Aller au contenu
Bas de Laine

La Tour aux Volets · rez-de-chaussée

L'Atelier du Serrurier · Les mots de passe, enfin réglés

Un nain forge une serrure différente pour chaque porte de votre vie, et vous confie un seul trousseau. Il refuse de faire deux fois la même clé, par principe et par fierté.

La boussole de la salle6 de liberté sur 15, et les quatre caméras

Chaque axe est noté de 0 à 3 : ce que cette salle change, comparé au village (ce que vous faites déjà), jamais comparé à la perfection.

Ce que vous gagnez en liberté

  • Garde : 2 sur 3, nettement qui tient la chose : vous, ou un tiers.
  • Juridiction : 0 sur 3, rien ne change loin d'un point unique : une banque, un État, un prestataire.
  • Monnaie : 0 sur 3, rien ne change le choix de la monnaie.
  • Discrétion : 1 sur 3, un peu moins vu ; le détail, caméra par caméra, est plus bas.
  • Prudence : 3 sur 3, changement net un risque que vous aviez déjà, réduit.

Les cinq additionnés : 6 de liberté sur 15, pour un effort de 2 sur 5.

Effort
2 sur 5
Liberté
6 de liberté sur 15
Genre de salle
Pépite : beaucoup de liberté, peu d'effort

Le prix en confort

Confort : 2 sur 3, un peu moins simple 3 : aussi simple qu'aujourd'hui ; 0 : nettement plus pénible.

Le confort ne compte pas dans la liberté : il dit ce que le geste vous coûte en simplicité. Trois tasses pleines, et vous ne sentez presque rien.

Les quatre caméras

Une caméra par observateur. Leur pose dit ce que chacune voit encore de vous, comparé au village (ce que vous faites déjà).

  • Badaud (le curieux, le voleur)

    ne voit plus rien : ne voit plus rien de ce geste, gain de discrétion 3 sur 3

  • Changeur (la banque)

    comme au village : vous voit comme au village, gain de discrétion 0 sur 3

  • Marchand (la plateforme)

    un peu moins : vous voit un peu moins, gain de discrétion 1 sur 3

  • Intendance (l'administration)

    comme au village : vous voit comme au village, gain de discrétion 0 sur 3

À gagner Voici les caméras une fois l'objectif de donjon accompli. Avant le geste, toutes vous regardent, comme au village.

Les caméras du Changeur (la banque) et de l'Intendance (l'administration) vous voient toujours ici, et c'est normal : cette salle ne s'occupe pas d'elles.

Quête Cent clés, aucune pareille

  • Le défi de la taverneparchemin fermé

    Vérifiez le mot de passe fictif « motdepasse » sur le service Pwned Passwords, puis saisissez le nombre de fuites affiché.

    Il rapporte l'écusson « Serrurier » peint, et 20 liards.

    Le geste en détail

  • Le bonus du donjonparchemin fermé

    Déclarez la force de votre phrase maîtresse : le nombre de mots, la taille de la liste et le mode de tirage (aux dés ou par un générateur). Il faut au moins 80 bits. Ne collez jamais la phrase elle-même.

    Il rapporte l'écusson « Serrurier » forgé, et 40 liards.

    Le geste en détail

Les deux objectifs sont indépendants. La Cafetière vérifie votre preuve dans votre navigateur, puis inscrit votre drapeau dans votre parchemin. Effort : 2 sur 5. Liberté gagnée : 6 sur 15.

Pas encore de parchemin ? Levez la Herse : deux minutes, un crayon. Vous en avez un ?Décachetez-le à la Herse pour voir où vous en êtes.

L’essentiel en cinq lignes

  1. Où vous êtes : dans la deuxième salle de la Tour aux Volets, la partie du site sur la vie privée.
  2. Ce que vous apprenez : pourquoi un mot de passe différent par site vous protège mieux qu’un mot de passe « compliqué ».
  3. Ce que vous faites : vous installez un gestionnaire de mots de passe, ouvert par sept mots tirés au hasard.
  4. Ce qu’il vous faut : ordinateur, téléphone, feuille et crayon. Aucun argent. Durée : une heure.
  5. Ce que vous y gagnez : une fuite sur un site n’ouvre plus que ce site.

