Une alerte de fuite : changer des dizaines de mots de passe sans s'enfermer dehors
Un jour, votre navigateur ou votre fournisseur vous annonce que vos mots de passe sont apparus dans une fuite. Les changer un par un, dans la précipitation, c'est comme ça qu'on s'enferme dehors de ses propres comptes. Nous l'avons vécu ; voici la méthode qui en est sortie.
1. L'ordre : le coffre d'abord
Ça semble à l'envers, et c'est ce qui vous sauve : générez le nouveau mot de passe, rangez-le d'abord dans votre gestionnaire de mots de passe, puis appliquez-le sur le service, puis prouvez-le par une vraie connexion. Si le rangement échoue, rien n'a changé et l'ancien mot de passe marche toujours. Si l'application échoue en cours de route, le gestionnaire a gardé la valeur précédente dans son historique (Bitwarden et Vaultwarden le font), et vous pouvez toujours rentrer.
2. Commencer là où un mot de passe ouvre beaucoup de portes
Regroupez vos comptes par mot de passe, pas par importance. Les dangereux sont ceux utilisés à plusieurs endroits : l'un d'eux peut ouvrir d'un coup votre banque, votre compte des impôts et votre messagerie. Changez d'abord les plus réutilisés, et avant tout les comptes qui permettent d'en réinitialiser d'autres (votre messagerie en premier).
3. Prouver chaque changement
Un changement est fait quand vous vous êtes déconnecté puis reconnecté avec le nouveau mot de passe, pas quand le formulaire a affiché « enregistré ». Marquez chaque fiche prouvée (une note, une étiquette, une date dans la fiche) : à la fin, vous savez exactement ce qui est fait et ce qui ne l'est pas.
4. Activer un second facteur là où ça compte
Pour la messagerie, la banque, les impôts et votre gestionnaire de mots de passe lui-même, ajoutez un second facteur (une app d'authentification). Un mot de passe fuité seul n'ouvre alors plus rien.
Pièges que nous avons payés
Une fiche périmée est pire qu'une fiche vide. Des fiches importées il y a longtemps avaient l'air correctes, mais les comptes avaient changé depuis : la plupart de leurs mots de passe ne marchaient plus. Une fiche vide vous dit de réinitialiser ; une fiche périmée vous fait croire que vous avez encore accès.
Certains sites ne laissent aucun script changer quoi que ce soit : captchas, confirmations par téléphone, murs anti-robots. C'est leur raison d'être : prouver qu'un humain est là. Gardez ceux-là pour vous, et ne perdez pas une soirée à essayer de les automatiser.
Deux dossiers presque homonymes dans un coffre, c'est ainsi qu'un secret se perd : une faute de frappe, et une fiche atterrit là où personne ne regardera. Nettoyez la structure de votre coffre pendant que vous y êtes.
Ne rangez jamais le mot de passe maître de votre coffre dans le coffre lui-même. Écrivez-le sur papier (Homelab 3).
Utile ? Dites-nous ce qu'il faut mesurer ensuite.