En cas de mot de passe oublié, commencez par utiliser exclusivement la fonction de récupération du site ou de l’application concernée. Demandez la réinitialisation, vérifiez votre e-mail ou votre moyen de récupération, puis choisissez un nouveau mot de passe unique. Si vous n’avez plus accès à votre adresse e-mail ou à votre téléphone, utilisez les codes de secours, un appareil déjà connecté ou la procédure officielle de récupération du service.
Pour un compte critique, notamment votre messagerie principale, un compte professionnel ou un service financier, ne multipliez pas les tentatives au hasard. Vérifiez d’abord si le compte a pu être compromis et protégez les moyens de récupération encore sous votre contrôle.
Mot de passe oublié : que faire immédiatement ?
La procédure exacte varie selon le service, mais la démarche la plus sûre suit un ordre simple.
- Ouvrez vous-même le site ou l’application officielle, sans passer par un lien reçu dans un message inattendu.
- Cliquez sur « Mot de passe oublié », « Réinitialiser le mot de passe » ou l’option équivalente.
- Indiquez l’identifiant demandé, généralement une adresse e-mail, un numéro de téléphone ou un nom d’utilisateur.
- Utilisez le moyen de récupération proposé : e-mail, SMS, code de secours, appareil déjà reconnu ou autre méthode prévue par le service.
- Créez un nouveau mot de passe unique si la plateforme utilise encore des mots de passe.
- Une fois connecté, contrôlez les appareils et sessions actives, les coordonnées de récupération et les méthodes d’authentification enregistrées.
Un service peut envoyer un code ou un lien temporaire plutôt que l’ancien mot de passe. Les recommandations actuelles du NIST prévoient notamment des codes de récupération enregistrés à l’avance, des codes envoyés à une adresse de récupération, des contacts de confiance ou, pour certains comptes, une nouvelle vérification de l’identité.
Pourquoi le site ne peut-il pas simplement renvoyer votre ancien mot de passe ?
Sur un système correctement conçu, le service ne conserve pas votre mot de passe sous une forme qu’un employé pourrait simplement lire et vous renvoyer.
Le NIST recommande que les mots de passe soient stockés sous une forme résistante aux attaques hors ligne, avec notamment un hachage et un sel. Très schématiquement, le serveur conserve une empreinte permettant de vérifier le secret que vous saisissez, et non une copie destinée à être relue à volonté.
C’est pourquoi une plateforme sérieuse propose une réinitialisation : elle vous permet de définir un nouveau secret après avoir vérifié que vous êtes bien le titulaire du compte.
Recevoir son ancien mot de passe en clair par e-mail serait au contraire un signal très préoccupant sur la manière dont le service protège les identifiants.
Le vrai point faible d’un mot de passe oublié est souvent votre boîte mail
La récupération par e-mail est pratique, mais elle crée une dépendance évidente : celui qui contrôle votre messagerie peut potentiellement recevoir les messages permettant de récupérer vos autres comptes.
La boîte mail principale mérite donc une protection supérieure à celle d’un compte ordinaire. Elle doit disposer d’un mot de passe unique et d’une authentification multifacteur robuste. Il faut également vérifier régulièrement les appareils connectés, les règles de transfert automatique, les adresses de récupération et toute modification suspecte des paramètres du compte.
Si vous soupçonnez une compromission de votre messagerie, sécurisez-la avant de réinitialiser en série les mots de passe des services qui en dépendent. Dans le cas contraire, un attaquant conservant l’accès à la boîte pourrait intercepter les messages de récupération.
Un code reçu par SMS est-il suffisamment sûr ?
Le SMS reste utilisé par de nombreux services, mais il ne doit pas être considéré comme infaillible. Le détournement d’un numéro de téléphone, notamment par SIM swapping, peut permettre à un attaquant de recevoir certains codes destinés à la victime.
Le NIST encadre précisément l’utilisation du réseau téléphonique pour certains mécanismes d’authentification et prend en compte les risques liés au transfert ou à la réattribution des numéros. Lorsqu’une plateforme propose une méthode plus robuste, par exemple un authentificateur cryptographique ou une clé d’accès, celle-ci mérite généralement d’être privilégiée.
Que faire sans accès à l’adresse e-mail de récupération ?
Ne plus avoir accès à l’e-mail associé ne signifie pas nécessairement que le compte est perdu. Cherchez d’abord les méthodes de récupération prévues par le service : numéro de téléphone vérifié, code de secours conservé hors ligne, appareil déjà authentifié, contact de récupération ou procédure de vérification d’identité.
Le NIST reconnaît plusieurs mécanismes de récupération et recommande notamment de prévoir plusieurs adresses ou méthodes de récupération lorsque le système le permet. Cette redondance évite qu’une adresse e-mail inaccessible devienne l’unique porte d’entrée du compte.
Si aucune solution automatique ne fonctionne, utilisez uniquement l’assistance accessible depuis le site ou l’application officielle. Évitez les numéros de « support » découverts au hasard dans les résultats d’un moteur de recherche : les faux services d’assistance constituent une technique classique pour récupérer des identifiants, des codes ou de l’argent.
