Mots de passe : la fin du carnet et du « même partout »
Le gestionnaire de mots de passe, en pratique.
🎯 Objectifs de la leçon
À la fin de cette leçon, vous saurez :
- expliquer pourquoi le carnet de mots de passe et le « même mot de passe partout » sont les deux plus grandes failles d’une TPE ;
- composer une phrase de passe longue, facile à retenir et très difficile à casser ;
- installer et utiliser un gestionnaire de mots de passe pour ne plus mémoriser qu’un seul secret ;
- garantir l’unicité de chaque compte et savoir réagir en cas de fuite de données ;
- organiser un coffre partagé d’équipe propre, traçable et conforme au RGPD ;
- appliquer concrètement les recommandations de l’ANSSI et de cybermalveillance.gouv.fr.
Durée : 55 à 65 min · Niveau : débutant à intermédiaire · Prérequis : savoir installer une application ; aucune compétence technique préalable.
1. Le mot de passe, première serrure de votre cabinet
Imaginez le Cabinet Verne, un cabinet d’expertise comptable de quatre personnes installé à Issoire. Chaque jour, Sophie, l’experte-comptable, et ses trois collaborateurs manipulent des bulletins de paie, des liasses fiscales, des relevés bancaires et des numéros de sécurité sociale pour plus de deux cents clients. Toutes ces informations sont protégées par une seule chose, souvent négligée : un mot de passe. Si cette serrure cède, ce n’est pas seulement la messagerie de Sophie qui s’ouvre, c’est la porte de tout le cabinet et, derrière elle, les données personnelles et financières de centaines d’entreprises et de particuliers.
Le mot de passe est la première ligne de défense — et, dans la grande majorité des cyberattaques visant les petites structures, c’est aussi la première qui tombe. Selon cybermalveillance.gouv.fr, l’hameçonnage et le piratage de comptes figurent chaque année en tête des demandes d’assistance des professionnels. L’ANSSI (Agence nationale de la sécurité des systèmes d’information) rappelle dans son Guide des bonnes pratiques de l’informatique que l’authentification est le socle de toute la sécurité numérique : tout le reste — sauvegardes, antivirus, mises à jour — perd son sens si un intrus peut simplement se connecter avec vos identifiants.
ℹ️ Le saviez-vous ? Un cabinet comptable est une cible de choix : il concentre, en un seul point, les données de dizaines d’entreprises. Les spécialistes parlent de « point d’eau » — un endroit où l’on frappe une fois pour atteindre beaucoup de victimes. C’est aussi pourquoi le RGPD impose au responsable de traitement des « mesures techniques appropriées », dont la robustesse des mots de passe fait explicitement partie.
Cette leçon part d’un constat simple : beaucoup de professionnels gèrent encore leurs mots de passe de deux façons, et ce sont justement les deux pires. La première, le carnet (ou le fichier « codes.docx », ou le Post-it sous le clavier). La seconde, le même mot de passe partout, décliné au mieux en « Cabinet2024 », « Cabinet2025 »… Le schéma ci-dessous illustre l’ampleur du problème dans les petites entreprises françaises.
Ces deux habitudes ne relèvent pas de la simple négligence : elles viennent d’un vrai problème humain. Un cerveau ne peut pas retenir cinquante secrets longs, aléatoires et tous différents. Toute la leçon consiste donc à déplacer l’effort de mémoire vers un outil, pour ne plus retenir qu’une seule phrase de passe, et à comprendre les quelques règles qui transforment une passoire en coffre-fort.
2. Deux habitudes à abandonner d’urgence
2.1 Le carnet, le Post-it et le fichier « codes »
Noter ses mots de passe n’est pas absurde en soi : c’est même mieux que d’en utiliser un seul, trop simple, retenu de tête. Le problème, c’est le support. Un carnet posé sur le bureau, un Post-it collé sous le clavier ou un fichier codes.docx stocké en clair sur l’ordinateur partagent trois défauts majeurs :
- Ils ne sont pas chiffrés. N’importe qui passant devant le poste, ou ouvrant le fichier, lit tout d’un coup d’œil. Une femme de ménage, un stagiaire, un client dans la salle d’attente, un cambrioleur : la liste est longue.
- Ils ne se sauvegardent pas. Un carnet perdu, un café renversé, un disque dur en panne, et ce sont tous les accès du cabinet qui disparaissent d’un coup.
