Mots de passe et fuites : ce qui protège vraiment vos comptes

Comment protéger ses comptes après une fuite de données ?

Changez le mot de passe du service concerné, puis tous ceux où il était réutilisé, en commençant par la boîte mail. Activez la double authentification sur les comptes sensibles : elle protège même si le mot de passe circule. Un gestionnaire permet ensuite d'avoir un mot de passe unique par site sans rien retenir.

D'où viennent les fuites

Une fuite ne vient presque jamais de votre ordinateur : elle vient des sites où vous aviez un compte. Un service se fait pirater, sa base d'utilisateurs circule, et votre adresse mail s'y retrouve avec le mot de passe que vous y utilisiez.

Le danger n'est pas la fuite elle-même, c'est la réutilisation : si le même mot de passe servait sur dix sites, un seul suffit à ouvrir les neuf autres. C'est le mécanisme derrière la plupart des comptes piratés que je vois.

Un bon mot de passe aujourd'hui

Deux règles suffisent, et elles ont changé par rapport à ce qu'on répétait il y a dix ans :

• Long avant tout : une phrase de quatre ou cinq mots sans lien entre eux vaut mieux qu'un mot court bourré de symboles.
• Unique sur chaque site : c'est ce qui empêche une fuite de se propager.

Changer de mot de passe « tous les trois mois par sécurité » n'apporte rien s'il est long et unique : cette vieille consigne pousse surtout à des variantes prévisibles, et elle est aujourd'hui déconseillée.

La double authentification

La double authentification (ou « 2FA ») ajoute une deuxième barrière après le mot de passe : un code temporaire, une notification à valider, ou une clé physique. Même si votre mot de passe fuit, l'intrus se heurte à cette barrière.

Tous les seconds facteurs ne se valent pas : une application d'authentification ou une clé physique protègent mieux que le SMS, qui peut être détourné. Activez-la au minimum sur la boîte mail, la banque et les réseaux sociaux.

Le gestionnaire de mots de passe

« Un mot de passe différent partout » est impossible à tenir de tête : le gestionnaire est la seule réponse réaliste. Le principe est simple : vous retenez une seule phrase maîtresse, il retient le reste et le remplit à votre place.

Trois précautions : une phrase maîtresse longue et notée nulle part en clair, la double authentification sur le gestionnaire lui-même, et une procédure de secours (code de récupération imprimé, rangé ailleurs) pour ne jamais rester dehors.

Vérifier ses propres fuites

Des services publics de vérification recensent les bases compromises à partir d'une adresse mail. Le résultat ne doit pas affoler : il sert surtout à savoir quels mots de passe changer en priorité. Une adresse qui apparaît dans une vieille fuite n'est un problème que si le mot de passe d'alors sert encore quelque part.

Quand un mot de passe a déjà fuité

Si vous recevez des codes non demandés, des alertes de connexion, ou le fameux mail de chantage qui cite un ancien mot de passe, la marche à suivre exacte — dans quel ordre changer quoi — est dans la fiche mot de passe volé ou fuité : que faire.

Et si la fuite a déjà servi à entrer dans un compte, reportez-vous au guide compte en ligne piraté.

Questions secrètes et codes de secours

Les « questions de sécurité » (nom du premier animal, ville de naissance) sont un point faible : les réponses se trouvent souvent sur les réseaux sociaux. Traitez-les comme des mots de passe : inventez des réponses fausses mais mémorisables, notées dans votre gestionnaire. Et imprimez les codes de secours fournis par vos comptes importants : ce sont eux qui vous sauvent le jour où vous perdez votre téléphone.

Vers la fin des mots de passe ?

Les clés d'accès (ou « passkeys ») commencent à remplacer le mot de passe : on déverrouille le compte avec l'empreinte ou le visage du téléphone, sans rien à retenir ni à taper, et donc rien à faire fuiter. Là où elles sont proposées, elles sont plus sûres que le couple mot de passe + SMS ; on peut les adopter progressivement, service par service.

Changer un mot de passe, écran par écran

Le parcours est le même sur la quasi-totalité des services, et le connaître fait gagner du temps quand il y a vingt comptes à reprendre :

L'ordre de reprise des comptes

1. La messagerieElle reçoit les liens de réinitialisation de tout le reste. Tant qu'elle n'est pas à vous, rien d'autre ne tient.
2. Les comptes bancaires et de paiementPuis les espaces client qui contiennent une carte enregistrée.
3. Les comptes qui servent à se connecter ailleursGoogle, Apple, Facebook. Un seul d'entre eux ouvre souvent une dizaine de services.
4. Les réseaux sociauxIls servent à escroquer vos proches en votre nom : le délai compte.
5. Le reste, au fil de l'eauLe gestionnaire signale les comptes encore concernés à mesure que vous vous y connectez.

1. Sur la page de connexion, cliquez sur « Mot de passe oublié ». N'utilisez jamais un lien reçu par message pour ça : allez sur le site vous-même.
2. Saisissez l'identifiant demandé : selon le service, une adresse e-mail, un nom d'utilisateur ou un numéro de téléphone.
3. Relevez le lien ou le code de vérification dans votre boîte mail — pensez au dossier spam, où atterrit une bonne part de ces messages.
4. Choisissez le nouveau mot de passe. Puis, quand l'option existe, cochez « déconnecter les autres sessions » : sans elle, un accès déjà ouvert ailleurs survit au changement. C'est l'étape la plus souvent manquée.
5. Connectez-vous à nouveau pour vérifier, et activez la double authentification dans la foulée : c'est le seul moment où vous y penserez.

Majuscules, chiffres, caractères spéciaux : ce que valent ces règles

Les formulaires exigent presque tous une majuscule, une minuscule, un chiffre et des caractères spéciaux. Ces règles datent, et elles produisent l'inverse de l'effet recherché :

• Elles poussent à des mots de passe courts et tordus — Soleil2024! — qui respectent toutes les cases et figurent dans les listes d'essai des attaquants.
• Elles rendent le mot de passe impossible à mémoriser, donc réutilisé partout, donc perdu dès la première fuite.
• Ce qui compte réellement, c'est la longueur. Une phrase de quatre mots sans rapport entre eux résiste infiniment mieux, et se retient.

Les recommandations officielles ont d'ailleurs changé en ce sens : on ne demande plus de composition imposée ni de renouvellement périodique, mais de la longueur et des mots de passe uniques. Quand un formulaire impose malgré tout ses règles, ajoutez simplement un chiffre et un signe à votre phrase — sans raccourcir.

Questions fréquentes

Le SMS est-il un bon second facteur ?

C'est mieux que rien, mais il peut être détourné. Une application d'authentification ou une clé physique protègent nettement mieux ; réservez le SMS aux services qui n'offrent rien d'autre.

Un gestionnaire de mots de passe, n'est-ce pas risqué de tout regrouper ?

Le risque existe, mais il est plus faible que celui de réutiliser le même mot de passe partout. Avec une phrase maîtresse longue et la double authentification sur le gestionnaire, c'est aujourd'hui la solution la plus sûre pour un particulier.

Dois-je changer mes mots de passe régulièrement ?

Non, pas « par principe ». On change un mot de passe quand il a fuité ou qu'on a un doute ; le reste du temps, un mot de passe long et unique n'a pas besoin d'être renouvelé.

Deux fiches complètent ce guide : comment savoir si mon adresse mail a fuité pour faire le constat, et la double authentification expliquée pour que la prochaine fuite reste sans conséquence.