Mots de passe : les erreurs qui peuvent mettre tous vos comptes en danger

Le nom de votre entreprise suivi de quelques chiffres. Votre prénom et votre année de naissance. Ou encore le même mot de passe utilisé depuis des années, sur tous vos comptes.

Ça vous parle ?

Dans mon activité, je rencontre régulièrement des entreprises qui utilisent des mots de passe trop simples ou les mêmes identifiants pour plusieurs services : messagerie professionnelle, réseaux sociaux, site internet, hébergement ou outils de gestion.

Je comprends pourquoi. Nous avons tous de nombreux comptes à gérer, et retenir des dizaines de mots de passe différents peut vite devenir compliqué.

Le problème, c’est qu’une seule erreur peut parfois suffire à compromettre plusieurs comptes.

Et contrairement à ce que l’on imagine, un piratage ne nécessite pas toujours des connaissances techniques extraordinaires. Il peut simplement commencer par un faux email suffisamment convaincant.

Voyons comment cela fonctionne et surtout, comment éviter ces situations.

Comment un pirate peut-il accéder à plusieurs comptes avec un seul mot de passe ?

Prenons un exemple concret.

Vous gérez une petite entreprise. Vous possédez une adresse email professionnelle, une page Facebook, un compte Instagram et un site WordPress.

Pour vous simplifier la vie, vous utilisez partout la même adresse email et le même mot de passe.

Un jour, vous recevez un message qui semble provenir de Facebook :

« Votre page professionnelle risque d’être suspendue. Vous devez confirmer votre identité pour éviter sa suppression. »

Le message est plutôt bien présenté. Il contient le logo de Facebook et un bouton pour vérifier votre compte.

Vous cliquez.

Une page ressemblant à celle de Facebook s’ouvre. Vous saisissez votre adresse email et votre mot de passe.

Mais cette page est fausse. Vous venez de communiquer vos identifiants à un pirate.

C’est ce qu’on appelle le phishing, ou hameçonnage en français.

Le problème ne s’arrête pas forcément à Facebook

Le pirate possède maintenant une adresse email et un mot de passe.

Il peut alors essayer cette combinaison sur d’autres services :

• Votre messagerie professionnelle.
• Votre compte Instagram.
• Votre administration WordPress.
• Votre hébergement web.
• Vos comptes Google ou Microsoft.
• D’autres plateformes utilisées par votre entreprise.

Si vous utilisez le même mot de passe partout et qu’aucune protection supplémentaire ne bloque la connexion, plusieurs comptes peuvent être compromis.

Cette pratique consistant à tester automatiquement des identifiants récupérés sur différents services porte un nom : le credential stuffing.

Et les conséquences peuvent être importantes.

Le pirate peut usurper votre identité, envoyer des messages à vos contacts, publier sur vos réseaux sociaux ou modifier votre site internet.

Pourquoi le piratage de la messagerie est particulièrement dangereux

Votre boîte email mérite une attention toute particulière.

Pourquoi ?

Parce qu’elle permet généralement de réinitialiser les mots de passe de nombreux autres comptes.

Lorsqu’un service vous propose « Mot de passe oublié ? », il vous envoie souvent un lien de récupération par email.

Une personne qui contrôle votre messagerie peut donc tenter de récupérer l’accès à d’autres services, même lorsqu’elle ne connaît pas leurs mots de passe.

C’est pour cette raison que je considère la messagerie professionnelle comme l’un des premiers comptes à sécuriser.

Les erreurs de mots de passe les plus courantes

Certaines habitudes paraissent pratiques au quotidien. Pourtant, elles facilitent considérablement le travail des pirates.

1. Utiliser le nom de son entreprise comme mot de passe

Votre entreprise s’appelle Exemple Conseil ?

Utiliser un mot de passe construit à partir de « ExempleConseil », suivi d’une année ou d’un point d’exclamation, n’est pas une bonne idée.

Le nom de votre société est public. Il figure sur votre site internet, vos réseaux sociaux et de nombreux annuaires.

Un pirate qui cherche à accéder à vos comptes peut facilement retrouver cette information et essayer différentes combinaisons.

C’est également vrai pour les prénoms, les dates de naissance, les noms d’animaux ou les informations personnelles facilement accessibles.

Un mot de passe ne doit pas pouvoir être deviné à partir d’informations que l’on connaît de vous.

2. Utiliser le même mot de passe partout

C’est probablement l’habitude sur laquelle j’insiste le plus auprès de mes clients.

