Chaque année, nous lisons la même chose : la principale cause de comptes compromis reste la réutilisation des mots de passe. Il ne s'agit pas d'une attaque sophistiquée, ni d'un Zero Day sur votre infrastructure : le même mot de passe que vous avez utilisé dans cette boutique en ligne en 2018 et qui a divulgué sa base de données.
Et oui, vous le savez. Mais la réalité est qu'il est impossible de se souvenir de 80 mots de passe uniques et forts. C'est pourquoi un gestionnaire de mots de passe a cessé d'être réservé aux paranoïaques et est devenu une hygiène de base, comme un antivirus dans les années 2000.
1. Le vrai problème : réutilisation + fuites massives
Chaque mois, de nouvelles fuites de bases de données avec des millions de combinaisons email + mot de passe surviennent. Ces dumps se retrouvent dans des listes que les attaquants testent sur d'autres services. Si vous réutilisez, UNE fuite suffit pour qu'ils perdent l'accès à tout : e-mail, Netflix, services bancaires, etc.
Des pages comme Have I Been Pwned confirment que l'e-mail moyen apparaît dans trois ou quatre fuites. La question n’est pas de savoir si cela vous touchera ; La question est de savoir si vous disposerez de mots de passe uniques le jour venu.
2. Pourquoi un Excel crypté, une note ou le navigateur ne suffisent pas
"Je l'ai dans une feuille de calcul avec un mot de passe." D'accord, mais :
- Le cryptage natif d'Excel/Sheets est faible. Il existe des outils qui le cassent en quelques minutes si votre mot de passe principal n'est pas très fort.
- Vous n'avez pas de remplissage automatique. Vous finissez par copier-coller, ce qui laisse parfois le mot de passe dans le presse-papiers où une autre application peut le lire.
- Vous n'avez pas d'audit. Combien de vos mots de passe sont faibles ? Combien sont répétés ? Combien ont été divulgués ? Un manager moderne vous le dit.
- Le gestionnaire de navigateur est mieux que rien, mais il suppose que vous accédez uniquement à partir de ce navigateur et que votre session est sécurisée. Si votre PC est compromis, le navigateur est l’un des premiers endroits où les logiciels malveillants apparaissent.
3. Ce qu'un bon gestionnaire de mots de passe devrait avoir
Tous les gestionnaires ne sont pas identiques. La barre minimale dont vous devez avoir besoin est :
- Cryptage de bout en bout. Le serveur du fournisseur ne devrait JAMAIS pouvoir lire vos mots de passe - seulement vous avec votre mot de passe principal.
- Algorithmes modernes. AES-256-GCM ou ChaCha20-Poly1305 pour les données, Argon2id pour dériver la clé du mot de passe principal (et non PBKDF2). ancien).
- Générateur de mots de passe robuste. Personnalisable (longueur, symboles, phrases prononçables...).
- Audit de santé : répété, faible, exposé aux fuites (via des hachages partiels — le service ne voit jamais votre vrai mot de passe).
- 2FA / TOTP intégré ou, mieux, externe. Certains gestionnaires mettent les codes TOTP dans le même coffre-fort, d'autres les séparent (plus sécurisés).
- Sécurisé partage. Pour les équipes, pouvoir partager des informations d'identification sans les envoyer dans Slack ou par e-mail.
4. Medel Vault : notre proposition
Medel Vault est notre application de gestion de mots de passe, construite sur deux principes clairs : le cryptage de bout en bout et zéro confiance dans le serveur. Ce que cela signifie en pratique :
- Votre mot de passe principal ne quitte jamais votre appareil. Nous en déduisons (avec Argon2id) la clé qui crypte votre coffre-fort localement.
- Ce qui est téléchargé sur nos serveurs est un blob chiffré. Même si quelqu’un compromettait notre base de données, l’attaquant devrait briser l’AES-256 – ne bougez pas.
- Générateur, audit de santé, TOTP, partage d'équipe et saisie semi-automatique dans le navigateur.
- Application mobile native avec déverrouillage biométrique, synchronisation avec votre compte en quelques secondes.
5. La migration est simple
Si vous venez d'un autre gestionnaire (LastPass, 1Password, KeePass, Bitwarden, le navigateur...), Medel Vault importe les CSV standards. En moins de 5 minutes, vous avez migré l'intégralité de votre coffre-fort, organisé par dossiers/balises.
6. L'objection la plus courante : "Et si je perds mon mot de passe principal ?"
C'est une question légitime. La réponse honnête : personne ne peut le récupérer à votre place, pas même nous (si nous le pouvions, le cryptage de bout en bout ne voudrait rien dire). Medel Vault :
- Forcer un kit de récupération lors de l'enregistrement : une clé de 24 caractères que vous conservez sur papier/boîte.
- Autoriser les contacts d'urgence avec accès différé (votre conjoint accède 48 heures après la demande d'accès, ce qui vous laisse le temps d'annuler si ce n'est pas vous).
Verrouillage
Mots de passe ne risquent pas de disparaître dans les 10 prochaines années, peu importe à quel point on parle de clés d'accès. En attendant, la question n’est pas « ai-je besoin d’un manager », mais plutôt « lequel est le moins mauvais ». Si vous en voulez un qui ne vous demande pas de faire confiance à son serveur, jetez un œil à Medel Vault ou écrivez-nous si vous avez des questions techniques - nous répondons dans les heures.
