Bonnes pratiques de sécurité à l’usage de tous

Identifier les menaces pour s’y préparer et limiter les dégâts

Les attaques informatiques qui font la une de la presse, déjà nombreuses, ne sont que la partie émergée de l’iceberg. Celles dont nous entendons parler concernent des plateformes et services qui regorgent de données personnelles, dont le vol fait de nous les victimes réelles de ces attaques. La partie immergée de l’iceberg est faite d’attaques bien plus intenses et variées. Au vol de données s’ajoutent la saturation et la paralysie des services, le sabotage des systèmes d’information des entreprises, la prise de contrôle de moyens de production¹, mais aussi des attaques qui peuvent nous cibler directement : phishing et compromission d’équipements personnels (ordinateurs, téléphones, objets connectés, équipements multimédia et domotiques). Les victimes font rarement publicité de ce qui leur arrive. Ajoutez à cela les accidents banals du quotidien que sont le vol, la perte, la panne et la destruction accidentelle du matériel, ou simplement la corruption involontaire de fichier, et vous aurez une petite idée de la menace qui pèse sur votre vie numérique.

Si on ne peut rien contre un court-circuit ou la compromission d’une plateforme en ligne opérée par un tiers, il est possible d’anticiper la plupart des risques et de rendre, selon les cas, l’attaque plus difficile, le vol de données plus limité ou les conséquences moins graves. Pour cela, nous devons adopter de bonnes pratiques de sécurité, une hygiène de vie numérique.

Cloisonnement de nos vies professionnelle et privée

Il est indispensable de cloisonner les informations et moyens d’ordres privé et professionnel. Par exemple, si vous stockez vos mots de passe dans un gestionnaire de mots de passe, utilisez deux bases différentes. Votre entreprise peut en effet vous demander de lui communiquer des secrets en votre possession, notamment si vous êtes indisponible (congés, maladie ou départ). Si votre base contient aussi des secrets d’ordre privé, cette demande vous mettra forcément dans l’embarras. Dans le même ordre d’idées, si vous recourez à une clé physique de sécurité pour renforcer votre authentification, utilisez deux clés distinctes pour les usages professionnels et privés. Si vous quittez votre entreprise, vous devrez en effet restituer les moyens en votre possession, dont votre clé de sécurité. Vous ne pourrez alors plus l’utiliser pour accéder à vos comptes privés. Ce cloisonnement devrait aussi être appliqué au téléphone et à l’ordinateur.

J’utilise aussi bien à titre privé qu’à titre professionnel des clés cryptographiques (GnuPG et SSH), un gestionnaire de mots de passe et une clé de sécurité physique, mais j’ai systématiquement deux ressources distinctes : une pour la sphère privée, une pour la sphère professionnelle. Si mon entreprise exige un jour que je déploie sur mon téléphone une application à finalité professionnelle, je lui demanderai de m’en acheter un.

Ce cloisonnement limite l’étendue des dégâts en cas de compromission et assure votre autonomie numérique.

Un bon mot de passe n’est pas ce que vous croyez

Savez-vous ce qu’est un bon mot de passe ? C’est un mot de passe improbable, compliqué à deviner, mais qui se mémorise bien et se saisit facilement. Alors qu’on vous recommande généralement une infamie ressemblant à « PjH#89-AZepou/1Q », je vous invite plutôt à une once d’originalité et de fantaisie. Que pensez-vous de : « La prune noire est rouge car elle est encore verte » ? Pour vous aider dans votre choix, sachez qu’on évalue la robustesse d’un mot de passe en calculant son entropie (exprimée en nombre de bits). Plus l’entropie est élevée, plus le mot de passe est considéré robuste. La recommandation de l’ANSSI est d’utiliser des mots de passe dont l’entropie dépasse 80 bits.

• L’entropie de « PjH#89-AZepou/1Q », mot de passe très difficile à mémoriser et à saisir, mais très facile à oublier, est de seulement 90 bits.
• L’entropie de « La prune noire est rouge car elle est encore verte », mot de passe facile à mémoriser et à saisir, qui devrait imprimer votre mémoire plus durablement que le premier, est de 129 bits.

Entre les deux, mon choix est vite fait. Et pour le coup, votre mot de passe sera encore meilleur si vous faites des fautes d’orthographe volontaires… à condition de vous en souvenir.

