour être concerné : c’est parfois le site qui a été mal protégé.

La messagerie électronique mérite une attention particulière. Celui qui contrôle votre boîte mail peut demander la réinitialisation du mot de passe de nombreux autres comptes et recevoir les liens de confirmation à votre place. Viennent ensuite les comptes financiers, les démarches administratives, les complémentaires santé et les services où figurent des documents personnels. L’objectif n’est donc pas de changer tous vos accès en une soirée. Il est de supprimer progressivement les doublons, en commençant par les comptes qui donnent accès à votre argent, votre identité ou votre courrier électronique.

Créer une phrase de passe que vous retiendrez vraiment #

Une phrase de passe est une suite assez longue de mots que vous pouvez mémoriser, mais qu’une autre personne ne peut pas déduire de votre vie. Elle est particulièrement adaptée au mot de passe principal de votre gestionnaire. Une phrase longue résiste mieux aux essais automatiques qu’un petit mot modifié avec un chiffre à la fin. Évitez les citations connues, les paroles de chanson, votre adresse, les prénoms de la famille, une date de naissance et les formules visibles sur vos réseaux sociaux. Ces éléments sont souvent les premiers testés par les fraudeurs.

Vous pouvez imaginer une scène improbable composée de plusieurs mots sans lien direct entre eux, puis y ajouter ponctuation et chiffres si cela vous aide à la distinguer. Par exemple, pensez à une histoire absurde que personne d’autre ne connaît, plutôt qu’à une phrase célèbre. Ne reprenez jamais un exemple vu dans un article : il est public. Écrivez votre propre phrase une première fois sur papier pour vérifier que vous la tapez correctement, puis mémorisez-la. Le papier de travail doit ensuite être détruit ou rangé dans un lieu fermé, jamais posé près de l’ordinateur.

Situation	Méthode recommandée	À éviter
Mot de passe principal du gestionnaire	Une phrase de passe longue, personnelle et mémorisée	Une date, une citation connue ou une suite de mots de la même famille
Compte créé et rempli par le gestionnaire	Un mot de passe long et aléatoire généré automatiquement	Le réutiliser sur un autre site, même peu important
Compte que vous ne pouvez pas encore mettre dans le gestionnaire	Une phrase de passe propre à ce compte, provisoirement	Ajouter simplement le nom du site à votre mot de passe habituel

Les services n’imposent pas tous les mêmes règles de saisie. Adaptez la forme, mais conservez le principe : long, unique et difficile à déduire.

Le gestionnaire de mots de passe, expliqué sans jargon #

Un gestionnaire de mots de passe est un coffre-fort numérique. Il enregistre vos identifiants, crée à votre place des mots de passe longs et différents, et peut les remplir lorsque vous revenez sur le bon site. Vous n’avez donc pas à les noter dans un cahier, un fichier non protégé ou les mémos de votre téléphone. Le coffre est protégé par votre phrase de passe principale. Bien utilisé, il ne vous demande pas de devenir plus organisé que vous ne l’êtes : il remplace précisément le système fatigant qui consiste à chercher, oublier, puis réinitialiser sans cesse vos codes.

Il existe des gestionnaires intégrés à certains navigateurs ou systèmes d’exploitation, et des gestionnaires dédiés. Le choix dépend de vos appareils et de votre aisance, mais les fonctions essentielles sont les mêmes : coffre chiffré, génération de mots de passe, synchronisation éventuelle entre vos appareils et double authentification pour protéger le coffre. Avant de vous lancer, vérifiez comment vous récupérerez l’accès si vous perdez votre téléphone ou changez d’ordinateur. Conservez les codes de récupération fournis par le service dans un endroit physique fermé et distinct de l’appareil.

