Avec les années que je passe en informatique, je remarque souvent la même chose : beaucoup de gens veulent mieux se protéger, mais les termes techniques finissent par compliquer les choses.
Quand je parle de mot de passe fort, de double authentification, de passkey ou d’Authenticator, ça peut sembler évident pour quelqu’un qui travaille en informatique.
Mais pour une personne qui utilise surtout son téléphone, Facebook, son courriel et quelques applications, ce n’est pas toujours clair.
Alors ici, je vais l’expliquer simplement, avec des exemples concrets.
1. Un bon mot de passe, c’est quoi exactement?
Un mot de passe est simplement la première clé qui permet d’entrer dans un compte.
Par exemple, pour accéder à votre courriel, vous avez généralement :
- une adresse courriel
- et un mot de passe
Le problème, c’est que beaucoup de gens utilisent encore des mots de passe très simples.
Par exemple :
Chien123
Ça semble pratique et facile à retenir.
Mais pour un ordinateur, ce genre de mot de passe est très prévisible.
Les programmes qui essaient de deviner des mots de passe connaissent déjà les mots courants comme :
- chien
- maison
- bonjour
- soleil
- hockey
- québec
Ils connaissent aussi les suites populaires comme :
- 123
- 1234
- 123456
- 2025
- 2026
Ils essaient aussi automatiquement des variantes.
Par exemple :
Chien123chien123CHIEN123Chien123!Ch13n123
Donc, simplement remplacer un i par un 1 ou un e par un 3 ne suffit pas toujours.
2. Pourquoi je recommande 12 à 15 caractères minimum
Plus un mot de passe est long, plus il y a de combinaisons possibles.
Prenons un exemple très simple.
Un cadenas avec seulement 3 chiffres peut avoir :
- 000
- 001
- 002
- 003
et ainsi de suite.
Ça donne seulement 1000 possibilités.
Maintenant, imaginez un cadenas avec 15 positions qui peuvent contenir :
- des lettres
- des chiffres
- des majuscules
- des minuscules
- des symboles
Le nombre de combinaisons devient énorme.
C’est pour ça que je recommande :
12 caractères minimum
et préférablement :
15 caractères ou plus
3. Majuscules, minuscules, chiffres et caractères spéciaux
Quand le service le permet, j’aime mélanger plusieurs types de caractères.
Par exemple :
- Majuscule : A B C
- Minuscule : a b c
- Chiffre : 1 2 3
- Caractère spécial : ! @ # $ % & *
Par exemple, au lieu de :
Monchien123
je pourrais créer quelque chose de plus complexe comme :
M0nCh13n!V0le_27
Mais attention :
cet exemple est public.
Donc, ne l’utilisez jamais comme vrai mot de passe.
4. Pourquoi une phrase de passe peut être plus facile
Personnellement, j’aime beaucoup les phrases de passe.
Une phrase de passe est simplement un mot de passe très long composé de plusieurs mots.
Par exemple :
Garage-Citron-47-Lune!
C’est beaucoup plus facile à retenir que quelque chose comme :
xR7!qZ9#Lp2
et pourtant, c’est beaucoup plus long.
Pour une personne qui n’est pas très à l’aise avec l’informatique, une phrase de passe peut être une très bonne solution.
Je recommande simplement de choisir des mots qui ne forment pas une phrase trop évidente.
5. Ne jamais utiliser le même mot de passe partout
Voici une erreur très fréquente.
Une personne utilise le même mot de passe pour :
- Gmail
- Amazon
- Microsoft
- son site Web
- son compte de magasin
- son application de streaming
Si un seul de ces services subit une fuite de données, le mot de passe peut être essayé automatiquement ailleurs.
Par exemple :
si quelqu’un obtient :
serge@email.com- et
MonMotDePasse123!
il peut essayer exactement les mêmes informations sur Facebook, Google, Microsoft et d’autres services.
C’est pour ça que je recommande :
un compte = un mot de passe différent
6. Mais comment retenir autant de mots de passe?
C’est là qu’un gestionnaire de mots de passe devient utile.
Un gestionnaire de mots de passe agit comme un coffre-fort numérique.
Il peut conserver vos mots de passe pour vous.
Au lieu de retenir 50 mots de passe différents, vous retenez principalement celui qui protège votre coffre.
Par exemple :
- vous ouvrez votre gestionnaire de mots de passe
- vous entrez votre mot de passe principal
- puis le gestionnaire peut remplir vos autres mots de passe automatiquement
Évidemment, ce mot de passe principal doit être très bien protégé.
7. La double authentification, c’est quoi?
La double authentification ajoute une deuxième vérification après votre mot de passe.
On l’appelle aussi :
- 2FA
- MFA
- ou authentification multifacteur
Voici un exemple simple.
Vous entrez votre mot de passe sur Facebook.
Le mot de passe est correct.
Mais Facebook vous demande ensuite :
- un code sur votre téléphone
- ou une confirmation dans une application
Donc, pour entrer dans le compte, il faut deux choses :
- 1. quelque chose que vous connaissez
votre mot de passe - 2. quelque chose que vous possédez
votre téléphone
C’est ça, la double authentification.
8. Exemple concret de double authentification
Imaginez que quelqu’un réussisse à voler votre mot de passe.
