Mots de passe et double authentification
À la fin de cette leçon, vous saurez créer un mot de passe solide, le conserver au bon endroit et valider une connexion avec la double authentification.
Vous souvenez-vous ?
Cherchez la réponse dans votre mémoire avant de l'afficher. C'est cet effort, même sans trouver, qui fait retenir.
Avant de saisir votre identifiant sur un site, que vérifiez-vous dans la barre d'adresse d'Edge ?
Le cadenas, et surtout le nom exact du site. Le plus sûr reste d'y arriver par une adresse saisie soi-même ou par un favori, jamais par un lien reçu.
Tout ce que vous saisissez s'écrit en majuscules. Quelle touche est restée active, et comment le voit-on ?
La touche Verr. maj : elle bloque les majuscules et un voyant s'allume sur le clavier. Un nouvel appui la désactive.
Vous vous éloignez de votre ordinateur quelques minutes. Quel raccourci protège votre session ?
⊞ Win + L : la session est verrouillée. Tout reste ouvert, mais protégé.
À quoi ça sert
Votre mot de passe ouvre votre messagerie, c'est-à-dire votre boîte de courriels. Or c'est dans cette boîte qu'arrivent les liens qui permettent de changer le mot de passe de vos autres comptes : banque, impôts, assurance maladie, achats en ligne. Qui entre dans votre messagerie peut donc ouvrir tout le reste. C'est pourquoi elle mérite votre mot de passe le plus solide.Cybermalveillance
Comprendre
Un bon mot de passe est d'abord long
Les fraudeurs ne devinent pas les mots de passe un par un : des programmes en essaient des millions. Plus le vôtre est long, plus l'essai dure. Retenez un seuil : 12 caractères au minimum, en mélangeant majuscules, minuscules, chiffres et caractères spéciaux.Cybermalveillance Pour la messagerie et la banque, visez plus long encore : l'ANSSI, l'agence de l'État chargée de la sécurité informatique, demande 15 caractères au minimum pour les services critiques.ANSSI
Écartez tout ce qui se devine : un prénom, une date de naissance, le nom de votre rue, et les suites comme 123456 ou azerty.
La phrase de passe : longue et facile à retenir
Douze caractères mélangés se retiennent mal. Une phrase de passe règle le problème : une suite de mots, que l'on saisit comme un mot de passe. La CNIL, l'autorité française de protection des données, admet une phrase de passe d'au moins 7 mots.CNIL Choisissez des mots sans lien entre eux, qui forment une image absurde : elle restera en mémoire.
Si un service limite la longueur, prenez les premières lettres d'une phrase. L'exemple officiel : « Un tiens vaut mieux que deux tu l'auras » devient 1tvmQ2tl'A.Cybermalveillance
Un service, un mot de passe
Utilisez un mot de passe différent pour chaque service. Si l'un d'eux est volé, seul ce service est en danger. Et si vous avez aussi une messagerie pour le travail, ne lui donnez jamais le mot de passe de votre messagerie personnelle.ANSSI
Faut-il en changer tous les trois mois ? Plus obligatoirement : la CNIL a abandonné cette règle pour les comptes ordinaires.CNIL En revanche, changez-le au moindre soupçon. Si un employeur ou une école impose un rythme pour le compte qu'il vous fournit, suivez-le.
Où les conserver
| Jamais | Toujours |
|---|---|
| Sur un pense-bête collé à l'écran ou glissé sous le clavier. | Dans votre mémoire, pour les deux ou trois principaux. |
| Dans un fichier nommé « mots de passe », sur l'ordinateur ou le téléphone. | Dans un gestionnaire de mots de passe. |
| Dans un courriel que l'on s'envoie à soi-même. | Nulle part ailleurs. |
Le gestionnaire de mots de passe est un coffre-fort numérique. Il retient tous vos mots de passe ; vous n'en retenez qu'un, celui du coffre. L'ANSSI le recommande.ANSSI Cybermalveillance.gouv.fr, le site public de prévention, en cite un, libre et en français, certifié par l'ANSSI : son nom figure sur la page indiquée en fin de leçon.Cybermalveillance Faites-vous aider par un proche pour l'installer. Sur un ordinateur fourni par un employeur ou une école, n'installez rien vous-même : demandez au service informatique quel gestionnaire est prévu.