Le premier réglage est plus important que le nom de l’outil : activez la double authentification du gestionnaire, choisissez une phrase de passe unique et testez l’ouverture du coffre sur votre ordinateur puis sur votre téléphone. Ajoutez ensuite vos comptes au fil de l’eau. Pour les accès prioritaires, ne vous contentez pas d’enregistrer l’ancien mot de passe : utilisez la fonction de changement de mot de passe pour le remplacer immédiatement. Si le site propose de générer un mot de passe, laissez le gestionnaire choisir une suite longue et aléatoire.

Carnet papier ou gestionnaire : ce qui change concrètement

ACarnet, notes ou mémoire seule

• Simple au départ, mais difficile à tenir à jour quand les mots de passe changent.
• Encourage la réutilisation ou les variantes trop proches d’un même code.
• Peut être perdu, photographié ou consulté par une personne qui passe chez vous.
• Ne crée pas de mot de passe aléatoire et n’alerte pas sur les doublons.

vs

BGestionnaire de mots de passe

• Un accès distinct et long peut être créé pour chaque site en quelques secondes.
• Les identifiants sont retrouvés sans avoir à fouiller dans des papiers ou des fichiers.
• Le coffre doit lui-même être très bien protégé par une phrase de passe et une seconde vérification.
• Il faut prévoir dès le départ la récupération en cas de perte ou de changement d’appareil.

Si vous avez plus de quelques comptes, le gestionnaire est généralement l’option la plus simple et la plus protectrice, à condition de sécuriser son accès principal.

La double authentification : une deuxième serrure utile #

La double authentification, aussi appelée validation en deux étapes, demande deux preuves différentes pour ouvrir un compte. La première est votre mot de passe. La seconde peut être un code reçu par SMS, une validation dans une application, un code produit par une application d’authentification ou une clé de sécurité physique. Si un fraudeur connaît votre mot de passe à la suite d’une fuite ou d’un faux message, il lui manque encore cette seconde preuve. C’est pourquoi cette protection est particulièrement utile pour la messagerie, le gestionnaire de mots de passe, les services financiers et les principaux comptes administratifs.

Activez-la en priorité sur votre adresse électronique principale. Cherchez, dans les réglages du compte, les rubriques Sécurité, Connexion ou Validation en deux étapes. L’application d’authentification vous donne généralement des codes temporaires sans dépendre du réseau mobile. Le SMS reste préférable à l’absence de protection, mais il est moins robuste face à certaines fraudes. Quelle que soit la méthode, gardez les codes de secours remis lors de l’activation. Sans eux, un téléphone perdu ou remplacé peut compliquer la récupération de votre compte.

Méthode	Usage pratique	Point de vigilance
Code par SMS	Facile à mettre en route si vous utilisez un téléphone mobile	Ne communiquez jamais le code ; vérifiez que votre numéro de téléphone est à jour
Application d’authentification	Produit des codes temporaires sur le téléphone, même sans réseau mobile dans de nombreux cas	Préparez le transfert vers un nouveau téléphone et conservez les codes de secours
Validation dans l’application du service	Pratique lorsque vous utilisez déjà l’application officielle du compte	Refusez toute demande de validation que vous n’avez pas vous-même déclenchée
Clé de sécurité physique	Très protectrice pour les comptes les plus sensibles lorsqu’elle est proposée	Gardez-la en lieu sûr et prévoyez une solution de secours compatible

Les options proposées varient selon les services. Consultez leurs réglages de sécurité et leurs consignes de récupération avant de supprimer une ancienne méthode.

Passer à l’action sans devoir tout changer aujourd’hui #

Commencez par dresser une courte liste de vos comptes importants, pas par les dizaines de sites où vous avez acheté une fois un objet. Notez la messagerie que vous consultez le plus, vos services bancaires, vos espaces impôts, santé et retraite, votre téléphone mobile, ainsi que les comptes où sont conservées des photos ou des documents personnels. Cette liste sert de feuille de route. Elle ne doit pas contenir les mots de passe eux-mêmes. Pour les démarches françaises, utilisez toujours les portails officiels et vérifiez avec soin l’adresse du site avant de vous identifier.

