Partenariat d’affiliation Proton : VARGSEC participe au programme d’affiliation Proton. Cet article contient un lien commercial pouvant donner lieu au versement d’une commission. Mes recommandations reposent sur mon expérience professionnelle et restent indépendantes de cette rémunération.
Les mots de passe : un problème que je rencontre régulièrement
Dans mes interventions en cybersécurité auprès des particuliers, je constate régulièrement les mêmes difficultés : des mots de passe trop simples, réutilisés sur plusieurs sites ou enregistrés un peu partout.
Certaines personnes utilisent le même mot de passe depuis dix ans. D’autres possèdent des dizaines de comptes sans vraiment savoir comment leurs identifiants sont protégés.
Tant que tout fonctionne, personne ne s’en préoccupe vraiment.
Mais lorsqu’un compte de messagerie est piraté, les conséquences peuvent rapidement devenir importantes.
Un pirate qui récupère le mot de passe d’une boîte mail peut tenter d’accéder à d’autres services, réinitialiser certains identifiants et parfois prendre le contrôle de plusieurs comptes.
Lorsqu’un mot de passe est réutilisé sur plusieurs services, ou qu’il donne accès à votre messagerie principale, sa compromission peut mettre en danger une grande partie de votre vie numérique.
Et contrairement à ce que l’on pourrait penser, il n’est pas nécessaire d’être une personnalité connue ou de posséder beaucoup d’argent pour intéresser les pirates.
Tout le monde peut être concerné.
Un mot de passe différent pour chaque compte
C’est l’un des premiers conseils que je donne lors de mes interventions.
Utilisez un mot de passe différent pour chaque service.
Mais soyons réalistes : qui peut retenir 30, 50 ou 100 mots de passe complexes ?
La solution consiste à utiliser un gestionnaire de mots de passe.
Pour ma part, j’utilise notamment Proton Pass, développé par l’entreprise suisse Proton.
Son fonctionnement est assez simple.
Le logiciel génère des mots de passe complexes, les conserve dans un coffre-fort chiffré et permet de les renseigner automatiquement lorsque vous vous connectez à vos comptes.
Vous n’avez donc plus besoin de retenir tous vos identifiants.
Proton Pass fonctionne sur ordinateur et sur smartphone. Les mots de passe peuvent être synchronisés entre les différents appareils.
Autre fonctionnalité intéressante : les alias d’adresses électroniques, qui permettent de ne pas communiquer systématiquement sa véritable adresse mail lors d’une inscription sur un site.
Une version gratuite largement suffisante pour commencer
C’est aussi une raison pour laquelle je recommande ce logiciel.
Il n’est pas nécessaire de payer pour bénéficier d’une bonne protection de ses mots de passe.
La version gratuite de Proton Pass permet déjà d’enregistrer un nombre illimité d’identifiants, de générer des mots de passe complexes et de les retrouver sur plusieurs appareils.
Elle prend également en charge les clés d’accès, appelées passkeys, qui permettent de se connecter à certains services sans utiliser de mot de passe traditionnel.
Ces clés d’accès présentent notamment l’avantage de mieux résister aux faux sites de connexion.
La version gratuite permet également de gérer jusqu’à trois éléments d’authentification à deux facteurs directement dans Proton Pass.
Les versions payantes proposent des fonctionnalités supplémentaires, comme davantage d’alias d’adresses électroniques, une surveillance plus étendue des fuites de données et la gestion d’un nombre illimité de codes d’authentification.
Ces fonctionnalités peuvent être utiles, mais elles ne sont pas indispensables à tout le monde.
Mon rôle de prestataire en cybersécurité n’est pas de multiplier les abonnements de mes clients. Il consiste avant tout à leur proposer des solutions adaptées à leurs besoins.
Proton Authenticator : pourquoi je conseille de séparer les usages
C’est un point sur lequel j’insiste particulièrement.
Aujourd’hui, de nombreux services proposent une authentification à deux facteurs, également appelée A2F ou 2FA.
En plus du mot de passe, un code temporaire est demandé pour accéder au compte.
Ce code est généralement généré par une application d’authentification.
Proton Pass permet de conserver à la fois les mots de passe et ces codes temporaires.
C’est pratique. Mais personnellement, je préfère éviter de conserver tous les éléments d’authentification au même endroit.
Pourquoi ?