Pourquoi cette salle, et l'histoire

Pourquoi un seul mot de passe, même « compliqué », ouvre-t-il tous vos comptes le jour où un vieux forum fuit, et comment s’en passer sans rien retenir de plus ?

Vous avez sans doute un seul mot de passe, avec des variantes. Il ouvre votre boîte mail, trois boutiques et un vieux forum. Le jour où le forum fuit, il ouvre tout le reste.

À la fin de cette salle, vous aurez :

  • un gestionnaire de mots de passe, qui retient pour vous un mot de passe aléatoire par site ;
  • une phrase maîtresse de sept mots, la seule chose à retenir ;
  • la double authentification (un code en plus du mot de passe) sur les trois comptes qui comptent ;
  • une règle : jamais de phrase de récupération crypto dans le gestionnaire (étape 6).

Ensuite, c’est plus simple qu’aujourd’hui : vous ne tapez plus vos mots de passe.

Percolozor, en voix off. J’ai longtemps eu un seul mot de passe, très difficile à deviner. Surtout pour moi.

L’histoire

En 1790, un serrurier londonien, Joseph Bramah, expose dans sa vitrine un cadenas réputé inviolable. Un écriteau promet 200 guinées, une petite fortune, à qui fabriquera l’outil capable de l’ouvrir. Le cadenas reste en vitrine pendant soixante et un ans. Personne ne l’ouvre.

En 1851, pendant l’Exposition universelle de Londres, un serrurier américain relève le défi. Il lui faut environ 51 heures de travail, réparties sur seize jours. Il touche la prime, après une dispute sur sa méthode. L’Angleterre apprend qu’une serrure parfaite n’existe pas. Il n’existe que des serrures plus ou moins coûteuses à ouvrir.

Retenez cette idée : la sécurité, c’est un coût imposé à l’autre. Cinquante et une heures pour un seul cadenas, c’est beaucoup.

Maintenant, Paul. Cas fictif, construit sur des faits réels. Paul a un mot de passe : le nom de son chat, son année de naissance et un point d’exclamation. Il l’utilise partout. En 2019, il s’inscrit sur un forum de modélisme ferroviaire. Le forum est piraté, et sa liste de comptes circule ensuite gratuitement.

Personne n’a crocheté quoi que ce soit chez Paul. Un programme a essayé son adresse et son mot de passe sur les services courants. Il est entré dans sa boîte mail. Le pirate a ensuite cliqué sur « mot de passe oublié » sur tous ses autres comptes.

Cela s’appelle le « bourrage d’identifiants » : essayer automatiquement des identifiants volés sur un site, sur beaucoup d’autres. C’est la clé trouvée sous un paillasson, essayée sur toutes les portes de la rue.

La parade : une clé différente par porte, et un trousseau que vous seul savez ouvrir.

Sire Enguerrand, le chevalier de votre compagnie, qui a le même mot de passe partout : « J’ai changé mon mot de passe : j’ai ajouté un point d’exclamation à la fin. On me dit que ça ne suffit pas, et le point d’exclamation se sent visé. »

Ce que vous faites

La recette

Six étapes, en une heure. Vous obtenez un trousseau chiffré (illisible sans votre clé), que vous seul ouvrez.

L’exemple est Bitwarden : un gestionnaire libre, gratuit pour un usage personnel, sur ordinateur, Android et iPhone. Les autres gestionnaires suivent la même recette (voir les variantes).

Ce que garde le serveur de Bitwarden : un bloc illisible

Votre coffre (l’ensemble des mots de passe rangés dans le gestionnaire) est chiffré sur votre appareil, avec une clé tirée de votre phrase maîtresse. Le serveur de Bitwarden ne garde qu’un bloc illisible.

Étape 1 : tirez votre phrase maîtresse

C’est la seule chose que vous retiendrez. Elle est tirée au hasard : vous ne la choisissez pas.