Traitez ensuite un compte à la fois. Connectez-vous en tapant l’adresse du site ou en passant par un favori que vous avez créé vous-même, puis remplacez le mot de passe par un mot de passe unique généré dans votre coffre. Activez la double authentification si elle est disponible. Vérifiez enfin que l’adresse électronique et le numéro de téléphone de récupération sont bien les vôtres. Cette dernière étape est souvent oubliée : si une ancienne adresse ou un ancien numéro reste associé au compte, vous risquez de ne plus pouvoir le récupérer.

Réservez une vingtaine de minutes par jour ou une heure par semaine, selon votre rythme. Lorsqu’un compte secondaire revient dans votre quotidien, ajoutez-le au coffre et rendez son mot de passe unique. Supprimez les comptes que vous n’utilisez plus quand le service le permet, après avoir récupéré les factures ou documents utiles. Vous réduisez ainsi le nombre de portes à surveiller. Ne changez pas un mot de passe solide et unique par réflexe tous les mois : changez-le immédiatement s’il a été réutilisé, divulgué, demandé par un faux interlocuteur ou utilisé sur un appareil suspect.

La marche à suivre pour sécuriser vos accès prioritaires

1. 1

   protégez votre messagerie

   Créez un mot de passe unique, activez la double authentification et vérifiez l’adresse ou le numéro de récupération. C’est la priorité, car la messagerie ouvre souvent la procédure de réinitialisation des autres comptes.

2. 2

   installez et verrouillez votre coffre

   Choisissez une phrase de passe principale longue, activez sa double authentification et mettez ses codes de récupération en lieu sûr, hors de votre téléphone.

3. 3

   sécurisez les comptes à fort enjeu

   Traitez votre banque, vos impôts, Ameli, votre espace retraite et tout compte détenant des documents ou moyens de paiement. Générez un mot de passe différent pour chacun.

4. 4

   contrôlez les moyens de récupération

   Dans chaque compte, vérifiez l’adresse de secours, le numéro de téléphone et les appareils ou sessions connectés. Retirez ce que vous ne reconnaissez pas.

5. 5

   poursuivez progressivement

   À chaque nouvelle connexion, enregistrez le compte dans le coffre et remplacez les anciens doublons. Gardez une liste des comptes, jamais de leurs mots de passe.

Reconnaître le piège et réagir si un accès a été compromis #

Les mots de passe robustes ne suffisent pas contre une fausse page de connexion. Le fraudeur cherche alors à vous faire saisir vous-même votre mot de passe, puis votre code de double authentification. Les prétextes les plus fréquents sont un colis à régulariser, un compte bloqué, une facture impayée, un remboursement ou une mise à jour urgente. L’urgence, la faute d’orthographe et une adresse de site étrange sont des signaux utiles, mais leur absence ne garantit rien. Le réflexe le plus sûr est de ne pas ouvrir le lien et de vous connecter vous-même depuis le site ou l’application habituelle.

Si vous pensez avoir donné un mot de passe ou un code, agissez sans attendre, même si vous n’êtes pas certain. Depuis un appareil de confiance, changez d’abord le mot de passe de votre messagerie, puis celui du compte concerné. Déconnectez les appareils et sessions que vous ne reconnaissez pas dans les réglages de sécurité. Vérifiez les règles de transfert automatique de votre messagerie : un fraudeur peut y ajouter une adresse pour recevoir discrètement vos messages. Prévenez votre banque immédiatement si un moyen de paiement, un espace bancaire ou une validation bancaire est impliqué.

Ne culpabilisez pas et n’essayez pas de régler seul une fraude complexe. Gardez les messages, captures d’écran, heures et numéros utilisés, sans répondre au fraudeur. Les conseils de réaction et les dispositifs d’assistance sont centralisés par Cybermalveillance.gouv.fr (ouvre un nouvel onglet). Pour les démarches publiques, passez par Service-Public.fr (ouvre un nouvel onglet) ou par les sites institutionnels que vous utilisez habituellement. Si vous avez reçu un message relatif à une démarche administrative, ne vous fiez pas au lien reçu : retrouvez le service depuis votre navigateur.

