L'Atelier du Serrurier · Les mots de passe, enfin réglés

L’essentiel en cinq lignes

1. Où vous êtes : dans la deuxième salle de la Tour aux Volets, la partie du site sur la vie privée.
2. Ce que vous apprenez : pourquoi un mot de passe différent par site vous protège mieux qu’un mot de passe « compliqué ».
3. Ce que vous faites : vous installez un gestionnaire de mots de passe, ouvert par sept mots tirés au hasard.
4. Ce qu’il vous faut : ordinateur, téléphone, feuille et crayon. Aucun argent. Effort : 2 sur 5. Durée : une heure.
5. Ce que vous y gagnez : une fuite sur un site n’ouvre plus que ce site.

Pourquoi cette salle

Vous avez sans doute un seul mot de passe, avec des variantes. Il ouvre votre boîte mail, trois boutiques et un vieux forum. Le jour où le forum fuit, il ouvre tout le reste.

À la fin de cette salle, vous aurez :

• un gestionnaire de mots de passe, qui retient pour vous un mot de passe aléatoire par site ;
• une phrase maîtresse de sept mots, la seule chose à retenir ;
• la double authentification (un code en plus du mot de passe) sur les trois comptes qui comptent ;
• une règle : jamais de phrase de récupération crypto dans le gestionnaire. Cette phrase, ce sont les douze ou vingt-quatre mots qui redonnent accès à un portefeuille de cryptomonnaie.

Ensuite, c’est plus simple qu’aujourd’hui : vous ne tapez plus vos mots de passe.

Percolozor, en voix off. J’ai longtemps eu un seul mot de passe, très difficile à deviner. Surtout pour moi.

L’histoire

En 1790, un serrurier londonien, Joseph Bramah, expose dans sa vitrine un cadenas réputé inviolable. Un écriteau promet 200 guinées, une petite fortune, à qui fabriquera l’outil capable de l’ouvrir. Le cadenas reste en vitrine pendant soixante et un ans. Personne ne l’ouvre.

En 1851, pendant l’Exposition universelle de Londres, un serrurier américain relève le défi. Il lui faut environ 51 heures de travail, réparties sur seize jours. Il touche la prime, après une dispute sur sa méthode. L’Angleterre apprend qu’une serrure parfaite n’existe pas. Il n’existe que des serrures plus ou moins coûteuses à ouvrir.

Retenez cette idée : la sécurité, c’est un coût imposé à l’autre. Cinquante et une heures pour un seul cadenas, c’est beaucoup.

Maintenant, Paul. Cas fictif, construit sur des faits réels. Paul a un mot de passe : le nom de son chat, son année de naissance et un point d’exclamation. Il l’utilise partout. En 2019, il s’inscrit sur un forum de modélisme ferroviaire. Le forum est piraté, et sa liste de comptes circule ensuite gratuitement.

Personne n’a crocheté quoi que ce soit chez Paul. Un programme a essayé son adresse et son mot de passe sur les services courants. Il est entré dans sa boîte mail. Le pirate a ensuite cliqué sur « mot de passe oublié » sur tous ses autres comptes.

Cela s’appelle le « bourrage d’identifiants » : essayer automatiquement des identifiants volés sur un site, sur beaucoup d’autres. C’est la clé trouvée sous un paillasson, essayée sur toutes les portes de la rue.

La parade : une clé différente par porte, et un trousseau que vous seul savez ouvrir.

Sire Enguerrand, le chevalier de votre compagnie, qui a le même mot de passe partout : « J’ai changé mon mot de passe : j’ai ajouté un point d’exclamation à la fin. On me dit que ça ne suffit pas, et le point d’exclamation se sent visé. »

La recette

Six étapes, en une heure. Vous obtenez un trousseau chiffré (illisible sans votre clé), que vous seul ouvrez.

L’exemple est Bitwarden : un gestionnaire libre, gratuit pour un usage personnel, sur ordinateur, Android et iPhone. Votre coffre (l’ensemble des mots de passe rangés dans le gestionnaire) est chiffré sur votre appareil, avec une clé tirée de votre phrase maîtresse. Le serveur de Bitwarden ne garde qu’un bloc illisible. Les autres gestionnaires suivent la même recette (voir les variantes).

Étape 1 : tirez votre phrase maîtresse

C’est la seule chose que vous retiendrez. Elle est tirée au hasard : vous ne la choisissez pas.