La double authentification : une seconde serrure
Un mot de passe peut être volé sans que vous le sachiez. La double authentification ajoute une seconde preuve : après le mot de passe, le service demande un code provisoire ou une validation sur un objet que vous êtes seul à détenir, le plus souvent votre téléphone.Cybermalveillance Le voleur de mot de passe reste dehors : il n'a pas votre téléphone.
| Étape | Ce que l'on vous demande | Ce que cela prouve |
|---|---|---|
| 1 | Votre identifiant et votre mot de passe. | Vous savez le secret. |
| 2 | Un code ou une validation sur votre téléphone. | Vous détenez le téléphone. |
Activez-la partout où elle est proposée, en commençant par la messagerie et la banque. Microsoft l'appelle « vérification en deux étapes ». Sur un compte Microsoft personnel, c'est vous qui l'activez, dans la partie « Sécurité » de votre compte. La seconde preuve peut arriver par SMS, mais Microsoft annonce qu'il va abandonner peu à peu les SMS pour ces comptes : préférez une application installée sur le téléphone, comme Microsoft Authenticator.Microsoft
Avec un compte professionnel ou scolaire, fourni par un employeur ou une école, l'organisation peut la rendre obligatoire, et son service informatique la règle avec vous.Microsoft
Avant d'activer : prévoyez un secours
Une fois la vérification en deux étapes activée, il faut toujours les deux preuves. Si vous perdez votre téléphone sans autre moyen de prouver qui vous êtes, le mot de passe seul ne suffit plus : retrouver l'accès peut demander 30 jours. Microsoft recommande donc d'associer trois informations de sécurité à votre compte, pour qu'il en reste toujours une de secours.Microsoft
La règle qui ne souffre aucune exception
Ne communiquez jamais un mot de passe ni un code reçu. À personne. Pas même à quelqu'un qui dit appeler de la part de votre banque ou de Microsoft. Aucune organisation sérieuse ne vous les demandera, ni par courriel ni par téléphone, même pour un dépannage.Cybermalveillance Celui qui les réclame est un fraudeur, quelle que soit sa politesse.
À vous de jouer
Un mot de passe se saisit sans le voir : l'écran affiche des points. Il faut donc des doigts sûrs. Entraînez-vous ici, où chaque caractère s'affiche.
Attention : ces trois exemples sont publics. Ne les réutilisez jamais comme vrais mots de passe, et ne saisissez jamais votre vrai mot de passe dans une page d'exercice.
Sur votre ordinateur
Les étapes 5 à 7 concernent votre compte Microsoft, celui dont l'adresse de courriel et le mot de passe ouvrent peut-être votre session depuis la leçon 1. Vous n'en avez pas, ou vous ne savez pas ? Passez de l'étape 4 à l'étape 8 : vous y reviendrez après la leçon 16, qui fait le tour des comptes.
- Inventez, dans votre tête, une phrase de passe d'au moins sept mots sans lien entre eux. Ne l'écrivez nulle part. rien à l'écran. Vous savez la redire deux fois de suite sans hésiter.
- Regardez le voyant Verr. maj de votre clavier. le voyant est éteint. S'il est allumé, appuyez une fois sur Verr. maj : un mot de passe distingue majuscules et minuscules.
- Appuyez en même temps sur Ctrl + Alt + Suppr. un écran remplace le bureau et propose quelques lignes : verrouiller, se déconnecter, modifier un mot de passe, ouvrir le Gestionnaire des tâches.
- Ne choisissez rien et appuyez sur Échap. Cet écran sert, entre autres, à verrouiller la session ou à modifier son mot de passe : aujourd'hui, vous regardez seulement. le bureau revient, rien n'a changé.
- Ouvrez Edge, saisissez l'adresse
account.microsoft.com/securitypuis appuyez sur Entrée. Si une page de connexion s'affiche, saisissez l'adresse de courriel et le mot de passe de votre compte Microsoft : vous avez saisi l'adresse du site vous-même, comme en leçon 13. Avec un compte professionnel ou scolaire, l'adresse à saisir estmysignins.microsoft.com/security-info. la page « Sécurité » de votre compte Microsoft. - Cliquez sur Gérer la façon dont je me connecte, puis lisez la page sans rien modifier. vos moyens de prouver votre identité et, sous « Sécurité supplémentaire », la ligne « Vérification en deux étapes ». Avec un compte professionnel ou scolaire : la liste de vos méthodes de connexion et un bouton « Ajouter une méthode de connexion ».
- Fermez l'onglet avec Ctrl + W. Vous activerez la vérification en deux étapes à tête reposée, de préférence avec un proche : bouton Activer, puis les instructions de l'écran. l'onglet se ferme. Vous savez où se trouve ce réglage.