- Ils poussent à la simplicité. Comme il faut recopier à la main, on choisit des mots de passe courts et on les réutilise. Le support facilite paradoxalement la mauvaise pratique suivante.
Au Cabinet Verne, le fichier Codes_cabinet.xlsx vivait sur le bureau partagé du serveur, accessible aux quatre postes. Le jour où un rançongiciel a chiffré ce serveur (voir la leçon sur les sauvegardes), non seulement les données clients étaient prises en otage, mais la liste de tous les mots de passe l’était aussi. Sophie a dû tout changer, dans l’urgence, un dimanche.
2.2 Le « même mot de passe partout » et l’effet domino
La seconde habitude est encore plus répandue et plus dangereuse. Utiliser le même mot de passe pour la messagerie, la banque, le logiciel de paie, le portail des impôts et le compte Amazon personnel, c’est fabriquer une clé passe-partout. Or les sites web se font régulièrement pirater et voir leurs bases de comptes dérobées : ce sont les fuites de données. Une fois un couple « adresse e-mail + mot de passe » dans la nature, les attaquants l’essaient automatiquement sur des centaines d’autres services. Cette technique, appelée credential stuffing (rejeu d’identifiants), ne demande aucun piratage sophistiqué : elle exploite simplement le fait que la victime a réutilisé son mot de passe.
Le schéma ci-dessous montre l’effet domino : un seul mot de passe volé sur un site de faible importance ouvre, de proche en proche, les comptes les plus sensibles.
⚠️ Piège classique. « Mon mot de passe est compliqué, je peux le réutiliser. » Faux. Sa complexité ne protège en rien contre une fuite : si le site où vous l’avez saisi se fait pirater, votre mot de passe génial se retrouve dans la nature tel quel. Contre la réutilisation, seule l’unicité protège, jamais la complexité.
3. La phrase de passe : longue, mémorisable, robuste
Pendant des années, on a répété qu’un bon mot de passe devait être « compliqué » : des majuscules, des chiffres, des caractères spéciaux. Résultat, des secrets du type P@ssw0rd! — impossibles à retenir pour un humain… et pourtant très rapides à casser pour une machine, car ils sont courts et suivent des schémas connus. La recherche et l’ANSSI ont fait évoluer la doctrine : ce qui compte avant tout, c’est la longueur.
3.1 Pourquoi la longueur bat la complexité
Un outil de cassage essaie des milliards de combinaisons par seconde. Chaque caractère ajouté à un mot de passe multiplie le nombre de combinaisons possibles : la difficulté croît de façon exponentielle avec la longueur, mais seulement de façon linéaire avec le nombre de symboles différents. Autrement dit, allonger est bien plus efficace que compliquer. Une suite de quatre mots ordinaires forme une chaîne de 25 à 30 caractères : même connue du dictionnaire, la combinaison de quatre mots pris au hasard représente un nombre d’assemblages astronomique.
C’est l’idée de la phrase de passe : au lieu d’un mot court et tarabiscoté, on choisit plusieurs mots sans lien logique, faciles à visualiser mentalement, éventuellement séparés par des tirets ou des chiffres. L’ANSSI recommande au minimum 12 caractères mêlant plusieurs types, et met explicitement en avant la méthode de la phrase de passe ; cybermalveillance.gouv.fr conseille de viser plus long encore pour les comptes sensibles (messagerie, banque, outils métier).
3.2 Fabriquer une phrase de passe en 4 étapes
- Choisissez 4 mots sans lien entre eux. Le plus simple : regardez autour de vous et prenez des objets au hasard (chaise, nuage, tornade, biscuit). Évitez toute suite logique ou tirée de votre vie (prénoms, dates, ville).
- Ajoutez un chiffre et une majuscule quelque part, pas forcément au début. Par exemple un chiffre collé à un mot au milieu.
- Reliez les mots par un séparateur constant (tiret, point). Cela allonge encore et améliore la lisibilité.
- Visualisez la scène absurde qu’ils décrivent (une tornade emporte un biscuit vers un nuage) : c’est cette image mentale qui la rend inoubliable, sans jamais l’écrire.
| Exemple | Longueur | Mémorisable ? | Résistance |
|---|---|---|---|
| Sophie63 | 8 | Oui | Très faible |
| P@ssw0rd! | 9 | Non | Faible (schéma connu) |
| Cabinet-Verne-2025 | 18 | Oui | Moyenne (trop devinable) |
| Chaise7-Nuage-Tornade-Biscuit | 28 | Oui | Excellente |
💡 Astuce. Vous n’avez besoin de retenir par cœur qu’une seule phrase de passe : celle du gestionnaire (section 5) et celle de votre messagerie principale. Toutes les autres seront générées et retenues par l’outil. Concentrez donc votre effort de mémoire sur deux ou trois phrases vraiment solides.
