Nombreux sont ceux qui, par commodité, stockent leurs mots de passe dans des applications de prise de notes, telles que Evernote ou Notes d’Apple. Cependant, cette pratique peut compromettre votre sécurité.
Examinons pourquoi les applications de notes sont un coffre-fort risqué pour les données sensibles, et quelle est la meilleure façon de stocker vos mots de passe.
Les risques liés au stockage de mots de passe dans les applications de notes
Beaucoup de gens sont coupables d’écrire leurs mots de passe en texte clair, que ce soit sur un post-it ou dans une application pour smartphone, par souci de commodité. En fait, environ un quart d’entre nous stockent leurs mots de passe dans une note ou un document numérique, selon les données du Pew Research Center.
Malheureusement, cette commodité s’accompagne de graves risques de sécurité, car l’objectif principal des applications de prise de notes n’est pas de protéger les informations sensibles, ce qui entraîne de nombreuses lacunes en matière de cybersécurité. La plus importante de ces lacunes est le fait que la plupart des applications de notes ordinaires ne sont pas automatiquement chiffrées.
L’absence de chiffrement vous rend dépendant de la sécurité de votre appareil. Si votre téléphone ou votre ordinateur portable est perdu ou volé (ou simplement déverrouillé entre de mauvaises mains), tous vos mots de passe sont immédiatement exposés.
Bien que vous puissiez verrouiller l’ensemble de votre téléphone avec un code d’accès ou un verrou biométrique, si les notes sont synchronisées avec le cloud et que quelqu’un accède à votre compte cloud en violant la sécurité ou les défenses du fournisseur, il peut contourner complètement la sécurité de votre appareil. Si cela vous semble improbable, sachez que Evernote, par exemple, a dû réinitialiser 50 millions de mots de passe d’utilisateurs après une violation de base de données.
Même les notes « chiffrées » ne sont pas assez sûres
Bien que certaines applications de notes offrent un chiffrement, celui-ci n’est souvent pas aussi robuste que dans les gestionnaires de mots de passe. Par exemple, l’application Notes d’Apple permet de verrouiller les notes avec une phrase de passe, en utilisant le chiffrement de bout en bout avec AES-GCM.
Cependant, toutes les applications de notes n’atteignent pas ce niveau de sécurité. Par exemple, le chiffrement d’Evernote est plus limité : il vous permet de chiffrer du texte dans les notes à l’aide d’AES-128, mais cela nécessite une action manuelle pour chaque élément de texte sensible. Plus important encore, le stockage standard d’Evernote n’est pas chiffré de bout en bout par défaut, de sorte que l’entreprise a théoriquement accès à vos données sur ses serveurs. Ce n’est certainement pas la meilleure façon de stocker les mots de passe.
Au-delà des faiblesses du chiffrement, les applications de notes ne disposent pas des fonctions essentielles de gestion des mots de passe. Par exemple, elles n’ont pas de fonction de partage sécurisé des mots de passe, de capacités de génération automatique de mots de passe pour créer des mots de passe forts et uniques adaptés aux exigences spécifiques des sites Web, et elles ne fournissent pas d’alertes de surveillance des violations pour informer les utilisateurs lorsque leurs identifiants stockés apparaissent dans des violations de données connues.
Enfin, elles ne peuvent pas remplir automatiquement les formulaires de connexion sur les sites Web, ce qui vous oblige à copier manuellement vos mots de passe dans le presse-papiers, et il existe de nombreuses souches de logiciels malveillants conçues pour surveiller et voler le contenu du presse-papiers.
L’alternative sécurisée : les gestionnaires de mots de passe
À ce stade, vous vous dites peut-être : « Très bien, si je ne dois pas utiliser mon application de notes, quelle est la meilleure façon de stocker mes mots de passe ? ». La réponse est de passer à un gestionnaire de mots de passe.
Les gestionnaires de mots de passe sont des applications spécialement conçues pour stocker vos mots de passe (et autres informations privées) en toute sécurité. Ils chiffrent tout avec un mot de passe maître (ou une phrase de passe) que vous seul connaissez, et disposent de fonctions pratiques, telles que le remplissage automatique, des générateurs de mots de passe forts et la synchronisation entre appareils.
Voici quelques-uns des meilleurs gestionnaires de mots de passe que je recommande, en fonction des différents besoins et de mon expérience personnelle :
- Meilleur gestionnaire global : Bitwarden est mon premier choix pour la plupart des utilisateurs. Il est gratuit pour une utilisation de base, open source (ce qui signifie que son code est public et vérifié par la communauté) et disponible sur toutes les plateformes : Web, PC, Mac, Linux, iOS, Android, extensions de navigateur, etc.
- Meilleur gestionnaire local : KeePassXC est le successeur communautaire du classique KeePass, qui est un nom respecté dans la gestion des mots de passe depuis des lustres. Contrairement à Bitwarden, KeePassXC stocke tout localement. Vos mots de passe résident dans un fichier de base de données chiffré sur votre propre appareil. (Vous pouvez toujours synchroniser ce fichier via Dropbox ou similaire si vous le souhaitez, mais vous êtes en contrôle.)
- Meilleure expérience utilisateur : 1Password est un produit payant (pas de niveau gratuit significatif, malheureusement), mais, en retour, vous obtenez une application très soignée que beaucoup considèrent comme la référence en matière d’expérience utilisateur.
Une fois que vous aurez adopté un gestionnaire de mots de passe et découvert la meilleure façon de stocker vos mots de passe, vous pourrez respirer plus facilement en sachant qu’une synchronisation aléatoire d’application de notes ou un vol d’appareil n’exposera pas l’ensemble de votre identité en ligne.