  1. Avec des dés : la liste longue de l’EFF (une association américaine de défense des libertés numériques) compte 7 776 mots, numérotés de 11111 à 66666. Lancez cinq dés, lisez les chiffres de gauche à droite, cherchez le mot. Recommencez sept fois.
  2. Avec un générateur : ouvrez le générateur de « phrase de passe » de votre gestionnaire. Demandez 7 mots, séparés par des tirets.
  3. Le résultat ressemble à ceci (exemple, ne l’utilisez pas) : pelage-tribune-cactus-ondoyer-moufle-verger-sismique. Une image absurde se retient mieux qu’un mot de passe « compliqué » comme Tr0ub4dor&3.
  4. Notez la phrase sur papier. Rangez ce papier comme vos Douze (vos douze mots, notés sur papier à la Herse), mais pas avec eux : deux secrets, deux endroits.
  5. Tapez-la souvent les premiers jours. Au bout d’une semaine, vos doigts la connaissent.
Pourquoi sept mots : le hasard se compte en bits

Le hasard se compte en bits : chaque bit double le nombre de combinaisons à essayer. Un mot tiré dans une liste de 7 776 apporte environ 12,9 bits. Sept mots en apportent 90. La CNIL (l’autorité française de protection des données) recommande 80 bits quand un mot de passe protège seul un compte. Elle donne elle-même l’exemple d’une phrase d’au moins 7 mots français. Six mots donnent 77 bits : c’est bien, mais sous le seuil.

Étape 2 : créez le coffre

  1. Installez l’extension Bitwarden (un petit programme ajouté au navigateur) dans votre navigateur, depuis le site officiel ou la boutique d’extensions.
  2. Installez l’application sur votre téléphone, depuis l’App Store ou Google Play.
  3. Créez un compte. Saisissez votre phrase maîtresse dans le champ « mot de passe principal ». L’adresse mail demandée sert d’identifiant : elle ne protège rien.
  4. Laissez vide le champ facultatif « indice de mot de passe ».

Étape 3 : rapatriez vos mots de passe

Votre navigateur retient sans doute déjà des dizaines de mots de passe.

  1. Exportez-les depuis les réglages « Mots de passe » du navigateur.
  2. Importez ce fichier dans Bitwarden.
  3. Supprimez le fichier d’export, puis videz la corbeille : il contient vos mots de passe en clair, lisibles par n’importe qui.
  4. Désactivez l’enregistrement des mots de passe dans le navigateur. Vous n’aurez ainsi qu’un seul trousseau.

Étape 4 : activez la double authentification sur trois comptes

La double authentification ajoute une deuxième preuve au mot de passe : un code à six chiffres qui change toutes les trente secondes, ou une clé physique (une petite clé USB dédiée). Un mot de passe volé ne suffit plus.

Pour recevoir les codes, installez d’abord une application d’authentification sur votre téléphone : 2FAS, Ente Auth, Aegis (Android), ou Bitwarden Authenticator, gratuite et sans compte. Le générateur de codes intégré au coffre Bitwarden, lui, demande la formule payante. Le code par SMS vaut mieux que rien, mais c’est la version la plus faible (voir les risques).

Activez ensuite la double authentification dans cet ordre :

  1. Votre boîte mail. Chaque « mot de passe oublié » y aboutit : c’est la clé de toutes les autres.
  2. Votre gestionnaire.
  3. Votre compte Apple ou Google, s’il pilote votre téléphone.

Votre banque l’impose déjà : vous validez vos paiements en ligne dans son application.

À chaque activation, le site vous donne des codes de secours. Recopiez-les sur papier, et rangez-les avec la phrase maîtresse.

Étape 5 : remplacez vos vieux mots de passe au fil de l’eau

N’essayez pas de tout changer ce soir. Commencez par les comptes qui comptent : mail, opérateur, compte Apple ou Google, stockage en ligne, impôts, la boutique où votre carte est enregistrée.

  1. Sur chaque compte, choisissez « changer le mot de passe ».
  2. Laissez le gestionnaire générer 20 caractères aléatoires, puis enregistrez.
  3. Pour les autres comptes, faites-le à la prochaine connexion. En un mois, c’est fait.