Parce que la sécurité repose aussi sur la séparation des protections.
Imaginons qu’un ordinateur soit infecté par un logiciel malveillant capable de récupérer les informations enregistrées dans un gestionnaire de mots de passe.
Si les codes d’authentification sont également conservés dans ce même gestionnaire, le pirate peut potentiellement récupérer les deux éléments nécessaires pour accéder aux comptes.
En revanche, si les codes sont conservés dans une application distincte sur votre smartphone, leur récupération peut devenir plus difficile.
C’est pourquoi je conseille une organisation simple :
Proton Pass pour gérer les mots de passe sur l’ordinateur et Proton Authenticator sur le smartphone pour générer les codes de validation.
Proton Authenticator est une application gratuite, disponible notamment sur Android et iPhone.
Elle fonctionne même sans compte Proton et peut générer les codes d’authentification sans connexion Internet.
Pour conserver un cloisonnement plus important, je recommande de ne pas synchroniser systématiquement ses codes Authenticator avec le même compte Proton que celui utilisé pour Proton Pass.
Il faut cependant prévoir une sauvegarde sécurisée et indépendante des codes.
Cette organisation présente un avantage en matière de séparation des usages, mais elle n’offre pas une protection absolue.
Si votre smartphone est lui-même compromis, ou si un pirate parvient à détourner une session déjà ouverte, l’authentification à deux facteurs peut ne pas suffire.
Et si vous utilisez également Proton Pass sur votre smartphone, la séparation entre les appareils sera moins importante.
L’objectif n’est pas de compliquer inutilement la vie des utilisateurs, mais d’éviter de concentrer tous les moyens d’accès dans un seul endroit.
Le compte Proton doit être particulièrement bien protégé
Il existe cependant un compte auquel il faut apporter une attention particulière : celui qui permet d’accéder à Proton Pass.
Ce compte protège indirectement tous les identifiants enregistrés dans votre coffre-fort.
Je recommande donc d’utiliser un mot de passe principal long, unique et mémorisable.
Ce mot de passe doit être différent de ceux utilisés sur vos autres services.
Attention : n’enregistrez pas le mot de passe principal de votre compte Proton uniquement dans Proton Pass.
En cas de perte d’accès au gestionnaire, vous risqueriez de ne plus pouvoir retrouver le mot de passe nécessaire pour y accéder.
Je recommande également d’activer l’authentification à deux facteurs sur le compte Proton lui-même, idéalement avec Proton Authenticator sur un smartphone ou avec une clé de sécurité physique.
Enfin, Proton permet de créer une phrase de récupération composée de douze mots.
Cette phrase est particulièrement importante puisqu’elle peut permettre de réinitialiser le mot de passe tout en récupérant l’accès aux données chiffrées.
Elle doit être conservée en sécurité, en dehors du compte Proton qu’elle permet de récupérer.
Une copie sur papier, conservée dans un endroit sûr, peut constituer une solution simple.
Il faut également conserver les codes de récupération de l’authentification à deux facteurs.
Ces codes et la phrase de récupération Proton ne remplissent pas exactement les mêmes fonctions.
Attention : les codes d’authentification ne protègent pas contre toutes les attaques
L’authentification à deux facteurs constitue une protection supplémentaire très utile.
Mais elle possède aussi ses limites.
Un pirate peut créer un faux site reproduisant presque parfaitement la page de connexion de Microsoft, Google ou d’un autre service.
La victime saisit son identifiant, son mot de passe, puis son code d’authentification.
Le pirate peut alors récupérer ces informations et tenter de les utiliser immédiatement.
Un code temporaire ne garantit donc pas à lui seul que vous êtes sur le véritable site.
C’est pourquoi, pour les comptes particulièrement sensibles, je conseille d’utiliser des clés de sécurité physiques compatibles FIDO2, comme les YubiKey, lorsque le service le permet.
Ces clés offrent une protection renforcée contre le phishing, car l’authentification repose notamment sur une vérification cryptographique du site auquel vous vous connectez.
Les clés d’accès (passkeys) constituent également une évolution intéressante.
Elles permettent de se connecter à certains services sans mot de passe traditionnel et offrent une meilleure résistance au phishing.
Une passkey enregistrée dans un gestionnaire de mots de passe reste cependant différente d’une clé de sécurité physique, notamment en matière de conservation et de séparation du moyen d’authentification.
