====== Gestionnaire de mots de passe : reprendre le contrôle ====== **Temps estimé** : 45 minutes pour l'installation et la migration de base\\ **Prérequis** : Un navigateur web, un email valide\\ **Difficulté** : Débutant ===== Pourquoi un gestionnaire change tout ===== Vous avez le même mot de passe partout. Ou trois mots de passe que vous alternez. Ou un système avec le nom du site dedans. Vous le savez : c'est dangereux. Mais mémoriser 47 mots de passe différents, personne ne peut. Un gestionnaire de mots de passe résout ce problème d'un coup. Il génère des mots de passe impossibles à deviner, les stocke de façon chiffrée, et les remplit automatiquement. Vous n'avez plus qu'un seul mot de passe à retenir : celui qui ouvre le coffre-fort. Les bénéfices immédiats : * Un mot de passe unique et solide par site * Pas de réutilisation en cas de fuite de données * Connexion plus rapide (remplissage automatique) * Accès depuis tous vos appareils * Partage sécurisé avec votre famille Le risque ? Vous mettez tous vos œufs dans le même panier. C'est vrai. Mais ce panier est blindé, et l'alternative (des mots de passe faibles partout) est bien pire. ===== Bitwarden : installation et premiers pas ===== Bitwarden est gratuit, open source, et peut s'auto-héberger si vous êtes technique. La version cloud gratuite suffit largement pour commencer. ==== Créer son compte ==== - Rendez-vous sur https://vault.bitwarden.com/#/register - Entrez votre email et créez votre **mot de passe maître** (voir section dédiée plus bas) - Notez ce mot de passe sur papier, dans un endroit sûr. Si vous le perdez, personne ne peut le récupérer. - Validez votre email ==== Installer l'extension navigateur ==== - Dans Bitwarden, cliquez sur votre profil → **Account Settings** → **Security** → **Keys** - Ouvrez la page des extensions de votre navigateur : * Firefox : https://addons.mozilla.org/firefox/addon/bitwarden-password-manager/ * Chrome/Brave : https://chrome.google.com/webstore/detail/bitwarden-password-manage/nngceckbapebfimnlniiiahkandclblb - Installez l'extension - Cliquez sur l'icône Bitwarden dans la barre d'outils - Connectez-vous avec votre email et mot de passe maître ==== Installer l'application mobile (optionnel) ==== * Android : F-Droid (version libre) ou Play Store * iOS : App Store Connectez-vous avec les mêmes identifiants. Vos mots de passe se synchronisent automatiquement. ===== Migrer ses mots de passe depuis le navigateur ===== Vous avez des dizaines de mots de passe enregistrés dans Firefox ou Chrome. Transférons-les. ==== Depuis Firefox ==== - Menu → **Mots de passe** - Trois points en haut à droite → **Exporter les identifiants** - Confirmez avec votre mot de passe système - Enregistrez le fichier CSV (attention : non chiffré !) - Dans Bitwarden (sur le site web) : **Tools** → **Import Data** - Format : Firefox (csv) - Sélectionnez votre fichier - **Supprimez immédiatement le fichier CSV de votre ordinateur** ==== Depuis Chrome/Brave ==== - Paramètres → **Remplissage automatique** → **Gestionnaire de mots de passe** - Trois points → **Exporter les mots de passe** - Enregistrez le CSV - Dans Bitwarden : **Tools** → **Import Data** → Chrome (csv) - **Supprimez le fichier CSV** ==== Vérifier et nettoyer ==== Après l'import : * Parcourez vos identifiants dans Bitwarden * Supprimez les doublons * Supprimez les comptes que vous n'utilisez plus * Changez les mots de passe faibles (Bitwarden les signale) ===== Migrer progressivement : la méthode douce ===== Vous n'êtes pas obligé d'importer 200 mots de passe d'un coup. Vous pouvez migrer au fil de l'eau. ==== Approche par opportunité ==== - Laissez Bitwarden installé mais inactif - Quand vous vous connectez à un site, enregistrez ce mot de passe dans Bitwarden - Si le mot de passe est faible, changez-le immédiatement : * Demandez un nouveau mot de passe sur le site * Utilisez le générateur de Bitwarden (20 caractères minimum) * Enregistrez-le En trois mois, vous avez migré tous vos sites actifs. Les comptes dormants restent dans le navigateur, peu importe. ===== Partage sécurisé en famille ===== Vous partagez Netflix, le compte EDF, la box internet. Avec Bitwarden, vous pouvez partager ces accès sans envoyer de SMS. ==== Créer une organisation (gratuit pour 2 personnes) ==== - Dans Bitwarden web : **New Organization** - Nom : "Famille" (ou ce que vous voulez) - Plan : Free (2 utilisateurs max, suffisant pour un couple) - Invitez votre