Un seul mot de passe pour tout ? L'erreur n°2, et comment cloisonner ses mots de passe

Si utiliser une seule adresse email pour tout est l'erreur n°1, réutiliser le même mot de passe partout en est le pendant exact, et sans doute la faille la plus exploitée au monde. C'est elle qui transforme une fuite isolée chez un service quelconque en piratage en cascade de tous vos comptes.

Pourquoi réutiliser un mot de passe est-il si dangereux ?

Parce qu'un mot de passe volé chez un service devient une clé essayée partout ailleurs. Si votre couple email + mot de passe d'un réseau social fuite, ce n'est pas seulement ce compte qui est en danger : si vous avez utilisé le même mot de passe pour votre banque ou votre messagerie, un attaquant peut y accéder directement. Cette technique, où des bots tentent en masse les couples volés sur des centaines de sites, s'appelle le credential stuffing, et elle est d'une efficacité redoutable précisément parce que la réutilisation est si répandue.

Qu'est-ce que le cloisonnement des mots de passe ?

C'est le principe d'un mot de passe unique par compte, pour qu'aucune clé volée n'en ouvre une autre. Si chaque compte a son propre mot de passe, une fuite reste confinée à ce seul service : l'attaquant repart avec une clé qui n'ouvre qu'une porte, déjà refermée dès que vous l'avez changée. C'est la défense la plus efficace qui existe contre le credential stuffing, et elle ne dépend de personne d'autre que vous.

Comment retenir des dizaines de mots de passe uniques ?

Soyons honnêtes : personne ne retient quarante mots de passe uniques et complexes. C'est précisément pour cela que le cloisonnement des mots de passe est impossible à tenir manuellement au-delà de quelques comptes, et que le gestionnaire de mots de passe n'est pas un luxe mais la seule solution réaliste. Il génère un mot de passe unique et fort pour chaque compte, les mémorise pour vous, et ne vous demande de retenir qu'un seul mot de passe maître.

Comment savoir si je réutilise un mot de passe compromis ?

C'est le rôle de notre détecteur de réutilisation. En vous appuyant sur notre vérificateur de mots de passe (qui fonctionne par k-anonymat, sans que votre mot de passe ne quitte votre appareil), vous pouvez savoir si un mot de passe a déjà fuité. Et si vous avez attesté l'unicité d'un mot de passe ailleurs dans votre tableau de bord, nous vous alertons en douceur en cas de contradiction. Cette attestation d'unicité fait monter votre Score d'Hygiène : plus vous cloisonnez, meilleure est votre note, et plus vous êtes réellement protégé.