4. L’unicité et les fuites de données
Nous l’avons vu : la complexité ne protège pas contre une fuite, seule l’unicité le fait. Un mot de passe différent pour chaque site transforme une catastrophe en simple incident : si un service est piraté, vous ne changez qu’un seul mot de passe, et les autres comptes restent hors d’atteinte. C’est la règle d’or numéro un de l’ANSSI en matière d’authentification : un compte = un mot de passe unique.
4.1 Qu’est-ce qu’une fuite de données ?
Une fuite (en anglais data breach) survient quand la base de données d’un site — boutique en ligne, réseau social, forum, prestataire — est dérobée par des attaquants. Elle contient souvent les adresses e-mail et les mots de passe des utilisateurs. Ces listes circulent ensuite, sont revendues, puis rejouées automatiquement sur d’autres services. Vous n’y êtes pour rien : c’est le site qui a été attaqué. Mais si vous aviez réutilisé ce mot de passe ailleurs, tous ces comptes deviennent vulnérables du jour au lendemain.
4.2 Savoir si vous êtes concerné
Il existe des services gratuits et reconnus qui recensent les adresses apparues dans des fuites connues. Le plus utilisé, cité par de nombreux organismes, est Have I Been Pwned (haveibeenpwned.com). Le principe est défensif : vous saisissez votre adresse e-mail, le service vous indique dans combien de fuites publiques elle est apparue, sans jamais vous demander votre mot de passe. La plupart des gestionnaires de mots de passe et des navigateurs modernes intègrent d’ailleurs cette surveillance et vous alertent spontanément.
4.3 Que faire concrètement en cas de fuite
- Changez immédiatement le mot de passe du service concerné, depuis un appareil sain.
- Changez-le aussi partout où vous l’aviez réutilisé (c’est là que le « même partout » coûte cher). Avec l’unicité, cette étape n’existe pas.
- Activez la double authentification sur le compte (voir la leçon suivante) : même si le mot de passe circule, il devient inutilisable seul.
- Surveillez les usages anormaux : e-mails de réinitialisation non demandés, connexions depuis l’étranger, messages envoyés à votre insu.
- En cas de préjudice (usurpation, fraude), conservez les preuves et signalez sur cybermalveillance.gouv.fr, qui oriente vers les démarches et, si besoin, un prestataire de proximité.
| Situation | Risque | Action prioritaire |
|---|---|---|
| Mot de passe réutilisé sur 5 sites | Élevé | Rendre chaque compte unique, en commençant par la messagerie |
| Adresse trouvée dans une fuite | Moyen | Changer le mot de passe du site cité + activer la 2FA |
| Messagerie principale compromise | Critique | Reprendre la main, 2FA, vérifier les règles de transfert cachées |
| Doute sur un accès client | Moyen | Changer par précaution, informer, tracer dans le registre |
5. Le gestionnaire de mots de passe : un seul secret à retenir
Le gestionnaire de mots de passe est l’outil qui résout, à lui seul, presque tous les problèmes précédents. C’est un coffre-fort numérique chiffré : vous y rangez tous vos identifiants, et vous n’ouvrez ce coffre qu’avec une seule clé, votre mot de passe maître (idéalement une belle phrase de passe). L’outil se charge de générer, retenir et remplir automatiquement des mots de passe longs et uniques pour chaque site. Vous cessez de mémoriser cinquante secrets : vous n’en retenez plus qu’un.
5.1 Comment ça marche
Le coffre est chiffré : sur le disque et sur les serveurs du fournisseur, son contenu n’est qu’une suite illisible. Seul votre mot de passe maître permet de le déchiffrer, et il n’est jamais transmis au fournisseur : c’est le principe du chiffrement de bout en bout, à connaissance nulle (le fournisseur ne peut pas lire vos données, même s’il le voulait ou s’il était piraté). En contrepartie, ce mot de passe maître ne doit jamais être perdu : personne ne pourra le récupérer à votre place.
