Gestionnaire de mots de passe : pourquoi et lequel

C'est le sujet sur lequel l'écart entre ce que les gens font et ce qu'il faudrait faire est le plus grand. Et c'est aussi celui où une heure d'effort produit le plus grand gain de sécurité.

Le vrai problème, en une phrase

Un bon mot de passe doit être long, unique et imprévisible.

Long, parce que la longueur est ce qui résiste au calcul. Unique, parce qu'une fuite chez un site ne doit pas ouvrir les trente-neuf autres. Imprévisible, parce que votre date de naissance et le nom de votre chat sont dans toutes les listes d'attaque.

Réunissez ces trois conditions sur quarante comptes et vous obtenez quarante chaînes de caractères aléatoires de vingt signes. Personne ne peut retenir cela. Donc il faut déléguer la mémoire à un outil.

Comment fonctionne un gestionnaire

Le principe est simple. Un coffre chiffré contient tous vos identifiants. Vous retenez un seul mot de passe, le mot de passe maître, qui sert à le déverrouiller.

Le point technique qui compte s'appelle l'architecture à connaissance nulle : la clé de déchiffrement est dérivée de votre mot de passe maître sur votre appareil, et ne part jamais sur les serveurs de l'éditeur. Celui-ci héberge un bloc de données qu'il est incapable de lire.

C'est ce qui rend acceptable de confier ses clés à une société : elle ne les détient pas réellement.

Ce que cela change au quotidien

Le gestionnaire génère un mot de passe aléatoire différent pour chaque site, puis le remplit automatiquement. Vous ne le voyez jamais, vous ne le tapez jamais, vous ne le retenez pas.

Effet de bord agréable : le remplissage automatique protège du hameçonnage. Un gestionnaire remplit un identifiant uniquement sur le domaine exact auquel il est associé. Sur un faux site qui imite parfaitement votre banque, il ne proposera rien. Ce silence est un signal d'alarme.

Les trois critères qui décident

Le remplissage automatique doit fonctionner. C'est le critère numéro un, et on en parle rarement. Un gestionnaire qui échoue une fois sur trois finit abandonné, et vous revenez à vos mauvaises habitudes. La sécurité que vous n'utilisez pas vaut zéro.

L'architecture doit être à connaissance nulle. Tous les acteurs sérieux le sont. Si ce n'est pas écrit clairement, passez votre chemin.

Il doit couvrir tous vos appareils. Un coffre disponible sur l'ordinateur mais pas sur le téléphone ne tiendra pas deux semaines.

Comment choisir entre les trois grands

Bitwarden si le logiciel libre compte pour vous et que l'interface un peu austère ne vous gêne pas. C'est aussi la meilleure offre gratuite du marché.

NordPass si vous voulez que cela fonctionne sans y penser. C'est celui que j'utilise, et le remplissage automatique est la raison. Voir mon avis sur NordPass.

1Password si vous gérez des accès pour une équipe ou une entreprise.

La migration, en une heure

C'est l'étape qui fait reculer, alors voici la méthode.

1. Installez le gestionnaire sur votre ordinateur et votre téléphone, avec l'extension de navigateur.
2. Créez un mot de passe maître solide : quatre ou cinq mots sans rapport entre eux, faciles à retenir, très difficiles à casser. Pas une date, pas un prénom.
3. Imprimez la clé de récupération et rangez-la avec vos papiers importants. Faites-le maintenant, pas plus tard.
4. Importez les mots de passe de votre navigateur. Tous les gestionnaires le proposent en quelques clics.
5. Videz le trousseau du navigateur une fois l'import vérifié.
6. Changez les mots de passe des comptes critiques d'abord : messagerie, banque, comptes Apple ou Google. Votre messagerie en premier, car elle permet de réinitialiser tous les autres.
7. Changez le reste au fil de l'eau, quand vous vous connectez à un site. N'essayez pas de tout faire en une soirée.

Ce qui complète le gestionnaire

Un gestionnaire protège vos identifiants. Il ne protège pas contre le vol d'une session déjà ouverte ni contre une fuite chez le site lui-même.

Pour compléter :

• la double authentification sur les comptes importants, qui bloque une connexion même avec le bon mot de passe
• la vérification des fuites de données, pour savoir si un de vos comptes est déjà compromis
• un VPN sur les réseaux que vous ne contrôlez pas

Pour aller plus loin

• Comment choisir un gestionnaire de mots de passe
• Mon avis sur NordPass
• Choisir entre NordPass, Bitwarden et 1Password