Mots de passe et fuites : ce qui protège vraiment vos comptes

D'où viennent les fuites

Une fuite ne vient presque jamais de votre ordinateur : elle vient des sites où vous aviez un compte. Un service se fait pirater, sa base d'utilisateurs circule, et votre adresse mail s'y retrouve avec le mot de passe que vous y utilisiez.

Le danger n'est pas la fuite elle-même, c'est la réutilisation : si le même mot de passe servait sur dix sites, un seul suffit à ouvrir les neuf autres. C'est le mécanisme derrière la plupart des comptes piratés que je vois.

Un bon mot de passe aujourd'hui

Deux règles suffisent, et elles ont changé par rapport à ce qu'on répétait il y a dix ans :

• Long avant tout : une phrase de quatre ou cinq mots sans lien entre eux vaut mieux qu'un mot court bourré de symboles.
• Unique sur chaque site : c'est ce qui empêche une fuite de se propager.

Changer de mot de passe « tous les trois mois par sécurité » n'apporte rien s'il est long et unique : cette vieille consigne pousse surtout à des variantes prévisibles, et elle est aujourd'hui déconseillée.

La double authentification

La double authentification (ou « 2FA ») ajoute une deuxième barrière après le mot de passe : un code temporaire, une notification à valider, ou une clé physique. Même si votre mot de passe fuit, l'intrus se heurte à cette barrière.

Tous les seconds facteurs ne se valent pas : une application d'authentification ou une clé physique protègent mieux que le SMS, qui peut être détourné. Activez-la au minimum sur la boîte mail, la banque et les réseaux sociaux.

Le gestionnaire de mots de passe

« Un mot de passe différent partout » est impossible à tenir de tête : le gestionnaire est la seule réponse réaliste. Le principe est simple : vous retenez une seule phrase maîtresse, il retient le reste et le remplit à votre place.

Trois précautions : une phrase maîtresse longue et notée nulle part en clair, la double authentification sur le gestionnaire lui-même, et une procédure de secours (code de récupération imprimé, rangé ailleurs) pour ne jamais rester dehors.

Vérifier ses propres fuites

Des services publics de vérification recensent les bases compromises à partir d'une adresse mail. Le résultat ne doit pas affoler : il sert surtout à savoir quels mots de passe changer en priorité. Une adresse qui apparaît dans une vieille fuite n'est un problème que si le mot de passe d'alors sert encore quelque part.

Quand un mot de passe a déjà fuité

Si vous recevez des codes non demandés, des alertes de connexion, ou le fameux mail de chantage qui cite un ancien mot de passe, la marche à suivre exacte — dans quel ordre changer quoi — est dans la fiche mot de passe volé ou fuité : que faire.

Et si la fuite a déjà servi à entrer dans un compte, reportez-vous au guide compte en ligne piraté.

Questions secrètes et codes de secours

Les « questions de sécurité » (nom du premier animal, ville de naissance) sont un point faible : les réponses se trouvent souvent sur les réseaux sociaux. Traitez-les comme des mots de passe : inventez des réponses fausses mais mémorisables, notées dans votre gestionnaire. Et imprimez les codes de secours fournis par vos comptes importants : ce sont eux qui vous sauvent le jour où vous perdez votre téléphone.

Vers la fin des mots de passe ?

Les clés d'accès (ou « passkeys ») commencent à remplacer le mot de passe : on déverrouille le compte avec l'empreinte ou le visage du téléphone, sans rien à retenir ni à taper, et donc rien à faire fuiter. Là où elles sont proposées, elles sont plus sûres que le couple mot de passe + SMS ; on peut les adopter progressivement, service par service.

Questions fréquentes

Le SMS est-il un bon second facteur ?

C'est mieux que rien, mais il peut être détourné. Une application d'authentification ou une clé physique protègent nettement mieux ; réservez le SMS aux services qui n'offrent rien d'autre.

Un gestionnaire de mots de passe, n'est-ce pas risqué de tout regrouper ?

Le risque existe, mais il est plus faible que celui de réutiliser le même mot de passe partout. Avec une phrase maîtresse longue et la double authentification sur le gestionnaire, c'est aujourd'hui la solution la plus sûre pour un particulier.

Dois-je changer mes mots de passe régulièrement ?

Non, pas « par principe ». On change un mot de passe quand il a fuité ou qu'on a un doute ; le reste du temps, un mot de passe long et unique n'a pas besoin d'être renouvelé.