Le rapport des mots de passe réutilisés ou déjà fuités est payant chez Bitwarden (seul celui des fuites de votre adresse est gratuit). KeePassXC le fournit gratuitement.

Étape 6 : gardez vos phrases crypto hors du gestionnaire

Le gestionnaire protège des comptes qui ont un guichet : si on vous les vole, un service client peut vous les rendre. Une phrase de récupération (les douze ou vingt-quatre mots qui redonnent accès à un portefeuille de cryptomonnaie) n’a pas de guichet.

Une règle sans exception. Jamais de phrase de récupération crypto dans le gestionnaire. Ni ces mots, ni leur photo, ni une note « sécurisée ». Elle reste sur papier, ou sur métal. Vos Douze suivent la même règle.

Les variantes : KeePassXC, le trousseau intégré, Proton Pass, les clés d'accès

  • Variante : KeePassXC

    Effort en plus : un peu : vous synchronisez vous-même

    Ce que vous gagnez : aucun compte, aucun serveur

    Ce que vous risquez : perdre le fichier si vous n’en gardez pas de copie

  • Variante : Le trousseau intégré (Apple, Google, Firefox)

    Effort en plus : aucun

    Ce que vous gagnez : le confort maximal

    Ce que vous risquez : dépendre d’un seul compte, souvent ouvert par le code du téléphone

  • Variante : Proton Pass

    Effort en plus : aucun

    Ce que vous gagnez : des alias de courriel intégrés

    Ce que vous risquez : rien de plus que Bitwarden

  • Variante : Les clés d’accès (passkeys)

    Effort en plus : aucun

    Ce que vous gagnez : une protection contre l’hameçonnage

    Ce que vous risquez : perdre l’appareil qui les garde, si elles ne sont pas dans le gestionnaire

KeePassXC, le coffre qui ne dépend de personne. KeePassXC est un logiciel libre qui garde votre coffre dans un fichier, sur votre ordinateur. Pas de compte, pas de serveur, pas d’entreprise. Le dispositif public Cybermalveillance.gouv.fr le recommande. L’ANSSI (l’agence nationale de la sécurité des systèmes d’information) a délivré à sa version 2.7.9 un visa de sécurité, le 17 novembre 2025. Il génère des phrases de passe et peut garder vos codes de double authentification.

Le prix de cette indépendance : vous synchronisez vous-même. Vous copiez le fichier (clé USB, dossier synchronisé de votre choix). Sur le téléphone, vous utilisez une application compatible : KeePassDX sur Android, Strongbox ou KeePassium sur iPhone. C’est la logique de votre parchemin : un fichier chiffré, une phrase pour l’ouvrir.

Le trousseau intégré. Le trousseau de votre téléphone ou de votre navigateur fait déjà l’essentiel : mots de passe aléatoires, remplissage automatique, synchronisation. Il vaut infiniment mieux qu’un mot de passe unique. Sa limite : il est attaché à votre compte Apple ou Google, et s’ouvre souvent avec le code du téléphone plutôt qu’avec une phrase de 90 bits. Changer d’écosystème demande un export.

Proton Pass. Même logique que Bitwarden, chez un éditeur suisse. Il crée en plus des alias de courriel : des adresses différentes pour chaque site, qui renvoient vers votre vraie boîte.

Les clés d’accès (passkeys). De plus en plus de sites proposent des « clés d’accès » : plus de mot de passe, mais un secret rangé sur votre appareil, déverrouillé par votre empreinte ou votre visage. Elles ne fonctionnent que sur le vrai site : un faux site d’hameçonnage ne peut pas s’en servir. Acceptez-les, et rangez-les de préférence dans votre gestionnaire. Elles ne remplacent pas encore tout : la phrase maîtresse reste nécessaire.

Le défi de la taverne

vérifiez qu'un mot de passe fictif a fuité

Pwned Passwords est une base publique de mots de passe déjà fuités. Ne saisissez jamais, ni ici ni là-bas, un mot de passe que vous utilisez.