Comment récupérer son compte si le téléphone utilisé pour la 2FA est perdu ?
Commencez par rechercher un autre appareil sur lequel votre session est encore ouverte. Selon le service, cet appareil peut permettre d’enregistrer une nouvelle méthode d’authentification ou de générer de nouveaux codes.
Vérifiez ensuite si vous avez conservé des codes de secours. Le NIST décrit les codes de récupération enregistrés à l’avance comme une méthode destinée précisément aux situations dans lesquelles l’utilisateur ne peut plus employer son authentificateur habituel. Ils doivent être conservés dans un endroit sécurisé, idéalement séparé du téléphone qu’ils permettent de remplacer.
À défaut, suivez la procédure officielle de récupération du fournisseur. Une plateforme peut imposer des contrôles supplémentaires ou un délai avant de rendre le compte, justement parce qu’une récupération trop facile deviendrait une porte d’entrée pour un attaquant.
Faut-il envoyer une pièce d’identité pour récupérer un compte ?
Certains services ayant préalablement vérifié l’identité de leurs utilisateurs peuvent recourir à une nouvelle procédure de preuve d’identité. Le NIST inclut cette possibilité parmi les méthodes envisageables de récupération de certains comptes.
Une demande de document d’identité doit néanmoins être traitée avec prudence. Une copie de passeport ou de carte d’identité contient des données personnelles sensibles et peut présenter des risques en cas de détournement.
Avant tout envoi, vérifiez que la demande provient réellement du service concerné, que vous utilisez son canal officiel et que la transmission est nécessaire à sa procédure. N’envoyez jamais spontanément un document à une adresse ou à un interlocuteur trouvé sur un forum, un réseau social ou un moteur de recherche.
Pourquoi les questions secrètes ont-elles pratiquement disparu ?
« Quel était le nom de votre premier animal ? » ou « Quel est le nom de jeune fille de votre mère ? » semblent faciles à mémoriser. C’est précisément leur faiblesse.
Les réponses peuvent être devinées, connues de proches ou retrouvées grâce aux informations publiées en ligne. Une question secrète transforme alors un mécanisme de sécurité en mot de passe faible dont la réponse est parfois publiquement accessible.
Les standards modernes privilégient des méthodes fondées sur des authentificateurs, des codes de récupération et des procédures structurées plutôt que sur des informations biographiques faciles à rechercher.
Pourquoi est-il si difficile de retenir tous ses mots de passe ?
Demander à une personne de mémoriser un grand nombre de chaînes longues, complexes et toutes différentes produit un conflit évident entre sécurité et mémoire humaine. Le NIST souligne lui-même les limites de la mémorisation de secrets complexes et arbitraires.
Les utilisateurs compensent alors en réutilisant le même mot de passe, en modifiant seulement quelques caractères ou en choisissant des secrets prévisibles. Le problème n’est donc pas simplement d’avoir « mauvaise mémoire » : le modèle consistant à mémoriser manuellement des dizaines de secrets uniques atteint rapidement ses limites.
Un gestionnaire de mots de passe permet de sortir de cette logique. Il génère et conserve des identifiants uniques pour chaque service, tandis que l’utilisateur n’a plus à mémoriser l’ensemble de ses mots de passe.
Que se passe-t-il si vous oubliez le mot de passe du gestionnaire lui-même ?
C’est le scénario qu’il faut anticiper avant qu’il ne survienne. Les possibilités varient fortement selon le gestionnaire et le type de compte.
Bitwarden propose par exemple un mécanisme d’accès d’urgence permettant, lorsqu’il a été configuré préalablement et que les conditions du compte le permettent, de désigner un contact de confiance. Celui-ci peut demander un accès au coffre selon les autorisations et le délai définis par son propriétaire.
1Password propose notamment un Emergency Kit, document contenant des informations nécessaires à l’accès au compte. Sa documentation recommande de préparer ce document et d’en conserver une copie dans un endroit sûr. Certaines configurations familiales ou professionnelles disposent également de mécanismes spécifiques de récupération.
Ces dispositifs doivent être préparés avant la perte d’accès. Un gestionnaire conçu selon une architecture dans laquelle le fournisseur ne connaît pas le secret principal ne peut pas nécessairement le retrouver sur demande.
Les passkeys peuvent-elles faire disparaître le problème du mot de passe oublié ?
Les passkeys, ou clés d’accès, changent profondément le modèle. Au lieu de transmettre un secret que l’utilisateur doit connaître et mémoriser, elles reposent sur la cryptographie à clé publique et sur un authentificateur contrôlé par l’utilisateur.
L’accès peut être autorisé localement grâce au mécanisme de déverrouillage de l’appareil, par exemple une donnée biométrique ou un code local. La donnée biométrique utilisée pour déverrouiller l’authentificateur n’a pas vocation à devenir un mot de passe envoyé au site distant.