conjoint·e par email ==== Créer une collection partagée ==== - Dans l'organisation : **Collections** → **New Collection** - Nom : "Maison" ou "Abonnements" - Assignez les membres - Déplacez les identifiants concernés dans cette collection Désormais, vous modifiez le mot de passe Netflix une fois, et l'autre personne l'a automatiquement. ==== Pour aller plus loin (payant) ==== La version Premium (10€/an) permet : * Partage avec 6 personnes * Collections multiples * Authentification à deux facteurs avancée (YubiKey) * Stockage de fichiers (1 Go) ===== La passphrase : créer un mot de passe maître solide ===== Votre mot de passe maître est la clé du royaume. Il doit être **solide** et **mémorisable**. Oubliez "M0tDeP@sse123!" : trop faible et impossible à retenir. ==== Méthode Diceware (recommandée) ==== Prenez 6 mots aléatoires : cheval batterie agrafe correcte montagne silence Avantages : * 77 bits d'entropie (impossible à deviner) * Facile à mémoriser * Pas de substitution fragile (@ pour a, 3 pour e) Générateur en ligne : https://www.rempe.us/diceware/ ==== Méthode de la phrase ==== Construisez une phrase personnelle : En 2019 j'ai escaladé le Puy-de-Dôme avec mes 2 enfants ! Transformez-la : E2019jeePdDam2e! Moins forte qu'une passphrase Diceware, mais mémorisable. ==== Ce qu'il NE faut PAS faire ==== * Utiliser un mot du dictionnaire seul * Remplacer des lettres (a→@, e→3) : les attaquants connaissent ces astuces * Utiliser des informations publiques (date de naissance, nom d'enfant) * Réutiliser un mot de passe existant ==== Mémorisation ==== Répétez votre mot de passe maître pendant une semaine. Écrivez-le sur papier, dans un tiroir fermé. Tapez-le chaque matin. Après 10 jours, il sera ancré. ===== Si ça bloque ===== **Je ne peux plus me connecter à Bitwarden** * Vérifiez que vous utilisez le bon email * Essayez sur le site web plutôt que l'extension * Si vous avez vraiment perdu votre mot de passe maître, il faut recréer un compte. C'est la contrepartie de la sécurité : personne ne peut récupérer votre coffre. **L'extension ne propose pas de remplir mes mots de passe** * Vérifiez que l'URL enregistrée correspond au site * Modifiez l'identifiant : onglet "URI" → changez la règle de correspondance **Bitwarden se déconnecte tout le temps** * Paramètres de l'extension → Vault timeout : changez pour 15 minutes ou "À la fermeture du navigateur" **J'ai peur de tout perdre si Bitwarden disparaît** * Exportez régulièrement votre coffre (Tools → Export Vault) * Chiffrez le fichier CSV avec VeraCrypt ou GPG * Stockez-le hors ligne ===== Aller plus loin ===== ==== Auto-hébergement avec Vaultwarden ==== Pour les utilisateurs techniques, Vaultwarden (anciennement Bitwarden_RS) permet d'héberger son propre serveur : * Installation Docker en 10 minutes * Compatible avec toutes les applications Bitwarden * Contrôle total de vos données Documentation : https://github.com/dani-garcia/vaultwarden/wiki ==== Audit de sécurité ==== Bitwarden propose un outil d'audit : * **Reports** → **Exposed Passwords** : mots de passe compromis dans des fuites publiques * **Reused Passwords** : identifiants réutilisés * **Weak Passwords** : mots de passe trop courts Changez ces mots de passe un par un. ==== Alternatives ==== * **KeePassXC** : 100% local, pas de cloud (synchronisation manuelle) * **Pass** : gestionnaire en ligne de commande pour les développeurs * **Proton Pass** : nouveau venu, intégré à l'écosystème Proton (mail, VPN) ==== Authentification à deux facteurs (2FA) ==== Ajoutez une couche de sécurité sur vos comptes importants : - Activez le 2FA sur le site (Google, Facebook, banque...) - Utilisez une application comme Aegis (Android) ou Raivo (iOS) - Ne stockez PAS les codes 2FA dans Bitwarden (sinon ça annule l'intérêt) **Exception** Si vous avez peur de perdre l'accès, vous pouvez stocker les codes 2FA dans Bitwarden Premium. C'est moins sûr, mais mieux que rien. ===== Pour résumer ===== Un gestionnaire de mots de passe est la première brique de votre souveraineté numérique. En 45 minutes, vous avez : * Installé Bitwarden sur tous vos appareils * Migré vos mots de passe existants * Créé un mot de passe maître solide * Configuré le partage familial Maintenant, chaque fois que vous créez un compte, générez un mot de passe de 20 caractères. Plus jamais de réutilisation. Plus jamais de "Mot de passe oublié ?". **Prochaine étape** Sécuriser votre navigation web avec Firefox et uBlock Origin.