  1. Ouvrez le service Pwned Passwords, sur le site Have I Been Pwned.
  2. Vérifiez le mot de passe fictif « motdepasse ».
  3. Saisissez dans la Cafetière, en chiffres, le nombre de fuites affiché.

Le bonus du donjon

déclarez la force de votre phrase maîtresse

Vous déclarez la structure de votre phrase (étape 1), jamais la phrase. Saisissez le nombre de mots (ou de caractères) et la taille de la liste (ou de l’alphabet). Choisissez d’un clic le mode de tirage : « Aux dés », « Par un générateur (gestionnaire de mots de passe, BIP-39…) » ou « Choisis par moi ».

Ce que vous gagnez

Le verdict

Écusson forgé : Serrurier. Votre trousseau est fermé par 90 bits de hasard. Le code de votre carte bancaire en a 13, et ne tient que parce que la carte se bloque au troisième essai.

Selon la presse, le mot de passe de la vidéosurveillance du Louvre était le nom du musée, et un audit de l’État avait signalé dès 2014 des mots de passe trop simples. Vous protégez désormais vos courses en ligne mieux que l’État ne protégeait la Joconde. Vous êtes aussi, officiellement, la personne qu’on appelle quand « l’ordi est bloqué » : toutes nos condoléances.

Percolozor, en voix off. Le cadenas de 1790 a tenu soixante et un ans. Le vôtre tiendra plus longtemps que la monnaie qu’il sert à dépenser.

Bloqué ?

La vérification, les sucres et le déca

Voir l'aide de la Cafetière
  • Les sucres : trois indices gratuits, à ouvrir un par un. Un sucre donne une piste, deux la méthode, trois la solution. Votre journal note seulement combien vous en prenez.
  • Le déca : vous lisez la salle sans faire la quête. Vous n'avez pas l'écusson, mais le chemin continue, et vous revenez quand vous voulez.

Comment la Cafetière vérifie, chez vous

Rien ne sort de votre navigateur vers le château. À l’objectif de taverne, c’est vous qui allez sur le service Pwned Passwords, avec un mot de passe fictif.

Le détail de la vérification

  • Objectif de taverne : la Cafetière ne contacte aucun service. Elle vérifie seulement que vous avez saisi un nombre entier d’au moins 1 : le mot de passe fictif a bien fuité.

    Le service, lui, utilise une méthode appelée k-anonymat : votre question se cache parmi des centaines d’autres. Votre navigateur y calcule l’empreinte SHA-1 du mot de passe (un résumé fixe de 40 caractères, dont on ne peut pas retrouver le texte). Il n’en envoie que les 5 premiers caractères. Le service renvoie toutes les fins d’empreintes qui commencent ainsi, et la comparaison se fait chez vous.

  • Objectif de donjon :

    1. La Cafetière n’a aucun champ pour la phrase. Elle demande deux nombres entiers et un choix à un clic.
    2. La taille de la liste : 7 776 pour la liste longue de l’EFF, 2 048 pour la liste BIP-39, ou celle d’une autre liste. Pour des caractères : 62 pour majuscules, minuscules et chiffres.
    3. Votre navigateur calcule : nombre de mots × log₂(taille de la liste). Sept mots de l’EFF donnent 90,5 bits, huit mots BIP-39 88 bits. Quatorze caractères parmi majuscules, minuscules et chiffres donnent environ 83 bits.
    4. Si le mode de tirage est « Choisis par moi », la Cafetière refuse de compter, et explique pourquoi : un humain choisit ses mots dans une petite partie de la liste. Le calcul ne vaut que pour le hasard.
    5. À 80 bits ou plus, le seuil de la CNIL, votre navigateur tire le drapeau de la structure déclarée (par exemple « 7 mots sur 7 776 ») : deux lecteurs qui déclarent la même structure ont le même drapeau. Le parchemin garde la structure, jamais la phrase.

  • Peut-on tricher ? Oui. Rien n’empêche de déclarer sept mots jamais tirés, ou de lire le code. Le château ne peut pas vérifier sans connaître votre phrase, et il refuse de la connaître. Vous aurez un écusson, et toujours le même mot de passe partout.

