Utiliser le même mot de passe pour sa messagerie, ses achats en ligne et ses comptes professionnels revient à fabriquer un passe-partout numérique. Si une seule plateforme subit une fuite de données et que vos identifiants sont récupérés, des attaquants peuvent les essayer automatiquement sur d’autres services. C’est le principe du credential stuffing.
Un mot de passe unique pour chaque compte casse cette chaîne. La compromission d’un site reste alors, autant que possible, limitée à ce site. Cette règle est notamment recommandée par l’ANSSI, qui préconise explicitement d’utiliser un mot de passe différent pour chaque service et encourage le recours à un coffre-fort de mots de passe.
Pourquoi réutiliser le même mot de passe est-il si dangereux ?
Le problème ne vient pas uniquement de la robustesse du mot de passe. Même un mot de passe difficile à deviner perd une grande partie de son intérêt s’il est utilisé partout et finit par être compromis sur l’un de ces services.
Imaginons qu’une personne utilise le même identifiant et le même mot de passe pour une petite boutique en ligne, sa messagerie et plusieurs outils professionnels. La boutique est victime d’une fuite de données. Selon la nature de cette fuite et la manière dont les mots de passe étaient protégés, les attaquants peuvent parvenir à récupérer des identifiants exploitables.
Ils disposent alors d’une information particulièrement intéressante : une combinaison associant une adresse électronique à un mot de passe. Ils peuvent tenter cette combinaison sur d’autres plateformes.
La petite boutique n’était donc pas nécessairement la cible finale. Elle a simplement fourni la clé permettant d’essayer d’ouvrir d’autres portes.
Comment fonctionne une attaque de credential stuffing ?
Le credential stuffing, ou bourrage d’identifiants, exploite précisément la tendance des internautes à réutiliser leurs mots de passe.
L’attaque ne consiste pas à imaginer manuellement le mot de passe d’une victime. Des logiciels automatisent les tentatives de connexion à partir de listes d’identifiants déjà compromis.
- Une fuite de données expose des identifiants provenant d’un service.
- Les données compromises sont récupérées ou échangées par des acteurs malveillants.
- Des outils automatisés testent ces identifiants sur d’autres plateformes.
- Lorsqu’une combinaison fonctionne, le compte correspondant peut être compromis.
- L’attaquant peut ensuite chercher à exploiter ce nouvel accès pour atteindre d’autres services.
Les plateformes peuvent déployer des mécanismes de détection et limiter le nombre de tentatives de connexion. Mais la réutilisation reste une faiblesse majeure : l’attaquant ne cherche pas forcément à deviner le secret, puisqu’il possède déjà un mot de passe réellement utilisé par la victime.
L’effet domino : comment un compte secondaire peut mener aux comptes importants
Le risque devient plus concret lorsque l’on suit la chaîne de compromission.
Prenons le cas d’un compte créé plusieurs années auparavant sur un site marchand. Son propriétaire considère ce compte comme peu important et lui attribue le même mot de passe que celui de sa messagerie.
Le site marchand subit ensuite une fuite. Si les identifiants deviennent exploitables, un attaquant teste la combinaison sur le service de messagerie. Elle fonctionne.
Le problème change alors complètement d’échelle. Une boîte mail constitue souvent le centre de contrôle de l’identité numérique : elle reçoit des confirmations d’inscription, des alertes de sécurité et surtout des liens de réinitialisation de mots de passe.
L’attaquant peut donc rechercher les services utilisés par sa victime et tenter des procédures de récupération de compte. Selon les protections activées sur chaque plateforme, une compromission initialement limitée à un site secondaire peut ainsi se propager.
C’est précisément pourquoi l’ANSSI évoque un risque d’« effet boule de neige » lorsqu’un même mot de passe protège plusieurs accès.
Ajouter un chiffre ou un caractère spécial ne rend pas un mot de passe vraiment unique
Une stratégie courante consiste à mémoriser un mot de passe de base puis à le modifier légèrement selon le service : un chiffre supplémentaire, une majuscule ou un point d’exclamation.
Par exemple, une personne pourrait construire une famille de mots de passe sur le même modèle et ne changer que quelques caractères d’un site à l’autre.
Cette méthode réduit la charge de mémorisation, mais elle reste prévisible. Une fois l’un des mots de passe connu, la logique employée pour créer les autres peut devenir beaucoup plus facile à deviner.