Prévoir l’accès d’un proche sans créer une nouvelle faille #

Préparer la transmission de ses accès n’est ni excessif ni morbide. C’est une façon d’éviter à un proche de chercher dans l’urgence les contrats, les factures, les photos ou les démarches à effectuer. Le point essentiel est de distinguer les informations utiles à transmettre et les identifiants à ne pas partager. Une personne de confiance doit pouvoir savoir quels organismes contacter, où sont les documents importants et comment accéder au coffre de mots de passe si cela devient nécessaire. Elle n’a pas besoin de recevoir vos codes par messagerie ni de les connaître au quotidien.

Constituez une fiche papier datée, conservée dans un lieu fermé, qui indique la liste de vos grands comptes et contrats : banque, assurances, énergie, téléphone, messagerie, retraite, complémentaire santé, abonnement numérique. Inscrivez les coordonnées officielles des organismes, le lieu où se trouvent vos documents et le nom de la personne à prévenir. Vous pouvez préciser l’existence d’un gestionnaire de mots de passe et l’emplacement de vos codes de récupération, sans recopier tous les secrets sur cette fiche. Mettez-la à jour une ou deux fois par an, ou après un changement important.

Pour les accès sensibles, faites-vous accompagner par le bon professionnel si votre situation l’exige. Une procuration bancaire se met en place avec votre banque : elle ne consiste pas à donner votre code bancaire. Après un décès, les proches doivent signaler la situation aux organismes et suivre leurs procédures ; ils ne doivent pas continuer à utiliser les identifiants personnels du défunt, notamment pour les comptes administratifs ou financiers. Pour une question de succession, de mandat de protection future ou de droits d’un proche, un notaire ou un professionnel du droit peut vous aider à rédiger une organisation adaptée.

Ce qu’une personne de confiance doit pouvoir retrouver

• La liste des organismes et contrats importants, avec leurs coordonnées officielles.
• L’emplacement des documents : relevés, contrats, livret de famille, coordonnées du notaire ou de la banque.
• L’existence de votre gestionnaire de mots de passe et la procédure prévue en cas d’urgence.
• Les codes de récupération du coffre, placés dans un lieu physique fermé et séparé de vos appareils.
• Vos consignes datées sur les comptes à fermer, les abonnements à résilier et les personnes à prévenir.
• La date de la dernière mise à jour de cette organisation.

Vos cases cochées restent enregistrées sur cet appareil.

Une routine courte pour rester protégé dans la durée #

Une bonne sécurité n’est pas une série de manipulations techniques interminables. C’est une petite routine. Une fois par mois, regardez les alertes de connexion inhabituelle reçues dans votre messagerie ou votre gestionnaire. Après avoir changé de téléphone, d’adresse mail ou de numéro mobile, mettez immédiatement à jour les moyens de récupération de vos comptes prioritaires. Une fois par an, vérifiez la fiche destinée à votre proche de confiance et les codes de récupération conservés hors ligne. Ces contrôles évitent que des réglages très importants deviennent obsolètes sans que vous le remarquiez.

Gardez également vos appareils à jour et verrouillés par un code, une empreinte ou une reconnaissance faciale si vous l’utilisez. N’installez pas une application suggérée par un appelant ou un message inattendu : un faux conseiller peut chercher à prendre le contrôle de votre téléphone à distance. Si vous débutez avec les démarches numériques, prenez le temps de lire notre guide consacré à FranceConnect et aux bons réflexes avant d’utiliser un nouvel espace en ligne. La prudence devient beaucoup plus simple lorsque vos mots de passe sont déjà rangés dans un coffre fiable.