Les sucres

Un sucre, une piste

On ne vous demande pas votre phrase. On vous demande combien de hasard elle contient. Le hasard se compte.

Deux sucres, la méthode

Relisez l’étape 1, gestes 1 et 2 : vous déclarez ce que vous avez tiré, pas ce que vous avez choisi.

Pour l’objectif de taverne : cherchez « Pwned Passwords » dans votre moteur de recherche ; la bonne page est sur le site Have I Been Pwned.

Trois sucres, la solution
  • Objectif de taverne : tout nombre d’au moins 1 est accepté.
  • Objectif de donjon : 7 mots, liste de 7 776, tirage « Aux dés » ou « Par un générateur ».
  • « Entropie insuffisante » (pas assez de hasard) : vous êtes à 6 mots de l’EFF (77,5 bits) ou à 7 mots BIP-39 (77 bits). Ajoutez un mot.
  • « Tirage non compté » : vous avez choisi vos mots. Tirez-les aux dés ou au générateur.
  • « Saisissez deux nombres entiers » : écrivez les nombres en chiffres, sans mot autour (7776 ou 7 776, pas « 7 776 mots »).

Le déca

Le gestionnaire reste utile sans drapeau.

Pour comprendre

À lire à votre rythme

La boussole

Par rapport au même mot de passe partout, vous gagnez en prudence et en confort : une fuite n’ouvre plus qu’un site, et vous ne retenez plus qu’une phrase.
Axe Pourquoi
GardeVos accès ne dépendent plus de votre mémoire. Le coffre est chiffré par une clé que vous seul connaissez.
JuridictionRien ne change de pays ni de droit.
MonnaieAucun centime n’est en jeu.
DiscrétionMoins de « Se connecter avec Google », donc moins de sites rattachés à un seul compte.
ConfortPlus rien à retenir ni à taper, après un premier mois attentif.
Prudence (un risque existant réduit)Une fuite sur un site n’ouvre plus que ce site.

Le serrurier, le nain qui forge les serrures de la salle : « Une clé volée n’ouvre plus qu’une seule porte. Je refuse de faire deux fois la même clé, et ce n’est pas seulement par fierté. »

Les quatre caméras

Caméra Ce qu’elle voit, comparé au village
du Badaud (le curieux, le voleur) Plus rien de vos accès : plus de post-it sous le clavier. Un téléphone volé n’ouvre pas le coffre sans la phrase.
du Changeur (la banque) La même chose qu’avant. Elle ne voit pas vos mots de passe.
du Marchand (la plateforme) Un peu moins. Un compte créé sans « Se connecter avec Google » ne signale pas ce service à Google. Le gestionnaire ne voit que des données chiffrées.
de l’Intendance (l’administration) La même chose qu’avant. Cette salle vous protège des voleurs, pas des juges.