5.2 Quel gestionnaire choisir ?
Il existe trois grandes familles, résumées dans le tableau ci-dessous. Pour un cabinet, le critère décisif est la possibilité de partager proprement certains accès entre collaborateurs (section 6) et la traçabilité. L’ANSSI recommande de privilégier des solutions éprouvées, mises à jour, et de préférence auditées.
| Famille | Exemples de types | Avantages | Limites |
|---|---|---|---|
| Intégré au navigateur | Gestionnaire du navigateur | Gratuit, déjà là, simple | Partage d’équipe limité, dépend du compte navigateur |
| Application dédiée (cloud) | Coffre synchronisé multi-appareils | Partage, alertes de fuite, multi-plateformes | Abonnement pour les options pro |
| Coffre local / open source | Fichier chiffré sur vos appareils | Aucune donnée chez un tiers, gratuit | Synchronisation et sauvegarde à gérer soi-même |
5.3 Installer son gestionnaire, pas à pas
- Choisissez une solution reconnue et adaptée (voir Tab. 3). Installez l’application sur l’ordinateur et l’extension dans le navigateur.
- Créez votre mot de passe maître : une phrase de passe longue (section 3), que vous ne réutilisez nulle part ailleurs. Écrivez-la une seule fois sur papier et rangez ce papier dans un lieu sûr (coffre, tiroir fermé), le temps de la mémoriser.
- Activez la double authentification du gestionnaire lui-même : c’est le compte le plus précieux, il mérite la meilleure protection (voir leçon suivante).
- Importez ou ajoutez vos comptes au fil de l’eau : à chaque connexion à un site, laissez l’outil proposer d’enregistrer l’identifiant.
- Remplacez les mots de passe faibles un par un, en commençant par les plus sensibles (messagerie, banque, outils métier). Utilisez le générateur intégré pour créer des mots de passe longs et aléatoires.
- Installez l’application mobile et connectez-la au même coffre : vous aurez vos accès partout, en sécurité.
⚠️ Le point le plus important. Le mot de passe maître ne se récupère pas. Si vous l’oubliez, vous perdez tout le coffre. Notez-le physiquement au début, en lieu sûr, et prévoyez une procédure de récupération (contact de confiance, kit d’urgence chiffré) avant d’en avoir besoin — jamais après.
6. Le coffre partagé d’équipe
Dans un cabinet, certains accès sont collectifs : la boîte e-mail générique contact@, le compte du logiciel de facturation, l’espace client d’un fournisseur, le compte des réseaux sociaux. Trop souvent, ces mots de passe circulent par e-mail, par SMS ou sur un fichier partagé — c’est-à-dire de la pire des manières. La bonne solution est le coffre partagé d’équipe : un espace commun, à l’intérieur du gestionnaire, où l’on range les identifiants collectifs, avec des droits par personne.
Le schéma ci-dessous montre l’organisation retenue au Cabinet Verne : un coffre personnel par collaborateur, plus des coffres partagés thématiques auxquels chacun accède selon son rôle.
6.1 Pourquoi c’est aussi une exigence RGPD
Partager un accès par e-mail laisse une trace du mot de passe dans des dizaines de boîtes, sans savoir qui l’a vraiment, ni pouvoir le retirer. Le coffre partagé règle ce point de conformité : on sait qui a accès à quoi, on révoque un départ en un clic (sans changer le mot de passe pour tout le monde), et l’on tient à jour, sans effort, une cartographie des accès — exactement ce qu’attend un délégué à la protection des données ou un auditeur. C’est une des « mesures techniques et organisationnelles appropriées » du RGPD.
| Besoin | Mauvaise méthode | Coffre partagé |
|---|---|---|
| Donner l’accès à un collègue | SMS / e-mail en clair | Ajout au coffre, sans révéler le mot de passe |
| Un collaborateur quitte le cabinet | On oublie de changer les codes | Révocation immédiate de ses droits |
| Savoir qui a accès à la banque | Personne ne sait | Liste claire, à jour, exportable |
| Faire tourner un mot de passe | Prévenir tout le monde un par un | On le change une fois, tous l’ont |
7. Les bonnes pratiques au quotidien
7.1 Faut-il changer ses mots de passe tous les 90 jours ?
C’est une idée reçue tenace. Les recommandations récentes — reprises par l’ANSSI — ont abandonné le changement systématique et périodique : forcer un renouvellement tous les trois mois pousse les utilisateurs à de petites variations prévisibles (Été2024, Été2025…) et affaiblit la sécurité. La règle moderne : un mot de passe long et unique se change quand il y a une raison — soupçon de compromission, fuite avérée, départ d’un collaborateur, appareil perdu — et non par simple routine du calendrier.
