La plupart des comptes piratés ne le sont pas à cause d’un génie de l’informatique tapant frénétiquement sur son clavier. Ils le sont parce que le mot de passe était trop court, trop prévisible, ou parce qu’il servait déjà ailleurs. La bonne nouvelle, c’est que quelques habitudes simples suffisent à éliminer la grande majorité de ce risque. Cet article vous explique lesquelles.
Comment un mot de passe est réellement cassé
Pour bien se protéger, il faut comprendre ce qu’on affronte. Les attaques les plus courantes sont étonnamment mécaniques :
- L’attaque par dictionnaire : un programme teste des listes de mots courants et de mots de passe déjà connus. C’est rapide et redoutablement efficace.
- L’attaque par force brute : le programme essaie toutes les combinaisons possibles. Le temps nécessaire dépend directement de la longueur.
- Le bourrage d’identifiants : après une fuite sur un site, les identifiants volés sont testés automatiquement sur des dizaines d’autres services.
- L’hameçonnage : on ne casse rien du tout — on vous demande simplement votre mot de passe via un faux site.
Retenez surtout le troisième point. C’est lui qui explique pourquoi réutiliser un mot de passe est si dangereux : une seule fuite chez un petit site oublié peut ouvrir votre messagerie, et donc tout le reste.
La longueur compte plus que la complexité
On a longtemps répété qu’il fallait des symboles, des majuscules et des chiffres. Ce conseil a produit des mots de passe du type P@ssw0rd! — difficiles à retenir pour un humain, et faciles à deviner pour une machine, parce que les substitutions (a→@, o→0) font partie des premières choses testées.
Le facteur vraiment déterminant est la longueur. Chaque caractère supplémentaire multiplie le nombre de combinaisons possibles. D’où l’idée de la phrase de passe : plusieurs mots sans rapport entre eux, mis bout à bout.
| Type | Exemple | Problème ou avantage |
|---|---|---|
| Mot courant | bonjour | Cassé instantanément |
| Mot avec substitutions | b0nj0ur! | Prévisible, testé en priorité |
| Données personnelles | Marie1985 | Souvent trouvable sur les réseaux sociaux |
| Phrase de passe | girafe-carton-nuage-vélo | Longue, mémorisable, très solide |
Attention toutefois : la phrase doit être composée de mots sans lien logique. Une citation célèbre ou des paroles de chanson figurent déjà dans les dictionnaires d’attaque.
Les erreurs les plus fréquentes
- Réutiliser le même mot de passe sur plusieurs sites — de loin la plus grave.
- Utiliser des variantes du même mot de passe : ajouter 1, 2, 3 à la fin ne trompe personne.
- Intégrer des informations personnelles : prénom des enfants, date de naissance, nom du chien.
- Les noter sur un papier collé à l’écran, ou dans un fichier texte non protégé.
- Les partager par message ou par courriel, qui ne sont pas des canaux sûrs.
Le gestionnaire de mots de passe
Il y a une contradiction évidente dans tout ce qui précède : on demande des mots de passe longs, uniques et différents pour des dizaines de comptes. Personne ne peut mémoriser cela. C’est exactement le problème que résout un gestionnaire de mots de passe.
Le principe est simple : le logiciel génère et stocke un mot de passe unique et aléatoire pour chaque site, dans un coffre chiffré. Vous ne retenez qu’un seul mot de passe maître — celui-là doit être une longue phrase de passe, et il ne doit servir à rien d’autre.
Une objection revient souvent : « mettre tous ses œufs dans le même panier, n’est-ce pas risqué ? » La comparaison honnête n’est pas avec un système parfait, mais avec la situation réelle : le même mot de passe médiocre réutilisé partout. Un coffre chiffré est nettement plus sûr que cela. Bonus non négligeable : le gestionnaire ne remplit pas automatiquement vos identifiants sur un faux site, ce qui vous protège aussi de l’hameçonnage.
L’authentification à deux facteurs
Même excellent, un mot de passe reste un secret unique. S’il fuit, le compte tombe. L’authentification à deux facteurs (souvent abrégée 2FA) ajoute une seconde preuve d’identité, d’une nature différente.
Les facteurs se classent en trois familles :
- Ce que vous savez : un mot de passe, un code PIN.
- Ce que vous possédez : un téléphone, une clé de sécurité physique.
- Ce que vous êtes : une empreinte digitale, votre visage.
La 2FA en combine deux issus de familles différentes. Résultat : un attaquant qui possède votre mot de passe se retrouve bloqué, parce qu’il n’a pas votre téléphone entre les mains.
Toutes les méthodes ne se valent pas
| Méthode | Niveau de sécurité | Remarque |
|---|---|---|
| Code par SMS | Faible à moyen | Vulnérable au détournement de carte SIM |
| Application d’authentification | Bon | Codes générés localement, fonctionne hors ligne |
| Notification push | Bon | Pratique ; ne validez jamais une demande inattendue |
| Clé de sécurité physique | Très bon | Résiste à l’hameçonnage |
Le SMS est le maillon le plus faible, mais soyons clairs : la 2FA par SMS vaut infiniment mieux que pas de 2FA du tout. Si c’est la seule option proposée par un service, activez-la.
Pensez enfin aux codes de secours. La plupart des services en fournissent au moment de l’activation. Conservez-les hors ligne, dans un endroit sûr : ce sont eux qui vous sauveront le jour où vous perdrez votre téléphone.
Par où commencer concrètement
Inutile de tout refaire en une soirée. Procédez par ordre d’importance :
- Votre adresse électronique principale d’abord. C’est la clé de tout le reste : celui qui contrôle votre messagerie peut réinitialiser vos autres comptes.
- Ensuite les comptes bancaires et financiers.
- Puis les réseaux sociaux et les sites de commerce enregistrant vos cartes.
- Installez un gestionnaire et remplacez les mots de passe réutilisés au fil de l’eau.
- Activez la 2FA partout où elle est proposée.
Un dernier point qui a changé : on conseillait autrefois de changer son mot de passe tous les trois mois. Cette recommandation a été largement abandonnée, car elle poussait les gens à créer des variantes faibles et prévisibles. Aujourd’hui, le conseil est de changer un mot de passe lorsqu’il y a une raison de le faire — une fuite connue, un doute, un partage.
Conclusion
Trois règles couvrent l’essentiel : des mots de passe longs plutôt que compliqués, un mot de passe unique par service grâce à un gestionnaire, et l’authentification à deux facteurs sur les comptes qui comptent. Ce sont des gestes simples, et ils suffisent à vous placer très au-dessus de la cible facile que recherchent les attaquants.
Si vous souhaitez approfondir ces sujets et comprendre les bases de la protection des données, il vaut la peine d’explorer les cours gratuits de sécurité des informations et d’informatique disponibles sur Cursa.