Oubliez (presque) tous vos mots de passe

Trouver et mémoriser un tel mot de passe, c’est facile. Seul hic, dans la pratique, ce n’est pas un mot de passe que vous avez à mémoriser, mais des dizaines, voire des centaines. Pour ma part, je suis censé en connaitre à l’heure actuelle pas loin de sept-cents et la plupart font seize caractères ou plus. Si j’en connais plus d’une trentaine par cœur, les retenir tous est au-delà de mes capacités intellectuelles. Comment faire ?

La solution s’appelle un gestionnaire de mots de passe, un logiciel capable de stocker de manière sûre tous nos identifiants de connexion et de nous les servir à la demande, de manière aussi furtive que possible (i.e. sans qu’ils n’apparaissent à l’écran). Si d’aucuns optent pour un service en ligne (Bitwarden, Proton Pass, 1Password…), accessible depuis n’importe quelle machine, je préfère que mes secrets ne quittent pas mon PC et qu’ils soient toujours disponibles localement. C’est une des raisons qui m’amènent à privilégier l’application libre de bureau KeePassXC et son greffon KeePassXC-Browser, disponible pour les navigateurs Firefox, Chrome/Chromium et Edge. Sur mon smartphone, j’utilise KeePassDX.

Le recours à un gestionnaire de mots de passe réduit drastiquement notre charge mentale. Nous n’avons plus qu’une poignée de secrets à connaitre par cœur : ceux qui, partant d’une machine éteinte, nous permettent de franchir les différentes étapes conduisant à notre coffre-fort. À l’usage, vous verrez qu’un tel outil est même libérateur : vous ne craindrez plus le mot de passe à rallonge, impossible à mémoriser ou à saisir sans erreur en un seul essai, d’autant moins si vous utilisez l’extension KeePassXC-Brower, qui remplit pour vous les formulaires.

Attention cependant, la base KeePassXC donnant accès à tous nos secrets, le mot de passe qui la verrouille prend un caractère névralgique. Vous devez le choisir avec soin et bien le mémoriser. Si vous l’oubliez, personne ne pourra vous aider, car les gestionnaires de mots de passe sont conçus pour être, autant que faire se peut, inviolables. Je vous invite à opter pour une phrase faite d’au moins une douzaine de mots courts (les mots longs n’apportent aucune sécurité supplémentaire). Voici un exemple (155 bits d’entropie) :

Si un rat vole la poule, papa le coq ne sera pas

Sécuriser encore plus mon précieux…

L’idée qu’on pirate mes bases KeePassXC me donnant des sueurs froides, je complète leur protection par le recours à une clé de sécurité physique YubiKey (elle répond à un challenge HMAC-SHA1 lancé par KeePassXC). Cette clé doit être connectée à mon PC et je dois l’effleurer pour que KeePassXC déverrouille effectivement la base une fois le mot de passe saisi. Sans elle, la base restera scellée même si le mot de passe est correct.

Pour pouvoir toujours déverrouiller ma base KeePassXC en cas de perte ou de vol de ma clé YubiKey primaire, j’en ai acheté une seconde, que je garde au chaud. En cas de besoin, je pourrai injecter dans cette clé la séquence du challenge HMAC-SHA1 déjà injectée dans la clé primaire (séquence conservée dans un fichier chiffré par GnuPG et surtout pas dans la base KeePassXC).

Authentification forte

De nos jours, il n’est plus raisonnable de se satisfaire d’un simple mot de passe pour accéder aux sites et informations sensibles. Vous devez opter autant que possible pour une authentification multifacteurs (MFA ou 2FA). Voici les moyens que j’utilise dans l’ordre décroissant de priorité :

• clé de sécurité physique YubiKey (protocole WebAuthn) ;
• code à usage unique généré par une application TOTP sur mon téléphone ;
• code à usage unique envoyé par SMS ;
• code à usage unique envoyé par mail.

L’inconvénient de l’authentification multifacteurs est qu’elle rend critiques les matériels sur lesquels elle repose. Sans eux, il est impossible d’utiliser le MFA et donc, impossible d’accéder à nos services et ressources. Il est impératif de toujours préparer à l’avance une solution de repli.