Les risques, chiffrés

Sept risques, dont le plus grand est celui d’aujourd’hui, la réutilisation : le gestionnaire n’est pas parfait, mais il est bien moins risqué que le même mot de passe partout.
Risque En une ligne
1. Réutiliser un mot de passe Le risque d’aujourd’hui : une fuite suffit, et les fuites ne disparaissent jamais.
2. Oublier la phrase maîtresse Le risque nouveau. Le papier le règle.
3. Le piratage du gestionnaire Arrivé en 2022. Avec sept mots tirés au hasard, le coffre volé reste illisible.
4. Un logiciel espion sur votre appareil Il verrait aussi vos mots de passe actuels : le gestionnaire n’aggrave rien.
5. Perdre le téléphone de la double authentification Fréquent, et réglé par les codes de secours.
6. Le détournement du code par SMS Possible ; l’application d’authentification l’évite.
7. « Tous les œufs dans le même panier » C’est déjà votre cas, avec un panier percé.
1. Réutiliser un mot de passe
  • Possible ? Oui, c’est le scénario de Paul.
  • Probable ? Le service Have I Been Pwned recense environ 17,8 milliards de comptes issus de fuites (compteur relevé le 26 octobre 2026). Son service de vérification des mots de passe reçoit plus de 18 milliards de requêtes par mois. Selon le rapport 2026 de Verizon sur les violations de données (incidents de novembre 2024 à octobre 2025), 31 % des violations commencent par une faille logicielle. Les identifiants volés arrivent en deuxième position.
  • Coût : la boîte mail, puis tout ce qui s’y réinitialise.
  • Tendance : stable ou en hausse ; les fuites s’accumulent.
  • Durée : illimitée. Une liste volée en 2014 circule encore. Seul le changement du mot de passe l’efface.
  • Comparé au village : c’est le village.
2. Oublier la phrase maîtresse
  • Possible ? Oui. C’est le risque nouveau de cette salle.
  • Probable ? Aucun chiffre fiable. Faible si la phrase est sur papier et tapée souvent la première semaine.
  • Coût : l’accès au coffre. Bitwarden comme KeePassXC ne peuvent pas vous la rendre : c’est ce qui garantit qu’ils ne lisent pas votre coffre. Vos comptes restent récupérables un par un, par « mot de passe oublié », tant que vous gardez l’accès à votre boîte mail. D’où les codes de secours de votre boîte mail, sur papier.
  • Tendance : sans objet.
  • Durée : définitive pour le coffre ; quelques soirées pour récupérer les comptes.
  • Comparé au village : oublier le code de votre carte la bloque, et la banque vous en refait une. Ici, personne ne garde le double à votre place. C’est la liberté, avec sa contrepartie.
3. Le piratage du gestionnaire
  • Possible ? Oui, c’est arrivé. En 2022, des pirates ont volé chez LastPass les coffres chiffrés de plus de 25 millions d’utilisateurs.
  • Probable ? Ensuite, plus de 35 millions de dollars de cryptomonnaies ont été volés à plus de 150 victimes. La plupart avaient rangé leurs phrases de récupération dans le coffre, et beaucoup avaient un mot de passe maître faible. Les chercheurs relient ces vols à la fuite par recoupement, sans preuve formelle.
  • Coût : avec votre phrase de 7 mots, rien. Elle offre 2⁹⁰ combinaisons, soit environ 1,2 × 10²⁷. À mille milliards d’essais par seconde, il faudrait en moyenne une vingtaine de millions d’années. Ce rythme est généreux pour l’attaquant : en vrai, les gestionnaires ralentissent volontairement chaque essai.
  • Tendance : les gestionnaires restent des cibles.
  • Durée : un coffre volé reste entre les mains du voleur. D’où une phrase qui résiste au temps.
  • Comparé au village : le vol n’a ruiné que ceux qui cumulaient une phrase maîtresse faible et des phrases crypto dans le coffre. Vous n’aurez ni l’un ni l’autre.
4. Un logiciel espion sur votre appareil
  • Possible ? Oui. Un enregistreur de frappe voit votre phrase maîtresse quand vous la tapez.
  • Probable ? Aucun chiffre fiable pour les particuliers.
  • Coût : le coffre, si l’espion vole aussi le fichier ou la session.
  • Tendance : stable.
  • Durée : tant que le logiciel reste installé.
  • Comparé au village : il verrait aussi vos mots de passe actuels, un par un. Le gestionnaire n’aggrave rien. La parade est ailleurs : mises à jour, logiciels pris sur leurs sites officiels, et double authentification, qui oblige l’attaquant à voler aussi votre téléphone.
5. Perdre le téléphone de la double authentification
  • Possible ? Oui. C’est la cause de blocage la plus fréquente.
  • Probable ? Aucun chiffre fiable, mais chacun perd ou casse un téléphone un jour.
  • Coût : quelques heures de démarches, ou rien si vous avez vos codes de secours.
  • Tendance : stable.
  • Durée : jusqu’à la récupération du compte.
  • Comparé au village : comme une carte bancaire perdue, sans la banque pour la refaire. Les codes de secours sur papier jouent ce rôle. Choisissez aussi une application d’authentification qui permet une sauvegarde chiffrée.
6. Le détournement du code par SMS
  • Possible ? Oui. Par « échange de carte SIM », un escroc convainc votre opérateur de transférer votre numéro sur sa carte. Il reçoit alors vos codes.
  • Probable ? Aucun chiffre public fiable pour la France (recherche d’octobre 2026). Une étude publiée par Google en 2019 donne un ordre de grandeur. Le code par SMS bloquait 100 % des attaques automatisées, 96 % de l’hameçonnage de masse et 76 % des attaques ciblées. Aucun des utilisateurs protégés seulement par une clé physique n’a été victime d’hameçonnage ciblé pendant l’étude.
  • Coût : les comptes protégés par ce numéro.
  • Tendance : la technique est connue et suivie par les opérateurs.
  • Durée : jusqu’à ce que vous récupériez votre numéro.
  • Comparé au village : le SMS vaut beaucoup mieux que rien. L’application vaut mieux que le SMS. La clé physique vaut mieux que tout, pour qui se sent ciblé.
7. « Tous les œufs dans le même panier »
  • Possible ? C’est l’objection la plus fréquente, et elle est juste.
  • Probable ? C’est déjà votre situation : avec un mot de passe unique, tous vos œufs sont dans le même panier.
  • Coût : aujourd’hui, le panier a un trou dans chaque site où vous l’avez posé.
  • Tendance : sans objet.
  • Durée : sans objet.
  • Comparé au village : le gestionnaire met les œufs dans un seul coffre, fermé par une clé de 90 bits qui ne sert nulle part ailleurs. Le panier est le même, mais il n’est plus percé.