Même avec un mot de passe compliqué, le fait de le réutiliser sur plusieurs services reste dangereux.

Imaginons qu’un site sur lequel vous êtes inscrit subisse une fuite de données et que votre mot de passe soit compromis.

Si vous utilisez ce même mot de passe ailleurs, les pirates peuvent essayer de se connecter à vos autres comptes.

Vous n’avez même pas besoin d’être personnellement visé : ces tentatives peuvent être entièrement automatisées.

La règle à retenir : un compte = un mot de passe unique.

3. Modifier seulement un chiffre ou une année

Vous utilisez un mot de passe depuis plusieurs années et vous décidez de le renforcer en remplaçant 2025 par 2026 ?

Ce n’est pas suffisant.

Les variantes prévisibles d’un même mot de passe restent faciles à tester, notamment lorsqu’une ancienne version a déjà été divulguée.

Mieux vaut créer un nouveau mot de passe réellement différent.

4. Partager ses identifiants

Un collaborateur doit accéder au site WordPress ? Vous lui donnez votre identifiant administrateur.

Une personne s’occupe des réseaux sociaux ? Vous lui communiquez le mot de passe du compte principal.

C’est pratique sur le moment, mais cela pose plusieurs problèmes.

Vous ne savez plus précisément qui possède les accès. Et lorsqu’une personne quitte l’entreprise, il peut être difficile de vérifier que tous les identifiants partagés ont été modifiés.

Lorsque c’est possible, privilégiez un compte individuel pour chaque utilisateur, avec uniquement les droits dont il a besoin.

C’est notamment possible sur WordPress et sur de nombreux outils professionnels.

5. Conserver ses mots de passe n’importe où

Un fichier Excel non protégé, une note sur son ordinateur, un email contenant tous ses accès ou un document partagé entre plusieurs personnes…

Ces méthodes peuvent exposer vos identifiants en cas de perte d’un appareil, de piratage ou de mauvaise manipulation.

Il existe aujourd’hui des outils conçus spécifiquement pour conserver les mots de passe de manière sécurisée.

Nous allons justement en parler.

Comment créer un mot de passe vraiment sécurisé ?

Un bon mot de passe doit être long, difficile à deviner et unique.

L’ANSSI recommande notamment un minimum de 12 caractères, avec une combinaison suffisamment robuste de lettres, de chiffres et de caractères spéciaux.

Personnellement, lorsque le service le permet, je conseille de générer des mots de passe aléatoires d’au moins 16 caractères, voire davantage pour les accès sensibles.

Mais faut-il vraiment retenir une longue suite de lettres, de chiffres et de symboles ?

Non, heureusement !

C’est précisément le rôle des gestionnaires de mots de passe.

Pourquoi utiliser un gestionnaire de mots de passe ?

Un gestionnaire de mots de passe est une sorte de coffre-fort numérique.

Son fonctionnement est simple :

1. Vous créez un mot de passe principal robuste pour protéger votre coffre-fort.
2. Vous enregistrez vos différents comptes dans le gestionnaire.
3. L’outil génère des mots de passe longs et aléatoires lorsque vous créez de nouveaux comptes.
4. Il peut ensuite remplir automatiquement vos identifiants lorsque vous vous connectez.

Vous n’avez donc plus besoin de mémoriser des dizaines de mots de passe.

Et surtout, chaque service peut utiliser un mot de passe complètement différent.

Quels gestionnaires de mots de passe choisir ?

Plusieurs solutions existent :

Bitwarden

Un gestionnaire de mots de passe disponible sur ordinateur, navigateur et smartphone, avec une offre gratuite pour les usages individuels et des fonctionnalités adaptées aux entreprises.

1Password

Une solution payante, particulièrement intéressante pour centraliser les accès et organiser leur partage dans une entreprise.

KeePassXC

Un logiciel gratuit et open source permettant de conserver une base de mots de passe chiffrée, notamment en local sur son ordinateur.

Il existe également des gestionnaires intégrés aux navigateurs et aux systèmes d’exploitation.

Le bon choix dépend surtout de vos besoins : utilisation sur plusieurs appareils, travail en équipe, simplicité d’utilisation ou préférence pour un stockage local.

L’important est de choisir un outil fiable, de protéger son accès principal par un mot de passe très robuste et d’activer la double authentification lorsqu’elle est disponible.

Et bien entendu, il faut prévoir une méthode sûre pour récupérer vos accès si vous perdez votre appareil ou votre mot de passe principal.

