Transférer vos mots de passe vers un gestionnaire de mots de passe

Module 7: Collaborer, applications et sécurité · Temps de lecture : 10 minutes

Objectif : À l'issue de cette leçon, vous saurez transférer en toute sécurité vos mots de passe depuis votre navigateur, vos notes papier et vos tableurs vers un gestionnaire de mots de passe adapté à votre nouvelle organisation, y compris des coffres partagés pour l'équipe.

Notions clés : gestionnaire de mots de passe, coffre, mot de passe principal, clé de récupération, mots de passe enregistrés dans le navigateur (Google, Edge, Apple), export au format csv, coffre ou collection partagé, auto-hébergement, open source, chiffrement sur votre propre appareil (zero-knowledge), conservation des passkeys

L'élément oublié

Dans presque tous les inventaires, les mots de passe manquent. Ils ne se trouvent pas dans un service cloud que vous résiliez, donc personne n'y pense. Pourtant, ils sont souvent au cœur du sujet. À la Boulangerie Le Grain, un petit tour auprès des collègues révèle ceci :

• la plupart des mots de passe sont enregistrés dans Chrome, dans le compte Google de chaque personne ;
• les mots de passe de la banque, du grossiste et de la boutique en ligne se trouvent dans un tableur wachtwoorden.xlsx sur Google Drive ;
• le mot de passe du wifi et le code de l'alarme sont notés sur un papier affiché au mur ;
• deux collègues utilisent le même mot de passe partout.

Si le compte Google disparaît, les mots de passe enregistrés dans Chrome disparaissent avec lui. Et un tableur de mots de passe dans le cloud est l'une des premières choses que recherche un intrus. Une migration est donc le bon moment pour régler ce problème.

Ce que fait un gestionnaire de mots de passe

Un gestionnaire de mots de passe est un coffre chiffré pour vos mots de passe, avec une application sur téléphone et ordinateur et une extension pour le navigateur. Vous retenez un seul mot de passe principal robuste ; le gestionnaire crée pour chaque site un mot de passe long et unique et le saisit à votre place.

L'endroit où le chiffrement a lieu est essentiel. Avec les gestionnaires connus, le coffre est chiffré sur votre propre appareil avec une clé dérivée de votre mot de passe principal. Le prestataire ne conserve que le coffre chiffré et ne peut pas lire vos mots de passe. On parle souvent de « zero-knowledge ». Conséquence : si vous oubliez votre mot de passe principal et que vous n'avez pas de clé de récupération, le prestataire ne peut pas vous aider non plus.

Un bon gestionnaire ne remplit les champs que sur la véritable adresse. Un faux site de votre banque n'obtient donc rien, même s'il lui ressemble trait pour trait. C'est une protection supplémentaire contre l'hameçonnage (phishing).

Quels types existent ?

Notre conseil pour la plupart des particuliers et des petites entreprises : Proton Pass, ou 1Password avec un compte sur 1password.eu si vous voulez la solution la plus simple. Tous deux fonctionnent sur votre Mac, votre PC Windows, votre téléphone et dans tous les navigateurs, et tous deux proposent des coffres partagés pour une équipe. Bitwarden reste une entreprise américaine, même avec un stockage dans l'UE. KeePassXC ne fonctionne que sur ordinateur ; sur votre téléphone, il vous faut une autre application. Dans le guide Le gestionnaire de mots de passe en pratique, nous comparons 23 gestionnaires de mots de passe sur la facilité d'utilisation, la sécurité et l'UE/le RGPD (voir Pour aller plus loin). Appliquez ici aussi les cinq questions de la leçon 2.1 (siège, propriétaire, centre de données, sous-traitants ultérieurs, clé). Pour un gestionnaire de mots de passe, la dernière question pèse le plus lourd : qui détient la clé ? Si c'est vous seul, l'endroit où se trouve le coffre chiffré compte moins que pour des fichiers ordinaires.

Le transfert : export, import et suppression immédiate

Presque tous les navigateurs et gestionnaires peuvent exporter les mots de passe dans un fichier csv. Il s'agit d'un simple fichier texte contenant, sur chaque ligne, un site, un nom d'utilisateur et un mot de passe, non chiffrés. Toute personne qui ouvre le fichier peut tout lire. C'est pourquoi :

1. Faites-le sur un ordinateur de confiance, pas sur un ordinateur partagé du magasin.
2. Exportez vers votre propre ordinateur, pas vers un dossier synchronisé ou le cloud. Sinon, le fichier non chiffré se retrouve en quelques secondes sur le serveur, dans les versions et dans la corbeille.
3. Importez-le immédiatement dans le nouveau gestionnaire.
4. Vérifiez par sondage que tout est correct (connectez-vous à quelques sites).
5. Supprimez immédiatement le fichier csv, et videz aussi la corbeille de l'ordinateur.
6. Désactivez ensuite l'enregistrement des mots de passe dans le navigateur, afin qu'il n'existe pas de seconde copie obsolète.

