Mots de passe et passkeys : sécuriser ses comptes
La réutilisation d'un même mot de passe sur plusieurs sites reste l'une des causes les plus fréquentes de piratage de compte. Trois outils règlent l'essentiel du problème : un gestionnaire de mots de passe, la double authentification et les passkeys.
Équipe éditoriale Kayzen Security4 min de lecture
Ce qui fait un bon mot de passe
La longueur compte plus que la complexité apparente. Une phrase de passe de plusieurs mots sans lien entre eux est à la fois longue et mémorisable. La CNIL publie une recommandation détaillée sur les mots de passe (délibération n° 2022-100 du 21 juillet 2022), adaptée selon qu'ils sont utilisés seuls ou avec un second facteur.
- Unique pour chaque compte.
- Long : une phrase de passe ou une suite générée aléatoirement.
- Jamais tiré d'informations personnelles (prénoms, dates, nom de l'animal).
- Changé sans attendre en cas de fuite connue ou de doute.
Le gestionnaire de mots de passe
Un gestionnaire stocke vos identifiants dans un coffre chiffré, protégé par un mot de passe maître unique. Il génère des mots de passe aléatoires, les remplit automatiquement et ne les propose que sur le bon site, ce qui limite aussi le risque d'hameçonnage.
Choisissez un outil reconnu, protégez le mot de passe maître avec soin et activez la double authentification sur le coffre lui-même. En entreprise, un gestionnaire d'équipe permet de partager des accès sans les envoyer par e-mail.
La double authentification
- Application d'authentification ou clé de sécurité physique : les options les plus sûres.
- Code par SMS : mieux que rien, mais plus exposé (détournement de ligne, hameçonnage en temps réel).
- Ne communiquez jamais un code reçu à quelqu'un qui vous le demande, même s'il se présente comme votre banque ou un support technique.
- Gardez les codes de secours dans un endroit sûr, hors de l'appareil principal.
Les passkeys : la suite logique
Une passkey (clé d'accès) repose sur les standards de la FIDO Alliance et du W3C. Votre appareil crée une paire de clés propre à chaque site : la clé privée n'est jamais transmise au site et reste dans votre appareil ou votre gestionnaire, qui la synchronise de façon chiffrée ; vous la déverrouillez avec votre empreinte, votre visage ou votre code.
Comme la clé est liée au vrai nom de domaine, un faux site ne peut pas l'utiliser : c'est une protection forte contre l'hameçonnage. Activez-les quand un service le propose, en conservant un moyen de récupération.
En entreprise
- Imposer la double authentification sur la messagerie, les accès à distance et les outils d'administration.
- Fournir un gestionnaire de mots de passe d'équipe plutôt que des tableurs partagés.
- Désactiver rapidement les comptes des personnes qui partent.
- Utiliser des mots de passe administrateurs locaux différents sur chaque poste.
Sources officielles
- CNIL (nouvel onglet) — Mots de passe : une nouvelle recommandation pour maîtriser sa sécurité
- FIDO Alliance (nouvel onglet) — Passkeys (clés d'accès)
- Cybermalveillance.gouv.fr (nouvel onglet) — Assistance et prévention en sécurité numérique (fiches réflexes, prestataires ExpertCyber)
Les ressources citées sont publiées par leurs auteurs, dans leur langue d'origine. Kayzen n'est affilié à aucun de ces organismes.
Ce guide est informatif et général. Il ne remplace ni un conseil juridique ni l'intervention d'un professionnel de la sécurité informatique.