Le NIST souligne justement que les utilisateurs confrontés à certaines règles de composition ont tendance à adopter des transformations prévisibles, comme l’ajout d’un chiffre ou d’un caractère spécial. C’est l’une des raisons pour lesquelles ses recommandations modernes accordent davantage d’importance à la longueur et déconseillent les changements périodiques arbitraires ainsi que les règles de composition imposées.
Un mot de passe véritablement unique n’est donc pas simplement une variante de celui utilisé ailleurs. Il doit être indépendant des autres.
Comment retenir des dizaines de mots de passe différents ?
C’est le principal obstacle à cette recommandation. Demander à une personne de mémoriser plusieurs dizaines de chaînes longues, différentes et imprévisibles n’est pas réaliste.
La réponse consiste donc moins à améliorer sa mémoire qu’à ne plus lui confier cette tâche.
Un gestionnaire de mots de passe conserve les identifiants dans un coffre chiffré et peut générer des mots de passe différents pour chaque service. L’utilisateur n’a alors plus besoin de connaître le mot de passe de sa boutique en ligne, de son réseau social ou d’un service administratif.
Il doit principalement protéger l’accès à son gestionnaire. La CNIL recommande d’ailleurs d’inciter les utilisateurs à employer ces outils et rappelle que le mot de passe maître doit être particulièrement robuste.
Un gestionnaire de mots de passe déplace-t-il simplement le risque ?
En partie, et c’est justement pourquoi le choix et la configuration de l’outil comptent. Centraliser ses secrets crée un point particulièrement sensible. Le mot de passe maître, le terminal utilisé et les éventuels mécanismes de synchronisation doivent donc être correctement protégés.
Le NIST considère que les gestionnaires peuvent apporter davantage de sécurité et de confort, notamment parce qu’ils permettent de générer des mots de passe longs et uniques. Il rappelle cependant que le coffre constitue une cible intéressante pour les cybercriminels et recommande notamment de protéger fortement son secret maître et d’activer l’authentification multifacteur lorsqu’elle est disponible.
Le choix n’est pas nécessairement limité aux services stockant un coffre synchronisé dans le cloud. Il existe également des gestionnaires permettant de conserver une base chiffrée localement. Le modèle de confiance, les possibilités de sauvegarde, la protection du coffre et la sécurité des appareils utilisés doivent être examinés en fonction de ses besoins.
Les gestionnaires intégrés aux navigateurs sont-ils sûrs ?
Il n’existe pas de réponse valable pour tous les navigateurs et tous les systèmes. Les protections proposées ont évolué et diffèrent selon les solutions.
Le point essentiel est de comprendre comment les identifiants sont chiffrés, comment l’accès au coffre est protégé et ce qu’il se passe lorsqu’un tiers obtient l’accès à une session ou à un appareil déverrouillé.
La sécurité du coffre ne remplace donc pas celle du terminal : un ordinateur compromis par un logiciel malveillant peut exposer des informations au moment où elles sont utilisées, même si elles étaient correctement chiffrées lorsqu’elles étaient stockées.
Mot de passe long ou mot de passe complexe : que privilégier ?
L’ancienne représentation du « bon » mot de passe repose souvent sur une chaîne courte remplie de majuscules, chiffres et symboles difficiles à retenir. Les recommandations contemporaines sont plus nuancées.
Le NIST met fortement l’accent sur la longueur des mots de passe et demande aux services de ne pas imposer des règles de composition telles que l’obligation de mélanger plusieurs catégories de caractères. Il déconseille également les changements périodiques sans raison de sécurité.
En France, les recommandations ne sont pas parfaitement identiques. L’ANSSI continue notamment à définir des exigences de robustesse adaptées au contexte et son guide sur l’authentification prévoit des règles de complexité. La CNIL raisonne notamment en niveau de complexité ou d’entropie et a abandonné en 2022 l’obligation de renouvellement périodique pour les comptes utilisateurs classiques.
Le principe commun reste clair pour le particulier : mieux vaut un secret suffisamment robuste et surtout différent pour chaque service qu’un mot de passe artificiellement compliqué mais réutilisé partout.
Faut-il changer régulièrement tous ses mots de passe ?
Pas systématiquement. L’idée selon laquelle chaque mot de passe devrait être changé tous les trois mois n’est plus une règle générale à appliquer aveuglément.
La recommandation de la CNIL adoptée en 2022 abandonne l’obligation de renouvellement périodique pour les comptes utilisateurs classiques, tout en conservant une approche différente pour les comptes à privilèges. Le guide de l’ANSSI recommande lui aussi de ne pas imposer par défaut de délai d’expiration aux comptes non sensibles.