- Inspectez votre table : bord de l'écran, dessous du clavier, tiroir. aucun mot de passe écrit, nulle part.
Les deux pièges classiques
Le faux conseiller. Le téléphone sonne : « Ici le service de sécurité de votre banque, des opérations suspectes sont en cours, donnez-moi le code que vous venez de recevoir. » Raccrochez. Jamais un conseiller de votre banque ne vous demandera un mot de passe ni un code de confirmation.Cybermalveillance Rappelez vous-même votre banque, au numéro que vous connaissiez déjà. La leçon 15 détaille cette arnaque et ses cousines.
La validation que vous n'avez pas demandée. Votre téléphone affiche un code ou une demande de validation, alors que vous n'êtes en train de vous connecter nulle part. Quelqu'un possède déjà votre mot de passe et attend que vous lui ouvriez la seconde serrure. Refusez, puis changez ce mot de passe. Pour un compte professionnel ou scolaire, prévenez aussi le service informatique.
Vérifiez vos acquis
Vous choisissez le mot de passe de votre messagerie. Lequel la protège le mieux ?
- Votre date de naissance complète inversée
- Sept mots sans lien entre eux
- Le mot azerty suivi de 123456
La longueur fait la solidité : sept mots sans rapport dépassent largement 12 caractères et ne se devinent pas. Une date de naissance, même inversée, et les suites du clavier sont les premiers essais des fraudeurs.
Vous avez désormais une dizaine de mots de passe : messagerie, banque, impôts, assurance maladie, achats. Où les conservez-vous ?
- Dans un fichier texte rangé à part
- Dans un gestionnaire de mots de passe
- Sur un papier glissé sous le clavier
Le gestionnaire est un coffre-fort conçu pour cela. Un simple fichier se lit sans effort par quiconque accède à votre ordinateur, et le dessous du clavier est le premier endroit où l'on regarde.
Une personne vous appelle : « Ici le service de sécurité de votre banque, donnez-moi le code que vous venez de recevoir sur votre téléphone. » Que faites-vous ?
- Je dicte le code, puis je raccroche
- Je raccroche et je rappelle ma banque
- Je demande son nom, puis je dicte
Un code ne se communique à personne, pas même à votre vraie banque, qui ne le demande jamais. Un nom donné au téléphone ne prouve rien : un fraudeur en invente un sans peine. On raccroche, et l'on rappelle soi-même au numéro déjà connu.
Votre téléphone affiche une demande de validation de connexion, alors que vous n'êtes en train de vous connecter nulle part. Que faites-vous ?
- J'approuve pour faire vite disparaître cette demande gênante
- Je ne fais rien, elle disparaîtra toute seule
- Je refuse, puis change mon mot de passe
Cette demande signifie que quelqu'un connaît déjà votre mot de passe. Approuver lui ouvre la porte. Ne rien faire laisse le mot de passe volé en service : il faut refuser, puis le changer.
Vous utilisez le même mot de passe pour votre messagerie et pour un site d'achats en ligne. Quel est le risque ?
- Un seul vol ouvre les deux comptes
- Le mot de passe s'use plus vite
- Windows finit par bloquer votre session ouverte
Un mot de passe volé sur un service est aussitôt essayé partout ailleurs. Un mot de passe ne s'use pas, et Windows ne sait pas ce que vous utilisez sur les sites web.
À retenir
- Un mot de passe solide est long : 12 caractères au minimum, ou une phrase de passe d'au moins 7 mots.
- Un service, un mot de passe, différent pour chaque service. Le plus solide pour la messagerie.
- Jamais sur un pense-bête ni dans un fichier non protégé : dans un gestionnaire de mots de passe.
- La double authentification ajoute une seconde preuve, sur votre téléphone, par exemple avec Microsoft Authenticator.
- Un mot de passe ou un code reçu ne se communique à personne, pas même à quelqu'un qui dit appeler de la part de votre banque ou de Microsoft.
Fiche : Réflexes de sécurité. Leçon suivante : reconnaître un courriel frauduleux et une arnaque.
Pour aller plus loin
La page officielle à lire : « Pourquoi et comment bien gérer ses mots de passe ? » (Cybermalveillance.gouv.fr). Dix bonnes pratiques, chacune expliquée en quelques lignes, et le nom d'un gestionnaire de mots de passe certifié.
Pour activer la seconde serrure de votre compte Microsoft : « Procédure d'utilisation de la vérification en deux étapes avec votre compte Microsoft » (Microsoft).
Pour vous entraîner : SensCyber, le parcours public et gratuit de sensibilisation à la sécurité numérique, en trois modules.