7.2 Les questions secrètes sont des mots de passe déguisés
« Quel est le nom de votre premier animal ? » Ces questions de récupération sont souvent la porte dérobée la plus faible : les réponses se trouvent sur les réseaux sociaux. La bonne pratique consiste à ne jamais répondre honnêtement : traitez chaque réponse comme un second mot de passe (une phrase inventée, stockée dans le gestionnaire).
7.3 On ne saisit jamais son mot de passe après avoir cliqué un lien
La plupart des vols de mots de passe passent par l’hameçonnage : un e-mail imite votre banque ou l’administration et vous conduit sur une fausse page. Règle absolue : ne saisissez jamais vos identifiants sur une page atteinte via un lien reçu. Ouvrez vous-même l’adresse officielle, ou laissez le gestionnaire remplir : un bon gestionnaire refuse de remplir sur un site dont l’adresse ne correspond pas — c’est un filet de sécurité anti-hameçonnage précieux.
7.4 Verrouiller, se déconnecter, cloisonner
- Verrouillez la session (Windows + L) dès que vous quittez votre poste, même deux minutes.
- Un compte par personne : pas de session partagée où tout le monde est « administrateur ».
- Séparez le pro et le perso : le compte Amazon personnel n’a rien à faire avec la même adresse et le même mot de passe que la messagerie du cabinet.
💡 Astuce de pro. Configurez le verrouillage automatique du coffre après quelques minutes d’inactivité, et le verrouillage de l’écran au bout de 5 minutes. Ainsi, même un poste laissé ouvert ne trahit rien.
🧭 Erreurs fréquentes et dépannage
| Symptôme | Cause probable | Solution |
|---|---|---|
| Le gestionnaire refuse de remplir sur un site | L’adresse ne correspond pas à l’entrée enregistrée (souvent un hameçonnage !) | Ne pas forcer. Vérifier l’URL. Si elle est légitime mais a changé, corriger l’entrée à la main |
| Mot de passe maître oublié | Non noté au départ, phrase trop rare | Utiliser le kit de récupération prévu à l’avance ; sinon le coffre est irrécupérable. Leçon : toujours le noter au début |
| Un collègue réclame un accès « en urgence » | Compte non placé dans un coffre partagé | L’ajouter au coffre d’équipe, jamais l’envoyer par SMS ou e-mail |
| Le site refuse le mot de passe généré | Règles de longueur ou de caractères propres au site | Ajuster les options du générateur (longueur, symboles) et régénérer |
| Alertes de connexion inhabituelles | Mot de passe fuité ou réutilisé | Changer immédiatement, activer la 2FA, vérifier les règles de transfert de la messagerie |
| Doublons dans le coffre | Imports successifs, saisies multiples | Faire le ménage : garder une seule entrée par compte, supprimer les périmées |
| Rien ne se synchronise sur le téléphone | Appareil non relié au même coffre | Se reconnecter avec le mot de passe maître et valider la 2FA |
📋 Cas pratique 1 — Cabinet Verne quitte le fichier Excel
Situation. Au Cabinet Verne, tous les mots de passe vivaient dans Codes_cabinet.xlsx sur le serveur partagé : 34 comptes, dont 11 partageaient le même mot de passe « Verne2023 ». Sophie veut basculer vers un gestionnaire, sans bloquer le travail des trois collaborateurs pendant la journée. Objectif : unicité partout, coffre partagé pour les accès collectifs, et suppression du fichier Excel.
Résolution guidée.
- Jour 1 — inventaire. Sophie liste les 34 comptes en trois catégories : personnels (5 par personne), collectifs sensibles (paie, banque, EDI), collectifs courants (contact@, réseaux). La maquette ci-dessous résume ce tri.
- Installation. Elle installe le gestionnaire sur les 4 postes et les mobiles, crée son mot de passe maître (une phrase de passe de 4 mots) et active la 2FA du gestionnaire.
- Comptes collectifs d’abord. Elle crée deux coffres partagés (« Compta » et « Accueil »), y range les accès collectifs et attribue les droits : elle seule sur la banque, les deux comptables sur la paie, tout le monde sur contact@.
- Unicité. Pour les 11 comptes en « Verne2023 », elle génère un mot de passe long et unique par compte, en priorisant banque, messagerie et EDI le premier jour.
- Comptes personnels. Chaque collaborateur crée sa phrase de passe maître et importe ses accès au fil de l’eau.