Le NIST va dans le même sens : un service ne devrait pas forcer un changement arbitraire et périodique, mais un mot de passe doit être remplacé lorsqu’il existe des éléments indiquant sa compromission.
Cette évolution répond également à un problème humain. Lorsque les changements deviennent trop fréquents, les utilisateurs risquent d’adopter des transformations prévisibles, par exemple en incrémentant simplement un chiffre.
Que faire si un mot de passe a fuité ?
Lorsqu’un mot de passe est susceptible d’avoir été compromis, la priorité est de le remplacer sur le service concerné. S’il a été réutilisé, il faut également identifier tous les autres comptes utilisant ce même secret ou une variante proche et modifier leurs mots de passe.
La messagerie mérite une attention prioritaire, car elle intervient fréquemment dans les procédures de récupération des autres comptes. Les comptes professionnels, financiers et administratifs doivent également être vérifiés rapidement.
Il faut ensuite contrôler les connexions ou activités inhabituelles lorsque le service fournit ces informations, déconnecter les sessions inconnues et activer l’authentification multifacteur lorsqu’elle est proposée.
Cette dernière ajoute une barrière supplémentaire : connaître le mot de passe ne suffit plus nécessairement pour se connecter. L’ANSSI recommande de privilégier l’authentification multifacteur lorsque le contexte le permet, et la CNIL a publié en 2025 une recommandation spécifique consacrée à ce mécanisme.
Un mot de passe réutilisé au travail peut aussi exposer l’entreprise
La frontière entre sécurité personnelle et professionnelle est parfois moins nette qu’elle n’y paraît. Un collaborateur qui réutilise un mot de passe personnel pour un outil professionnel peut transformer une fuite provenant d’un service grand public en risque pour son organisation.
Les outils SaaS, espaces collaboratifs, messageries et autres services accessibles depuis Internet constituent autant de portes potentielles. La situation devient particulièrement critique lorsque le compte compromis possède des droits importants ou permet d’accéder à des informations internes.
Un mot de passe unique par service protège donc non seulement l’individu, mais contribue également au cloisonnement des accès professionnels.
Les passkeys vont-elles faire disparaître les mots de passe ?
Les clés d’accès, ou passkeys, cherchent précisément à supprimer plusieurs faiblesses inhérentes aux mots de passe. Elles reposent sur des mécanismes cryptographiques et permettent de s’authentifier sans transmettre à un serveur un secret mémorisé de la même manière qu’un mot de passe traditionnel.
Leur déploiement progresse, mais les mots de passe restent encore largement présents. Pendant cette période de transition, il faut donc continuer à protéger correctement les comptes qui en dépendent.
La règle la plus efficace reste simple : considérer chaque compte comme une serrure différente. Un mot de passe unique empêche qu’une clé dérobée sur un service devienne automatiquement le passe-partout de toute votre vie numérique.
FAQ sur l’utilisation d’un mot de passe unique
Est-ce grave de réutiliser un mot de passe sur un site sans importance ?
Oui, si ce mot de passe est également utilisé sur un compte important. La valeur du site compromis importe alors moins que celle des autres portes que les mêmes identifiants permettent potentiellement d’ouvrir. Un compte secondaire peut devenir le point de départ d’une compromission en cascade.
Comment retenir un mot de passe différent pour chaque site ?
Il n’est pas nécessaire de tous les mémoriser. Un gestionnaire de mots de passe peut générer et conserver des identifiants uniques dans un coffre chiffré. L’utilisateur doit en revanche sécuriser soigneusement son mot de passe maître et son terminal.
Un mot de passe très complexe peut-il être utilisé sur plusieurs comptes ?
C’est déconseillé. Sa complexité ne protège pas contre le credential stuffing s’il a déjà été compromis : l’attaquant n’a plus besoin de le deviner. L’unicité des mots de passe permet précisément d’éviter qu’une fuite ouvre plusieurs comptes.
Dois-je changer mes mots de passe tous les trois mois ?
Pas pour cette seule raison. La CNIL a abandonné l’obligation de renouvellement périodique pour les comptes utilisateurs classiques et le NIST déconseille également les changements arbitraires. En revanche, un mot de passe compromis ou suspecté de l’être doit être remplacé.
L’authentification à deux facteurs suffit-elle si je réutilise mes mots de passe ?
Non. L’authentification multifacteur réduit fortement le risque associé au vol d’un mot de passe, mais elle ne justifie pas sa réutilisation. Tous les services ne disposent pas nécessairement du même niveau de protection et un mot de passe unique par compte reste une mesure essentielle de cloisonnement.