Pour mes clients particuliers, je recommande de commencer par une protection simple et correctement configurée, puis de renforcer les comptes les plus sensibles lorsque cela est nécessaire.
Attention à ne pas perdre vos moyens de récupération
C’est un autre problème que je rencontre régulièrement.
Certaines personnes activent l’authentification à deux facteurs, changent ensuite de téléphone et découvrent qu’elles ne peuvent plus accéder à leurs comptes.
Renforcer sa sécurité ne doit pas conduire à se retrouver soi-même bloqué.
Lorsque vous activez l’authentification à deux facteurs, pensez à conserver les codes de récupération fournis par le service concerné.
Ces codes doivent être placés dans un endroit sûr, distinct de l’appareil utilisé quotidiennement.
Je recommande également de prévoir une sauvegarde sécurisée des données de votre application d’authentification.
Proton Authenticator propose différentes possibilités, notamment la synchronisation chiffrée et l’exportation des codes.
Dans une logique de séparation des protections, une sauvegarde indépendante et chiffrée peut être préférable à une synchronisation de tous les éléments avec un seul compte.
L’essentiel est de pouvoir retrouver vos codes en cas de perte, de vol ou de panne de votre téléphone.
Et surtout, n’attendez pas d’avoir perdu votre smartphone pour découvrir comment fonctionne la récupération de vos comptes.
Une bonne sécurité doit également permettre de retrouver l’accès à ses services lorsqu’un incident survient.
Aucun logiciel ne remplace la vigilance
Proton Pass est un outil intéressant, mais il ne faut pas lui demander l’impossible.
Un gestionnaire de mots de passe ne protège pas automatiquement contre toutes les escroqueries.
Lorsqu’une personne installe un logiciel de prise en main à distance à la demande d’un faux technicien Microsoft, par exemple, le problème dépasse largement la question des mots de passe.
Lors de ce type d’arnaque, un escroc peut parfois accéder directement à des comptes déjà ouverts dans le navigateur.
De la même manière, certains logiciels malveillants sont capables de récupérer des informations de session permettant d’accéder à des services sans avoir besoin de connaître le mot de passe.
Les mises à jour, la vigilance face aux messages frauduleux et la protection des appareils restent donc indispensables.
Il faut également se méfier des extensions de navigateur inconnues et éviter d’installer des logiciels provenant de sources douteuses.
La sécurité informatique ne repose jamais sur un seul logiciel.
Mon avis sur Proton Pass
Je recommande Proton Pass parce qu’il permet aux particuliers d’améliorer assez facilement la gestion de leurs identifiants.
Son chiffrement de bout en bout, sa simplicité d’utilisation et sa version gratuite constituent des avantages appréciables.
Mais ce n’est pas la seule solution valable. Bitwarden, KeePassXC et d’autres gestionnaires peuvent également répondre à différents besoins.
Pour les personnes qui souhaitent utiliser Proton Pass, voici l’organisation que je privilégie :
- Proton Pass pour générer, conserver et utiliser les mots de passe.
- Proton Authenticator sur le smartphone pour gérer séparément les codes d’authentification.
- Un mot de passe principal Proton particulièrement robuste, conservé indépendamment du gestionnaire.
- Une phrase de récupération Proton et des codes de secours conservés en sécurité, en dehors du compte concerné.
- Une sauvegarde indépendante des codes d’authentification, pour éviter de perdre l’accès aux comptes.
- Une clé physique de sécurité, lorsque cela est possible, pour les comptes les plus sensibles.
Cette organisation représente à mes yeux un bon compromis entre simplicité et sécurité.
Elle ne convient pas nécessairement à toutes les situations, mais elle constitue une base intéressante pour de nombreux particuliers.
Et surtout, elle reste accessible sans abonnement payant.
Découvrir Proton Pass et Proton Authenticator
Si vous souhaitez améliorer la protection de vos comptes, vous pouvez découvrir Proton Pass et commencer par sa version gratuite.
Découvrir Proton Pass et ses différentes formules
Pour gérer vos codes d’authentification séparément, vous pouvez également télécharger gratuitement Proton Authenticator.
Découvrir Proton Authenticator
Lien d’affiliation : VARGSEC peut percevoir une commission si vous souscrivez un abonnement Proton par l’intermédiaire du lien Proton Pass. Cette rémunération ne conditionne pas les conseils délivrés.