- Jour 3 — fermeture. Une fois tout vérifié, Sophie supprime Codes_cabinet.xlsx du serveur et vide la corbeille. Le fichier n’existe plus.
Résultat. En trois demi-journées, le cabinet est passé de 11 comptes clonés et un fichier en clair à 34 mots de passe uniques dans un coffre chiffré, avec une traçabilité conforme au RGPD. Coût : le prix d’un abonnement pro et une matinée de mise en route.
📋 Cas pratique 2 — Le départ d’un collaborateur
Situation. Marc, l’un des collaborateurs, quitte le Cabinet Verne. Il connaissait, de mémoire ou par le coffre, plusieurs accès : la messagerie contact@, l’espace bancaire en consultation, le portail EDI et le compte du logiciel de facturation. Comment couper proprement ses accès sans paralyser le cabinet ni changer inutilement tous les mots de passe ?
Résolution guidée.
- Révoquer d’abord. Sophie retire Marc des coffres partagés « Compta » et « Accueil ». En un clic, il n’a plus accès à rien, sans qu’aucun mot de passe ne change pour les autres. Son coffre personnel, lui, part avec lui : il ne contenait que ses accès propres.
- Changer ce qui était su de mémoire. Pour les rares secrets que Marc pouvait connaître par cœur (l’ancien mot de passe contact@ d’avant le coffre), Sophie les régénère. Le coffre partagé fait que ce changement est instantané pour toute l’équipe.
- Couper l’identité. Elle désactive le compte utilisateur de Marc sur les postes, sa boîte e-mail nominative, et retire son téléphone des appareils autorisés (2FA).
- Vérifier les portes dérobées. Elle contrôle qu’aucune règle de transfert automatique n’a été laissée sur les messageries, et qu’aucun appareil inconnu ne reste connecté.
- Tracer. Elle note la date et la liste des accès révoqués dans le registre des habilitations — utile en cas de contrôle RGPD.
Leçon. Sans coffre partagé, le départ d’un collaborateur oblige à changer tous les mots de passe collectifs, à prévenir chacun, et l’on oublie toujours un accès. Avec le coffre, la révocation est propre, immédiate et documentée.
🏋️ Exercices
Faites ces exercices dans l’ordre. Cherchez la réponse avant d’ouvrir le corrigé.
Exercice 1 — Repérer la faiblesse. Trois collaborateurs proposent : (a) Issoire2025!, (b) Vélo-Cactus-Lampe-Orage, (c) le prénom du chat suivi de l’année. Classez-les de la plus faible à la plus solide et justifiez.
✅ Voir le corrigé
De la plus faible à la plus solide : (c), puis (a), puis (b). (c) est devinable en quelques essais car le nom de l’animal et l’année se trouvent souvent en ligne. (a) est courte et suit un schéma archi-connu (mot + année + « ! »). (b) est une phrase de passe de 4 mots sans lien : longue, mémorisable par l’image, et la plus résistante. Idéalement, on y glisse un chiffre.
Exercice 2 — L’unicité en pratique. Sophie utilise le même mot de passe très complexe pour la banque et pour un forum de cuisine. Le forum se fait pirater. La banque est-elle en danger ? Pourquoi ?
✅ Voir le corrigé
Oui, la banque est en danger. La complexité du mot de passe n’y change rien : puisqu’il était réutilisé, il apparaît maintenant en clair (ou récupérable) dans la fuite du forum, et les attaquants l’essaieront sur la banque. Seule l’unicité aurait cloisonné le risque. Réflexe : changer immédiatement le mot de passe de la banque et activer la 2FA.
Exercice 3 — Partager sans dévoiler. Un nouveau collaborateur arrive lundi. Il doit accéder au compte du logiciel de facturation, mais Sophie ne veut pas lui communiquer le mot de passe en clair. Quelle est la bonne méthode ?
✅ Voir le corrigé
Sophie ajoute le nouveau collaborateur au coffre partagé « Compta » et lui donne le droit d’accès à l’entrée « logiciel de facturation ». L’outil remplira le mot de passe automatiquement, sans que le collaborateur ait à le lire ni à le connaître. Aucun envoi par e-mail ou SMS. Le jour où il partira, un clic suffira pour révoquer l’accès.
Exercice 4 — Une alerte tombe. Le gestionnaire signale que l’adresse contact@ apparaît dans une fuite de données. Que fait Sophie, dans l’ordre ?
✅ Voir le corrigé
- Changer le mot de passe de contact@ depuis un poste sain, avec un mot de passe long et unique généré par l’outil.
