Mots de passe : le gestionnaire vaut mieux que votre mémoire
Pourquoi les règles de complexité ont échoué, ce qui les remplace, et comment démarrer un gestionnaire sans y passer le week-end.
· 1 min de lecture
Vingt ans de règles de complexité ont produit Bonjour2024! sur quarante sites
différents. La sécurité n'a pas progressé, l'irritation si.
Le vrai problème n'est pas la complexité, c'est la réutilisation
Un site marchand se fait pirater, votre email et votre mot de passe circulent, et les attaquants les rejouent automatiquement partout ailleurs. C'est le credential stuffing, et il représente une part énorme des comptes compromis.
Un mot de passe long mais unique par site vaut mieux qu'un mot de passe alambiqué réutilisé cinq fois.
Ce qui remplace les anciennes règles
Les recommandations actuelles, ANSSI comprise, tiennent en trois points :
- de la longueur plutôt que des symboles exotiques, une phrase de passe fait très bien l'affaire ;
- un mot de passe unique par service ;
- pas de renouvellement forcé tous les 90 jours, qui pousse simplement à incrémenter un chiffre à la fin.
Le gestionnaire, en pratique
Il génère, retient et remplit. Vous ne retenez plus qu'une seule phrase de passe, celle du coffre, protégée par une double authentification.
Démarrage réaliste, sans y passer le week-end :
- Installer le gestionnaire et créer le coffre
- Y mettre seulement les cinq comptes critiques : messagerie, banque, hébergeur, administration du site, comptabilité
- Laisser le reste s'ajouter naturellement, au fil des connexions
L'objection habituelle
« Tout mettre au même endroit, c'est risqué. » Le coffre est chiffré localement, avec une clé que le fournisseur ne détient pas. Le risque réel, mesurable et quotidien, reste la réutilisation de mots de passe, pas le coffre.
En entreprise
Le sujet se traite avec le MFA et le SSO : un seul point d'authentification fort, des accès révocables en un clic quand quelqu'un part. Comptez 260 € pour la mise en place, sensibilisation des utilisateurs comprise.