Adopter un gestionnaire de mots de passe

Épisode 1 : un mot de passe unique par compte. Épisode 5 : c’est la seule protection contre les fuites. Le problème, c’est qu’on compte facilement plus d’une centaine de comptes en ligne. Retenir cent mots de passe longs et différents est impossible.

Alors on triche : le même partout, avec une variante. Un carnet ? Rangé chez vous, il vaut mieux que la réutilisation, mais il ne vous suit pas sur le téléphone, ne génère rien et ne remplit rien. La vraie solution est un gestionnaire de mots de passe.

Ce que fait un gestionnaire

• Il génère un mot de passe long et aléatoire pour chaque site.
• Il le remplit tout seul au moment de vous connecter.
• Il synchronise le tout entre l’ordinateur et le téléphone.
• Il vous protège du phishing : il ne remplit que sur l’adresse exacte enregistrée. Sur une imitation parfaite, il ne propose rien — là où votre œil aurait pu se faire avoir.

Vous n’avez plus qu’un seul mot de passe à retenir : le mot de passe maître, qui ouvre le coffre. Il doit être long, unique, et n’exister nulle part ailleurs que dans votre tête — et sur un papier rangé chez vous. Une phrase de cinq ou six mots tirés au hasard, comme à l’épisode 1, fait très bien l’affaire.

Pourquoi l’éditeur lui-même ne peut rien lire

C’est la question que tout le monde se pose : confier tous ses mots de passe à une entreprise, n’est-ce pas risqué ? La réponse tient à l’endroit où se fait le chiffrement.

Le coffre est chiffré sur votre appareil, avant de partir vers les serveurs. L’éditeur ne stocke qu’un bloc illisible et ne connaît jamais votre mot de passe maître. On parle de chiffrement « à connaissance nulle ». Si ses serveurs se font pirater, les voleurs emportent des coffres qu’ils ne peuvent pas ouvrir — à condition que votre mot de passe maître soit solide.

Le choix d’OWL : Bitwarden

Les gestionnaires intégrés à Chrome, Android ou iPhone sont déjà bien mieux que la réutilisation. Leur limite : ils vous attachent à un écosystème, et tout repose sur votre compte Google ou Apple. Pour un outil spécialisé, indépendant, qui fonctionne partout, OWL recommande Bitwarden :

• son code est public et régulièrement audité par des experts indépendants ;
• son offre gratuite couvre un nombre illimité de mots de passe et d’appareils ;
• il fonctionne sur Windows, macOS, Linux, iPhone, Android et dans tous les navigateurs ;
• il range aussi les clés d’accès (passkeys) vues à l’épisode 1.

Autre option	Pour qui
KeePassXC	Ceux qui veulent un simple fichier chiffré sur leur ordinateur, sans aucun serveur
Gestionnaire Apple ou Google	Ceux qui restent dans un seul univers, et veulent le plus simple
Vaultwarden	Les plus motivés, qui hébergent leur coffre chez eux : voir la formation TrueNAS

La mise en place, pas à pas

1. Créez votre compte depuis le site officiel, bitwarden.com, en choisissant votre phrase de passe maîtresse.
2. Activez la double authentification du coffre, et notez sur papier le code de récupération fourni. Gardez ce second facteur hors du coffre : sinon, il faut ouvrir le coffre pour pouvoir ouvrir le coffre.
3. Installez l’extension dans votre navigateur et l’application sur votre téléphone.
4. Importez les mots de passe enregistrés dans votre navigateur, puis supprimez-les du navigateur : un seul endroit, c’est plus sûr.
5. Changez vos mots de passe, en commençant par la boîte mail et la banque, avec le générateur. Les autres suivront au fil de vos connexions.

Le plan de secours

Un coffre inaccessible, c’est tous vos comptes perdus d’un coup. Trois précautions, à prendre dès le premier jour :

• Une copie papier du mot de passe maître et du code de récupération, rangée chez vous en lieu sûr. Jamais dans un e-mail ni dans une note du téléphone.
• Un accès d’urgence pour un proche de confiance, si votre gestionnaire le propose : il pourra récupérer vos accès si quelque chose vous arrive.
• Un export chiffré du coffre de temps en temps, sur un support débranché, comme n’importe quelle sauvegarde.