- Vérifier qu’il n’était réutilisé nulle part ailleurs (grâce à l’unicité, ce n’est pas le cas).
- Activer ou vérifier la double authentification sur cette boîte.
- Contrôler l’absence de règle de transfert cachée et d’appareil inconnu connecté.
- Consigner l’incident. En cas de préjudice, se référer à cybermalveillance.gouv.fr.
Exercice 5 — Fabriquez la vôtre. Sans l’écrire ici, composez mentalement une phrase de passe de 4 mots sans lien, ajoutez un chiffre et une majuscule, et comptez les caractères. Combien en avez-vous ? Est-ce suffisant ?
✅ Voir le corrigé
Une bonne phrase de passe de 4 mots dépasse facilement 20 caractères, souvent 25 à 30 — largement au-dessus des 12 caractères minimum recommandés par l’ANSSI. Vérifiez surtout que les mots n’ont aucun lien entre eux et ne renvoient pas à votre vie (prénoms, ville, dates). Si vous obtenez moins de 16 caractères, ajoutez un cinquième mot.
Exercice 6 — Le gestionnaire ne remplit pas. Sophie clique sur un lien reçu par e-mail « Votre espace impôts — vérification requise ». La page ressemble au site officiel, mais le gestionnaire refuse de remplir automatiquement. Que doit-elle en conclure ?
✅ Voir le corrigé
C’est un signal d’alerte majeur. Le gestionnaire compare l’adresse réelle de la page à celle enregistrée : s’il refuse de remplir, c’est que l’adresse ne correspond pas — très probablement une fausse page d’hameçonnage. Sophie ne saisit rien à la main, ferme l’onglet, et se rend elle-même sur le site officiel en tapant l’adresse. Le refus du gestionnaire vient de lui éviter un vol d’identifiants.
💡 Pour aller plus loin dans l’entraînement. Reprenez la liste de vos 10 comptes les plus sensibles et vérifiez, pour chacun : mot de passe long et unique ? double authentification active ? présent dans le bon coffre ? C’est l’audit express que tout cabinet devrait faire deux fois par an.
🚀 Aller plus loin
Le réflexe qui coûte deux secondes
Le geste le plus rentable de toute la cybersécurité tient en deux touches : verrouiller sa session dès qu’on s’éloigne du poste. Personne ne peut alors lire un e-mail, ouvrir un dossier client ou consulter le coffre resté déverrouillé.
Vers un monde sans mot de passe : les clés d’accès
La prochaine étape, déjà disponible sur de nombreux services, s’appelle la clé d’accès (passkey). Au lieu d’un mot de passe, votre appareil prouve votre identité par une empreinte, un visage ou un code d’appareil, sans qu’aucun secret ne circule ni ne puisse être hameçonné. Les gestionnaires modernes savent déjà stocker ces clés d’accès. Ce n’est pas encore partout, mais c’est la direction recommandée pour les années à venir.
Trois passerelles vers les leçons suivantes
- Un mot de passe unique et long, c’est la base — mais il faut lui ajouter une seconde serrure : c’est l’objet de la leçon « La double authentification partout », qui rend un mot de passe volé inutilisable seul.
- Même parfaitement protégé, un cabinet doit pouvoir tout reconstruire après un incident : voir la leçon « Sauvegardes : la règle 3-2-1 ».
- Enfin, la plupart des vols de mots de passe passent par l’hameçonnage : apprendre à le repérer complète utilement cette leçon.
💡 Le kit d’urgence du dirigeant. Préparez, une fois pour toutes, une enveloppe scellée contenant le mot de passe maître et le code de récupération du gestionnaire, rangée dans un coffre physique. En cas d’empêchement (maladie, accident), un proche de confiance ou l’associé peut reprendre la main sur les accès vitaux du cabinet. C’est du bon sens, rarement anticipé.
🔑 L’essentiel à retenir
- La longueur prime sur la complexité : une phrase de 4 mots sans lien bat un mot court et tarabiscoté.
- La règle d’or : un compte = un mot de passe unique. Contre les fuites, seule l’unicité protège.
- Le carnet, le Post-it et le fichier « codes » sont à bannir : non chiffrés, non sauvegardés, ils poussent à la réutilisation.
- Un gestionnaire de mots de passe ne vous laisse retenir qu’un seul secret : le mot de passe maître.
- Ce mot de passe maître ne se récupère pas : notez-le en lieu sûr et prévoyez un kit de récupération dès le départ.