Le NIST intègre désormais les authentificateurs synchronisables, dont les passkeys synchronisées, dans ses recommandations sur l’identité numérique. Leur intérêt dépasse le confort : les authentificateurs cryptographiques correctement mis en œuvre peuvent également offrir une meilleure résistance au phishing que les mots de passe traditionnels.
Les clés d’accès ne suppriment toutefois pas la nécessité de prévoir la perte d’un appareil ou d’un compte de synchronisation. Elles déplacent une partie du problème : au lieu de mémoriser des dizaines de mots de passe, l’utilisateur doit protéger correctement ses appareils et ses mécanismes de récupération.
Comment éviter qu’un mot de passe oublié vous bloque à nouveau ?
Une récupération réussie ne devrait pas se terminer au moment où le nouveau mot de passe fonctionne. C’est l’occasion de supprimer les points de défaillance qui ont provoqué ou aggravé le problème.
- Utilisez un gestionnaire de mots de passe pour conserver des identifiants uniques.
- Protégez en priorité votre adresse e-mail principale.
- Activez une authentification multifacteur robuste lorsqu’elle est disponible.
- Conservez les codes de récupération dans un emplacement sûr et distinct de l’appareil principal.
- Ajoutez plusieurs moyens de récupération lorsque le service le permet.
- Vérifiez périodiquement que votre adresse e-mail et votre numéro de récupération sont toujours valides.
- Adoptez les clés d’accès sur les services qui les prennent correctement en charge.
Pour les comptes les plus importants, pensez en termes d’architecture de récupération : que se passe-t-il si votre téléphone est perdu, si votre ordinateur tombe en panne et si vous ne pouvez plus ouvrir votre boîte mail ? Une bonne configuration doit éviter qu’un seul incident suffise à vous enfermer définitivement hors de vos comptes.
Que faire si vous pensez que le mot de passe n’a pas été oublié, mais volé ?
Un mot de passe soudainement refusé, associé à des alertes de connexion ou à des changements de coordonnées que vous n’avez pas effectués, peut signaler une compromission plutôt qu’un simple oubli.
Dans ce cas, utilisez un appareil de confiance, protégez d’abord votre messagerie principale si elle est concernée, puis lancez la procédure officielle de récupération. Après avoir repris le contrôle, déconnectez les sessions inconnues, changez les secrets concernés et contrôlez les méthodes de récupération ainsi que les authentificateurs enregistrés.
Surtout, ne communiquez jamais un code de récupération ou d’authentification à une personne qui vous contacte en prétendant appartenir au support. Un code destiné à prouver que vous contrôlez un compte doit rester sous votre contrôle.
FAQ sur les mots de passe oubliés
Combien de temps un lien de réinitialisation reste-t-il valable ?
La durée dépend du service et du mécanisme utilisé. À titre de référence, les recommandations NIST SP 800-63B-4 fixent notamment une durée maximale de 10 minutes pour certains codes de récupération envoyés par SMS ou appel vocal et de 24 heures pour ceux envoyés par e-mail. Une plateforme peut appliquer une durée plus courte.
Peut-on récupérer un compte sans e-mail ni téléphone ?
Parfois. Le service peut proposer un code de récupération conservé à l’avance, un contact de confiance, un appareil déjà authentifié ou une nouvelle vérification de l’identité. Sans aucune méthode de récupération disponible, la restitution du compte peut toutefois devenir impossible.
Le support peut-il me demander mon mot de passe ?
Un support légitime n’a pas besoin de connaître votre mot de passe pour procéder à une récupération normale. Ne transmettez jamais votre mot de passe, votre mot de passe maître ou un code de récupération à une personne qui vous contacte par téléphone, e-mail ou messagerie.
Est-il dangereux de conserver ses mots de passe sur papier ?
Un support papier conservé dans un endroit physiquement sécurisé peut servir à stocker certains éléments de secours. Le risque dépend surtout de son accessibilité. Un code de récupération enfermé dans un lieu sûr n’a pas le même niveau d’exposition qu’un mot de passe inscrit sur un post-it collé à l’ordinateur.
Faut-il changer tous ses mots de passe après avoir récupéré un compte ?
Pas systématiquement. Si le mot de passe oublié était unique et qu’aucun signe de compromission n’existe, les autres comptes ne sont pas nécessairement concernés. En revanche, si le même mot de passe était réutilisé ou si vous soupçonnez un vol d’identifiants, les comptes partageant ce secret doivent être sécurisés avec des mots de passe différents.
Un mot de passe oublié doit devenir un incident facile à résoudre
La meilleure réponse à un mot de passe oublié ne consiste pas seulement à retrouver l’accès aujourd’hui. Elle consiste à préparer la prochaine panne, perte de téléphone ou tentative de piratage.
Une messagerie principale fortement protégée, un gestionnaire de mots de passe, plusieurs méthodes de récupération, des codes de secours conservés séparément et, lorsque le service le permet, des passkeys réduisent considérablement la dépendance à un secret mémorisé. La récupération du compte devient alors un mécanisme prévu à l’avance plutôt qu’une procédure improvisée en situation d’urgence.