Pour le tableur de mots de passe, saisissez les données à la main dans le gestionnaire (ou importez-les en csv, en suivant les mêmes règles). Supprimez ensuite le tableur, y compris de la corbeille et de l'historique des versions de l'ancien cloud. Changez les mots de passe les plus importants qui y figuraient, car vous ne savez pas qui a vu ce fichier au fil des années.

Faites aussi attention aux passkeys (leçon 7.3). Une passkey enregistrée dans votre compte Google ou Apple ne peut pas toujours être exportée. Pour les sites importants, créez une nouvelle passkey dans votre nouveau gestionnaire, ou assurez-vous de connaître votre mot de passe et votre deuxième facteur, avant de supprimer l'ancien compte.

Partager en équipe

Certains mots de passe appartiennent à l'organisation, pas à une personne : la banque, le grossiste, les comptes de réseaux sociaux, le wifi. Utilisez pour cela un coffre partagé ou une collection dans le gestionnaire :

• Créez un coffre par groupe : « Magasin », « Comptabilité », « Administration ». Tout le monde n'a pas besoin de tout voir.
• Ne partagez jamais un mot de passe par messagerie instantanée ou par e-mail. Même pas « vite fait ».
• Lorsqu'une personne quitte l'organisation, retirez-la des coffres partagés et changez les mots de passe auxquels elle avait accès et qu'elle a pu retenir ou copier.

Le mot de passe principal et le jour où les choses tournent mal

Le mot de passe principal est la seule clé. Choisissez une longue phrase de quatre à six mots aléatoires, que vous n'utilisez nulle part ailleurs. Activez aussi l'authentification à deux facteurs (2FA) sur le gestionnaire lui-même.

Organisez la récupération à l'avance :

• Conservez la clé de récupération ou l'accès d'urgence proposé par votre gestionnaire sur papier, dans un endroit sûr.
• Pour l'organisation, convenez de qui obtient l'accès en cas de décès ou de maladie de longue durée du propriétaire. De nombreux gestionnaires proposent une fonction d'accès d'urgence à cet effet.
• Les codes de secours de vos comptes les plus importants ont aussi leur place ici, ou sur papier (leçon 7.3). Pas dans un coffre auquel vous n'accédez qu'avec ces mêmes comptes.

En pratique : voici à quoi cela ressemble chez un prestataire

Un Nextcloud WebOké ne comprend pas de gestionnaire de mots de passe distinct ; vous utilisez un gestionnaire de mots de passe séparé à côté de votre cloud, comme Proton Pass ou 1Password. Le guide Le gestionnaire de mots de passe en pratique explique ces deux solutions étape par étape : création du compte, installation, transfert, partage et accès d'urgence. Le guide sur la sécurité du Nextcloud WebOké recommande lui aussi un gestionnaire de mots de passe, et le présente comme un bon endroit pour vos codes de secours.

Chez d'autres services cloud européens, le fonctionnement est comparable : le gestionnaire de mots de passe est généralement un service ou une application séparée à côté de votre cloud.

Résumé

• Les mots de passe enregistrés dans le navigateur de votre ancien compte disparaissent quand vous supprimez ce compte. Transférez-les avant.
• Un gestionnaire de mots de passe chiffre sur votre propre appareil ; le mot de passe principal est la seule clé.
• Un export csv n'est pas chiffré : jamais dans un dossier synchronisé, importation immédiate, suppression immédiate.
• Utilisez des coffres partagés par groupe pour les mots de passe de l'organisation, et changez-les lors d'un départ.
• Organisez la récupération et l'accès d'urgence à l'avance, sur papier.

Quiz

Exercice

Exercice E7.4 : Inventaire des mots de passe et plan de bascule. Déterminez où se trouvent actuellement les mots de passe de votre organisation (navigateur de chaque personne, tableurs, notes papier, comptes partagés), choisissez un gestionnaire de mots de passe à l'aide des cinq questions de la leçon 2.1, et rédigez le plan de transfert : qui exporte quoi, sur quel ordinateur, quand le fichier csv est supprimé, et quels coffres partagés seront créés.

Pour aller plus loin

Les étapes décrites dans ces articles s'appliquent aux services de WebOké ; chez d'autres prestataires, le fonctionnement est comparable.

• Guide Nextcloud 3.1: Comment WebOké sécurise-t-il votre Nextcloud ?
• Guide Nextcloud 3.3: Configurer une application d'authentification et conserver des codes de récupération
• NCSC (le Centre national de cybersécurité néerlandais), Beginnen met cybersecurity (en néerlandais) : https://www.ncsc.nl/beginnen-met-cybersecurity
• Gestionnaire de mots de passe et passkeys : sécurisez vos connexions
• Le gestionnaire de mots de passe en pratique 4.1: Importer des mots de passe depuis Chrome, Edge, Firefox et Safari
• Le gestionnaire de mots de passe en pratique 4.2: Passer de LastPass, Bitwarden ou d'un autre gestionnaire
• Le gestionnaire de mots de passe en pratique 1.4: Tous les gestionnaires de mots de passe connus comparés : pays, options, avis et notes