- Le coffre partagé d’équipe remplace les mots de passe envoyés par e-mail : accès par personne, révocation en un clic, conformité RGPD.
- On ne change pas ses mots de passe par simple routine, mais dès qu’il y a une raison (fuite, soupçon, départ).
- On ne saisit jamais ses identifiants sur une page atteinte via un lien reçu ; le gestionnaire qui refuse de remplir est un filet anti-hameçonnage.
- Les questions secrètes se traitent comme des mots de passe : réponses inventées, stockées dans le coffre.
- Ajoutez toujours une double authentification sur les comptes sensibles (leçon suivante).
📖 Glossaire
| Terme | Définition |
|---|---|
| Phrase de passe | Mot de passe formé de plusieurs mots sans lien, long et mémorisable par l’image. |
| Gestionnaire de mots de passe | Coffre-fort numérique chiffré qui génère, retient et remplit vos identifiants. |
| Mot de passe maître | L’unique secret qui ouvre le coffre ; il ne se récupère pas s’il est perdu. |
| Chiffrement | Transformation des données en suite illisible sans la clé de déchiffrement. |
| Connaissance nulle | Principe où le fournisseur ne peut pas lire vos données, même piraté. |
| Fuite de données | Vol de la base d’un site, exposant e-mails et mots de passe des utilisateurs. |
| Rejeu d’identifiants | Essai automatique d’un couple e-mail / mot de passe volé sur d’autres services. |
| Unicité | Le fait d’avoir un mot de passe différent pour chaque compte. |
| Hameçonnage | Faux message conduisant à une fausse page pour voler vos identifiants. |
| Double authentification | Ajout d’une seconde preuve d’identité en plus du mot de passe (leçon suivante). |
| Coffre partagé | Espace commun du gestionnaire pour les accès collectifs, avec droits par personne. |
| Générateur | Fonction qui crée un mot de passe long et aléatoire à la demande. |
| Clé d’accès (passkey) | Preuve d’identité par l’appareil (empreinte, visage), sans mot de passe à taper. |
| RGPD | Règlement européen imposant des mesures appropriées pour protéger les données personnelles. |
❓ Questions fréquentes
Mettre tous mes mots de passe au même endroit, n’est-ce pas dangereux ?
C’est la question la plus fréquente. Le coffre est chiffré et protégé par votre mot de passe maître et une double authentification : le concentrer est bien plus sûr que de disperser des dizaines de mots de passe faibles réutilisés. Le vrai « panier percé », c’est le fichier Excel ou le même mot de passe partout.
Et si le fournisseur du gestionnaire se fait pirater ?
Grâce au chiffrement à connaissance nulle, le fournisseur ne stocke qu’un coffre illisible sans votre mot de passe maître. Un pirate qui volerait ses serveurs récupérerait des données chiffrées inexploitables — à condition que votre mot de passe maître soit long et unique, ce qui rend cette leçon si importante.
Le gestionnaire intégré à mon navigateur suffit-il ?
Pour un particulier, c’est déjà bien mieux que rien. Pour un cabinet, une application dédiée apporte le partage d’équipe, la révocation, les alertes de fuite et une meilleure séparation pro/perso. Le choix dépend de votre besoin de partage (Tab. 3).
Combien de temps pour équiper un cabinet de 4 personnes ?
Comptez une demi-journée de mise en route (installation, coffres partagés, comptes sensibles), puis une à deux semaines pour migrer tous les comptes au fil de l’eau. L’essentiel — messagerie, banque, outils métier — se sécurise dès le premier jour.
Faut-il payer ?
Il existe d’excellents outils gratuits pour un usage individuel. Les fonctions d’équipe (coffres partagés, gestion des droits, journal) relèvent en général d’un abonnement pro, de quelques euros par personne et par mois — négligeable au regard du risque évité.
Comment être sûr de ne pas oublier mon mot de passe maître ?
Choisissez une phrase de passe imagée, écrivez-la une fois sur papier rangé en lieu sûr, et saisissez-la vous-même pendant quelques jours au lieu de la coller : la mémoire s’installe vite. Conservez le kit de récupération fourni par l’outil.
Où trouver de l’aide officielle en cas de problème ?
Les deux références publiques françaises sont l’ANSSI (guides et recommandations) et cybermalveillance.gouv.fr (assistance aux victimes, diagnostic, mise en relation avec des prestataires de proximité). Les deux sont gratuites.