La double authentification : une protection supplémentaire indispensable

Vous avez peut-être déjà rencontré ce système.

Après avoir saisi votre mot de passe, un service vous demande une confirmation supplémentaire : un code dans une application, une validation sur votre téléphone ou une clé de sécurité.

C’est ce qu’on appelle la double authentification, parfois notée 2FA.

Son intérêt est important : même si un pirate récupère votre mot de passe, il lui manque normalement une seconde preuve pour accéder à votre compte.

Comment l’activer ?

De nombreux services proposent cette fonctionnalité dans leurs paramètres de sécurité :

• Google et Gmail.
• Microsoft et Outlook.
• Facebook et Instagram.
• WordPress, à l’aide d’une solution adaptée.
• De nombreux hébergeurs et services professionnels.

Je vous conseille de l’activer au minimum sur vos comptes sensibles.

Privilégiez lorsque c’est possible les clés d’accès (passkeys), les clés de sécurité ou une application d’authentification, plutôt que les codes reçus par SMS.

Les clés d’accès constituent notamment une protection intéressante contre les fausses pages de connexion.

Attention toutefois : aucune méthode n’est magique. Certains pirates essaient également de vous faire communiquer vos codes de validation ou d’approuver une connexion frauduleuse.

Ne communiquez jamais un code de sécurité à une personne qui vous le demande par email, téléphone ou messagerie.

Comment reconnaître un email ou un message de phishing ?

Le phishing ne se limite plus aux emails remplis de fautes d’orthographe.

Certaines tentatives sont particulièrement bien réalisées, avec des logos, une mise en page professionnelle et des messages convaincants.

Et les pirates ne passent pas uniquement par les emails.

Vous pouvez recevoir une tentative de phishing par SMS, WhatsApp, Messenger, Instagram ou LinkedIn.

Les signes qui doivent vous alerter

Méfiez-vous particulièrement des messages qui :

• Vous annoncent une suspension imminente de votre compte.
• Vous demandent de confirmer immédiatement votre identité.
• Vous invitent à communiquer un mot de passe ou un code de sécurité.
• Contiennent un lien vers un site dont l’adresse ne correspond pas au service officiel.
• Vous demandent d’ouvrir un document ou d’installer un logiciel inattendu.

Ces indices ne sont pas systématiquement présents. Un message frauduleux peut aussi sembler tout à fait normal.

Le bon réflexe : ne passez pas par le lien reçu

Vous recevez un email indiquant que votre compte Instagram va être suspendu ?

N’utilisez pas le bouton présent dans le message.

Ouvrez directement Instagram depuis votre application habituelle ou en saisissant son adresse officielle dans votre navigateur.

Vous pourrez ainsi vérifier si une notification existe réellement sur votre compte.

Et si le message semble provenir d’un prestataire ou d’un partenaire que vous connaissez, n’hésitez pas à le contacter par un autre moyen pour confirmer la demande.

Quelques secondes de vérification peuvent éviter beaucoup de problèmes.

Que faire si vous pensez avoir communiqué votre mot de passe à un pirate ?

Vous avez saisi vos identifiants sur une page suspecte ? Vous avez reçu une alerte de connexion inhabituelle ?

Il faut agir rapidement.

Commencez par changer le mot de passe du compte concerné, en passant directement par le site ou l’application officielle.

Si vous avez utilisé le même mot de passe sur d’autres services, modifiez-le également sur chacun d’eux, en créant cette fois des mots de passe différents.

Voici les actions prioritaires :

• Sécuriser votre messagerie principale, notamment si elle utilise les mêmes identifiants.
• Modifier les mots de passe compromis depuis un appareil de confiance.
• Activer ou vérifier la double authentification.
• Déconnecter les sessions et appareils que vous ne reconnaissez pas.
• Vérifier les adresses et moyens de récupération des comptes.
• Contrôler les éventuelles règles de transfert automatique dans votre messagerie.
• Vérifier qu’aucun accès ou utilisateur inconnu n’a été ajouté.
• Prévenir les personnes concernées si des messages frauduleux ont été envoyés depuis votre compte.

Si vous avez téléchargé un fichier suspect ou installé un logiciel à la demande d’un inconnu, faites également vérifier votre appareil. Un changement de mot de passe ne suffit pas si celui-ci reste infecté.

En cas de piratage, vous pouvez retrouver des conseils officiels sur Cybermalveillance.gouv.fr.