Sans double authentification :
- il entre le mot de passe
- et il peut peut-être entrer directement dans votre compte
Avec double authentification :
- il entre le mot de passe
- puis le site lui demande un code qui apparaît sur votre téléphone
L’attaquant n’a pas votre téléphone.
Il est donc bloqué.
C’est pour cette raison que je recommande d’activer cette protection partout où c’est possible.
9. Microsoft Authenticator et Google Authenticator
Deux applications populaires permettent de générer ou de confirmer cette deuxième étape.
Microsoft Authenticator
Microsoft Authenticator peut servir avec Microsoft, mais aussi avec beaucoup d’autres services compatibles.
Par exemple, vous pouvez recevoir une notification :
« Est-ce bien vous qui essayez de vous connecter? »
Vous pouvez alors approuver ou refuser.
Android
https://play.google.com/store/apps/details?id=com.azure.authenticator
iPhone / iPad
https://apps.apple.com/ca/app/microsoft-authenticator/id983156458
Page officielle Microsoft
https://support.microsoft.com/fr-fr/authenticator/download-microsoft-authenticator
Google Authenticator
Google Authenticator génère généralement un code temporaire.
Par exemple :
418 725
Ce code change automatiquement après quelques secondes.
Même si quelqu’un voit un ancien code plus tard, il ne sera plus valide.
Android
https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2
iPhone / iPad
https://apps.apple.com/ca/app/google-authenticator/id388497605
10. Le SMS, c’est quoi dans tout ça?
Certains sites envoient un code par texto.
Par exemple :
« Votre code est 482911 »
C’est mieux que de protéger un compte uniquement avec un mot de passe.
Mais lorsque c’est possible, je préfère une application Authenticator ou une passkey.
Pourquoi?
Parce qu’un numéro de téléphone peut parfois être transféré frauduleusement ou compromis.
11. Les codes de récupération, à quoi ça sert?
Quand vous activez la double authentification, certains services vous donnent des codes de récupération.
Ce sont des codes de secours.
Par exemple :
- vous perdez votre téléphone
- vous achetez un nouveau téléphone
- Authenticator n’est pas encore configuré
- vous pouvez utiliser un code de récupération pour entrer dans votre compte
Je recommande donc de conserver ces codes dans un endroit sécuritaire.
- Pas dans un message public.
- Pas collé sur l’écran.
- Pas dans une photo facile à trouver.
12. Avant de changer de téléphone
Avant d’effacer un vieux téléphone, je vérifie toujours :
- que Microsoft Authenticator ou Google Authenticator fonctionne sur le nouveau
- que mes comptes sont transférés
- que mes codes de récupération sont disponibles
- que mon adresse courriel de récupération est encore valide
- que mon numéro de téléphone est toujours bon
Et surtout :
je teste réellement une connexion avant d’effacer l’ancien appareil.
Parce qu’une fois le vieux téléphone effacé, il est trop tard pour réaliser qu’un compte important était encore dessus.
13. Les passkeys, c’est quoi?
Une passkey est une méthode moderne pour se connecter sans taper un mot de passe traditionnel.
Par exemple, vous pouvez vous connecter avec :
- votre empreinte digitale
- votre visage
- votre NIP Windows
- ou votre téléphone
Pour une personne moins à l’aise avec l’informatique, on peut voir ça comme :
« mon appareil confirme que c’est bien moi »
Les passkeys sont de plus en plus utilisées parce qu’elles peuvent être plus résistantes à certaines formes de fraude et d’hameçonnage.
14. Et les ordinateurs quantiques?
Les ordinateurs quantiques font beaucoup parler.
Je veux être clair :
ils ne vont pas casser votre Facebook demain matin.
Par contre, cette technologie pourrait éventuellement devenir très puissante pour certains calculs cryptographiques.
C’est pourquoi des organisations comme le NIST travaillent déjà sur la cryptographie dite :
post-quantique
L’idée est de préparer les systèmes informatiques avant que les ordinateurs quantiques deviennent suffisamment puissants pour menacer certaines méthodes actuelles.
Pour nous, comme utilisateurs, le message reste simple :
je ne mise pas toute ma sécurité sur un seul mot de passe.
Je combine plusieurs protections.
15. Mon exemple simple
Imaginons que je protège un compte important.
Je vais essayer d’avoir :
- un mot de passe de 15 caractères ou plus
par exemple une phrase de passe - un mot de passe différent de mes autres comptes
- Microsoft Authenticator ou Google Authenticator
- mes codes de récupération sauvegardés
- mon téléphone protégé par un NIP, une empreinte ou Face ID
Et si le service offre une passkey :
je considère aussi cette option.
16. Ma règle la plus simple
Quand j’explique la sécurité à quelqu’un qui n’est pas technicien, je résume ça comme ceci :
- Première porte : votre mot de passe
- Deuxième porte : votre Authenticator
- Troisième porte : votre téléphone
- Quatrième porte : vos codes de récupération
Si une porte est compromise, les autres peuvent encore vous protéger.
C’est ça, pour moi, une bonne sécurité :
pas une seule protection parfaite,
mais plusieurs protections simples qui travaillent ensemble.