Oubliette : le Trousseau Unique. Vous gardez le même mot de passe partout, et une seule fuite, sur un seul site, ouvre tous vos comptes. La parade : un mot de passe différent par site, généré par votre gestionnaire.

Basile, le gardien des oubliettes : « Rien n’est perdu, l’échelle arrive. Changez d’abord le mot de passe de votre boîte mail : c’est elle qui ouvre toutes les autres portes. »

Ce que dit la loi

En bref : utiliser un gestionnaire, une phrase de passe ou la double authentification n’est interdit par aucun texte ; entrer dans le compte de quelqu’un d’autre avec un mot de passe trouvé dans une fuite expose à trois ans de prison et 100 000 € d’amende.
La loi en détail : vos outils, l'accès frauduleux, la recommandation de la CNIL, la remise des clés
  • Vos outils. Gestionnaire, phrase de passe, double authentification : aucun texte ne les interdit. Chiffrer vos propres données est libre aussi. Le cadre de la cryptologie (les techniques de chiffrement) est expliqué au Puits du Revenant · Tout perdre, tout retrouver.
  • L’accès frauduleux. L’article 323-1 du code pénal punit de trois ans de prison et 100 000 € d’amende l’accès frauduleux à un système informatique. La peine monte à cinq ans et 150 000 € quand des données sont modifiées ou supprimées. Se connecter à la boîte mail de quelqu’un avec un mot de passe trouvé dans une fuite en relève.
  • La recommandation de la CNIL aux sites. La délibération n° 2022-100 du 21 juillet 2022 est une recommandation, pas une loi. Elle demande l’équivalent de 80 bits quand le mot de passe protège seul le compte. Elle déconseille d’imposer à tous un changement périodique du mot de passe. Elle demande de ne pas empêcher de coller un mot de passe dans le champ de saisie, pour encourager les gestionnaires. Un site qui vous interdit de coller est en retard sur elle.
  • La remise des clés. L’article 434-15-2 du code pénal oblige à remettre une clé de déchiffrement à la justice. Il ne vise qu’un moyen de cryptologie qui a pu servir à préparer ou commettre une infraction. Le détail est au Puits du Revenant.

Pour aller plus loin

8 salles pour continuer, dans cette aile et les autres.

Dans la Tour aux Volets

Dans l’Aile du Trésor

Dans la Volière

Sources

Vérifiées en octobre 2026.

Ma ficheParchemin fermé