Pour une entreprise, une compromission peut aussi entraîner des obligations particulières si des données personnelles ont été exposées. Il faut alors évaluer rapidement l’incident.

Les 7 bonnes habitudes à adopter dès aujourd’hui

Pour résumer, voici les recommandations que je donne le plus souvent :

1. Utilisez un mot de passe différent pour chaque compte. C’est le meilleur moyen d’éviter qu’un seul identifiant compromis donne accès à plusieurs services.
2. Choisissez des mots de passe longs et difficiles à deviner. Évitez les noms d’entreprise, dates de naissance et autres informations personnelles.
3. Adoptez un gestionnaire de mots de passe. Vous pourrez utiliser des identifiants complexes sans devoir tous les mémoriser.
4. Activez la double authentification. En priorité sur votre messagerie, vos comptes administrateurs et vos réseaux sociaux professionnels.
5. Ne communiquez pas vos identifiants. Créez des accès individuels lorsque vous travaillez à plusieurs.
6. Méfiez-vous des messages qui vous demandent de vous connecter en urgence. Vérifiez toujours les demandes directement auprès du service concerné.
7. Sécurisez votre adresse email principale. Elle permet souvent de récupérer les accès à de nombreux autres comptes.

Vous n’avez pas besoin de tout modifier en une journée. Commencez par les comptes les plus importants, puis progressez.

Questions fréquentes sur la sécurité des mots de passe

Est-il dangereux d’utiliser le même mot de passe sur plusieurs sites ?

Oui. Si ce mot de passe est découvert lors d’une fuite de données ou d’une tentative de phishing, un pirate peut essayer de l’utiliser sur vos autres comptes. C’est pourquoi chaque service doit avoir un mot de passe unique.

Combien de caractères doit contenir un mot de passe sécurisé ?

Les recommandations de sécurité françaises préconisent généralement au moins 12 caractères, avec une complexité adaptée. Un mot de passe plus long, aléatoire et unique est préférable. Un gestionnaire peut facilement en générer de 16 caractères ou davantage.

Faut-il changer régulièrement ses mots de passe ?

Pas nécessairement pour tous les comptes. Un mot de passe long, unique et non compromis n’a pas besoin d’être changé tous les mois par principe. En revanche, il faut le modifier immédiatement en cas de suspicion de fuite ou de vol. Des règles particulières peuvent s’appliquer aux comptes administrateurs.

Un gestionnaire de mots de passe est-il sécurisé ?

Un gestionnaire reconnu, correctement configuré et maintenu à jour constitue généralement une solution plus sûre que la réutilisation des mêmes identifiants. Il faut toutefois protéger son mot de passe principal, activer la double authentification et conserver ses moyens de récupération en lieu sûr.

La double authentification empêche-t-elle tous les piratages ?

Non, mais elle réduit considérablement les risques liés au vol de mots de passe. Certaines attaques peuvent également viser les codes de validation ou les sessions déjà ouvertes. Les clés d’accès et les méthodes résistantes au phishing offrent une meilleure protection contre certaines de ces attaques.

Un peu de prévention peut éviter beaucoup de problèmes

La sécurité informatique peut sembler compliquée, mais de nombreuses protections reposent sur des gestes assez simples.

Utiliser un mot de passe différent pour chaque service, protéger sa messagerie et activer la double authentification ne demande pas de compétences techniques particulières.

Et pourtant, ces quelques habitudes peuvent faire une vraie différence.

Un site internet sécurisé ne suffit pas si les comptes qui permettent de l’administrer sont mal protégés.

Chez Cyma Web, j’accorde donc autant d’importance à la sécurité des accès qu’à celle des sites internet eux-mêmes.

Car le meilleur moyen de gérer un piratage reste encore de limiter les risques avant qu’il ne se produise.

Vous avez des questions sur la sécurité de votre site WordPress, de ses accès ou de son hébergement ?

Parlons-en. Je peux vous aider à faire le point sur votre installation et à identifier les protections réellement utiles.

Pour aller plus loin : les recommandations officielles

Vous souhaitez améliorer la sécurité de vos comptes et adopter de meilleures habitudes ? Voici deux ressources fiables et accessibles :

• Cybermalveillance.gouv.fr — Pourquoi et comment bien gérer ses mots de passe ? : dix bonnes pratiques pour protéger ses comptes, choisir des mots de passe robustes et éviter les piratages.
• CNIL — Les conseils pour un bon mot de passe : des recommandations simples pour créer des mots de passe sécurisés, utiliser un gestionnaire et activer la double authentification.