Contrairement au challenge HMAC-SHA1, qui peut être cloné sur plusieurs clés physiques, l’authentification WebAuthn ne peut pas l’être. Heureusement, la plupart des sites supportent l’enregistrement de plusieurs clés de sécurité. Je le fais à chaque fois que c’est possible.

Quand le service ne supporte pas les clés physiques ou n’en gère qu’une, je configure l’authentification MFA par TOTP. Je pourrais m’appuyer sur KeePassXC pour cela puisque cet outil sait le faire. Mais je considère qu’utiliser le même outil pour stocker les deux facteurs d’authentification MFA va à l’encontre du principe même de cette authentification. Je préfère déporter la gestion du TOTP dans une autre application, tournant sur un autre matériel, mon téléphone. Mon dévolu s’est porté sur Aegis Authenticator, que l’on peut verrouiller par un mot de passe indépendant de celui du téléphone et dont on peut automatiser la sauvegarde de la base sur un support distant.

Lorsque le site me propose de générer des codes de secours en cas de perte du moyen MFA, je le fais et je les stocke dans un fichier chiffré avec GnuPG (et non dans KeePassXC, toujours pour éviter de mettre tous les facteurs d’authentification dans la même base).

Quid des passkeys ?

Les passkeys sont un ravalement de façade par la FIDO Alliance des vieux certificats clients, qui n’avaient jamais pris chez le commun des mortels. L’enrobage logiciel dont elles bénéficient les rend plus faciles à utiliser et à gérer. Elles sont censées être plus sûres que l’authentification par mot de passe, et même que l’authentification multifacteurs. Apple, Google et Microsoft incitent fortement les utilisateurs à sauvegarder leurs passkeys dans leur cloud, leur vantant le bonheur de pouvoir synchroniser leurs clés sur plusieurs appareils. Je dois être plus méfiant que la moyenne, car l’idée de confier mes passkeys à ces entreprises me hérisse le poil. Cela revient à filer le trousseau de clés de l’appartement et de la voiture à un inconnu dans la rue.

Pour ne pas mourir bête et mieux comprendre leur fonctionnement, j’ai testé les passkeys au cours de l’été 2025, quand je me suis aperçu que KeePassXC savait les gérer. Les passkeys sont aussi à la base de l’authentification FIDO2 que m’impose depuis quelques semaines mon entreprise. Pour l’instant, à titre privé, je n’ai pas adhéré aux passkeys sans que je puisse vraiment le justifier si ce n’est qu’elles ne sont pas si sûres que leurs promoteurs l’assurent. Des chercheurs travaillant pour différents laboratoires ont déjà élaboré au moins trois attaques fructueuses sur les passkeys, exploitables à un moment ou un autre de leur cycle de vie².

Chiffrement des supports

Le vol d’un matériel, à la maison, au travail, lors d’un déplacement, est monnaie courante. Il arrive aussi qu’on perde son matériel (un de mes collègues a oublié son PC portable dans un taxi et il ne l’a jamais retrouvé). Si votre disque dur n’est pas chiffré, le voleur aura accès à son contenu. Le mot de passe verrouillant la session ne vous protège pas, puisqu’il suffit au voleur de démonter le disque dur et de le brancher sur une autre machine pour pouvoir accéder à son contenu.

La seule mesure préventive qui vaille contre le vol est le chiffrement du disque, chiffrement bien évidemment protégé par un mot de passe. Certes, cela vous fera un mot de passe supplémentaire à saisir lorsque vous allumerez votre appareil. Mais dites-vous bien que cette contrainte protègera vos précieuses données des regards indiscrets et vous protègera vous, des conséquences qui pourraient découler de leur utilisation frauduleuse.

Pour ma part, je chiffre les disques durs de mes PC professionnels depuis une quinzaine d’années. Il m’a fallu un peu plus de temps pour rendre la chose acceptable à la maison, mais cette mesure semble désormais naturelle à mon épouse et les disques durs de nos machines sont là aussi chiffrés depuis plusieurs années.

Pour être honnête, je n’ai pas encore fait le saut avec mon homelab. Je sais comment faire démarrer sans intervention humaine un serveur dont le disque dur est chiffré. Mais pour mettre cette solution en œuvre, je dois réinstaller le système et tous mes services. Ce n’est pas ma priorité du moment…

Sauvegarde des données

J’ai déjà beaucoup écrit sur la sauvegarde et je vous invite à lire mes articles antérieurs pour creuser le sujet, notamment celui intitulé Quelques réflexions sur la sauvegarde. Mais pour faire court, je vous assure qu’une sauvegarde sérieuse et historisée de vos données est le plus grand service que vous pouvez vous rendre. Le jour où vous perdrez un disque, une machine, vous pourrez les remplacer. Le jour où vous perdrez vos données (vos photographies, vos créations, vos écrits…), sans sauvegarde, cette perte sera irrémédiable et vous vous en voudrez longtemps de ne pas avoir fait le nécessaire. Les gens refusent de voir l’investissement dans des moyens de sauvegarde comme une priorité et c’est tragique. Ils changent d’opinion lorsque l’irréparable est arrivé.

On dit souvent qu’il faut tester une sauvegarde pour vérifier qu’elle fonctionne et qu’on n’a rien oublié. Ce n’est pas suffisant. Je vous invite à imaginer divers scénarios catastrophe et à vérifier – pour de vrai et pas simplement en y réfléchissant et en vous berçant de croyances – si votre politique de sauvegarde y survit :

• Un feu a réduit votre immeuble en cendres et, dans la panique, vous n’avez songé à sauver que les membres de votre famille.

• On vous a volé en même temps votre PC et la sacoche qui contenait votre téléphone et vos clés de sécurité physiques.

Posez-vous la question et faites un vrai test : est-ce que, même dans cette situation, vous arrivez à accéder à une sauvegarde, à récupérer les données qu’elle contient, à déverrouiller votre gestionnaire de mots de passe ? J’ai fait ce test et je peux vous assurer que j’ai eu des surprises. Je n’avais pas anticipé certains détails pratiques. Si ce scénario catastrophe était arrivé, je n’aurais pas pu récupérer mes données et mes accès.

Prenons le premier scénario. Votre appartement a brûlé, vous avez tout perdu. Tout sauf la sauvegarde distante que vous effectuiez quotidiennement sur une « Storage Box » d’Hetzner. Êtes-vous toujours en mesure :

• de vous connecter sur ce compte ?
• d’accéder à la sauvegarde et d’en extraire les informations ?
• de déverrouiller votre base KeePassXC ?

Si c’est le cas, c’est que vous aviez stocké en lieu sûr (i.e. pas chez vous, mais ailleurs) les paramètres de connexion à la sauvegarde. Cela peut inclure un identifiant et un mot de passe, mais aussi une URL, une clé SSH et son mot de passe, la clé de chiffrement de la sauvegarde et son mot de passe. Si, comme moi, vous avez protégé votre base KeePassXC avec une clé de sécurité physique, cela veut dire que vous avez aussi stocké en lieu sûr une seconde clé de sécurité physique et la séquence du challenge HMAC-SHA1 nécessaire au déverrouillage de votre base KeePassXC. Bref, vous voyez, cela en fait des informations à mettre au chaud et des processus à vérifier.

Le scénario catastrophe ultime, celui auquel personne n’aime réfléchir, c’est celui de notre mort subite. Imaginons que vous gériez seul dans votre foyer toutes les tracasseries administratives, tous les abonnements, tous les contrats de services. Si vous mourez subitement, votre famille est-elle en capacité d’accéder aux secrets que vous avez chiffrés ? On s’éloigne là du sujet de la sauvegarde pour aborder celui du testament numérique. Je ne vais pas le développer dans cet article, mais songez-y.

Et si vous pensez que j’en fais trop à ce sujet, lisez l’article Facing my digital worse nightmare. L’auteur y témoigne de la panne – à cinq jours d’intervalle seulement – de son disque dur de sauvegarde et du disque dur de son PC. Il a réalisé à cet instant tout ce qu’il venait de perdre. Ce n’est vraiment pas de chance, mais cela arrive.

Conclusion

Les bonnes pratiques de sécurité que nous venons de balayer ne vous protégerons pas de tout, mais elles réduisent le risque et les conséquences d’un évènement fâcheux. Rendez-vous service, appliquez-les.