1. Avec des dés : la liste longue de l’EFF (une association américaine de défense des libertés numériques) compte 7 776 mots, numérotés de 11111 à 66666. Lancez cinq dés, lisez les chiffres de gauche à droite, cherchez le mot. Recommencez sept fois.
2. Avec un générateur : ouvrez le générateur de « phrase de passe » de votre gestionnaire. Demandez 7 mots, séparés par des tirets.
3. Le résultat ressemble à ceci (exemple, ne l’utilisez pas) : pelage-tribune-cactus-ondoyer-moufle-verger-sismique. Une image absurde se retient mieux qu’un mot de passe « compliqué » comme Tr0ub4dor&3.
4. Notez la phrase sur papier. Rangez ce papier comme vos Douze (vos douze mots, notés sur papier à la Herse), mais pas avec eux : deux secrets, deux endroits.
5. Tapez-la souvent les premiers jours. Au bout d’une semaine, vos doigts la connaissent.

Pourquoi sept mots ? Le hasard se compte en bits : chaque bit double le nombre de combinaisons à essayer. Un mot tiré dans une liste de 7 776 apporte environ 12,9 bits. Sept mots en apportent 90. La CNIL (l’autorité française de protection des données) recommande 80 bits quand un mot de passe protège seul un compte. Elle donne elle-même l’exemple d’une phrase d’au moins 7 mots français. Six mots donnent 77 bits : c’est bien, mais sous le seuil.

Étape 2 : créez le coffre

1. Installez l’extension Bitwarden (un petit programme ajouté au navigateur) dans votre navigateur, depuis le site officiel ou la boutique d’extensions.
2. Installez l’application sur votre téléphone, depuis l’App Store ou Google Play.
3. Créez un compte. Saisissez votre phrase maîtresse dans le champ « mot de passe principal ». L’adresse mail demandée sert d’identifiant : elle ne protège rien.
4. Laissez vide le champ facultatif « indice de mot de passe ».

Étape 3 : rapatriez vos mots de passe

Votre navigateur retient sans doute déjà des dizaines de mots de passe.

1. Exportez-les depuis les réglages « Mots de passe » du navigateur.
2. Importez ce fichier dans Bitwarden.
3. Supprimez le fichier d’export, puis videz la corbeille : il contient vos mots de passe en clair, lisibles par n’importe qui.
4. Désactivez l’enregistrement des mots de passe dans le navigateur. Vous n’aurez ainsi qu’un seul trousseau.

Étape 4 : activez la double authentification sur trois comptes

La double authentification ajoute une deuxième preuve au mot de passe : un code à six chiffres qui change toutes les trente secondes, ou une clé physique (une petite clé USB dédiée). Un mot de passe volé ne suffit plus.

Pour recevoir les codes, installez d’abord une application d’authentification sur votre téléphone : 2FAS, Ente Auth, Aegis (Android), ou Bitwarden Authenticator, gratuite et sans compte. Le générateur de codes intégré au coffre Bitwarden, lui, demande la formule payante. Le code par SMS vaut mieux que rien, mais c’est la version la plus faible (voir les risques).

Activez ensuite la double authentification dans cet ordre :

1. Votre boîte mail. Chaque « mot de passe oublié » y aboutit : c’est la clé de toutes les autres.
2. Votre gestionnaire.
3. Votre compte Apple ou Google, s’il pilote votre téléphone.

Votre banque l’impose déjà : vous validez vos paiements en ligne dans son application.

À chaque activation, le site vous donne des codes de secours. Recopiez-les sur papier, et rangez-les avec la phrase maîtresse.

Étape 5 : remplacez vos vieux mots de passe au fil de l’eau

N’essayez pas de tout changer ce soir. Commencez par les comptes qui comptent : mail, opérateur, compte Apple ou Google, stockage en ligne, impôts, la boutique où votre carte est enregistrée.

1. Sur chaque compte, choisissez « changer le mot de passe ».
2. Laissez le gestionnaire générer 20 caractères aléatoires, puis enregistrez.
3. Pour les autres comptes, faites-le à la prochaine connexion. En un mois, c’est fait.

Le rapport des mots de passe réutilisés ou déjà fuités est payant chez Bitwarden (seul celui des fuites de votre adresse est gratuit). KeePassXC le fournit gratuitement.

Étape 6 : gardez vos phrases crypto hors du gestionnaire

Le gestionnaire protège des comptes qui ont un guichet : si on vous les vole, un service client peut vous les rendre. Une phrase de récupération de portefeuille n’a pas de guichet.

Une règle sans exception. Jamais de phrase de récupération crypto dans le gestionnaire. Ni vos douze ou vingt-quatre mots de portefeuille, ni leur photo, ni une note « sécurisée ». Elle reste sur papier, ou sur métal. Vos Douze suivent la même règle.

Les variantes : KeePassXC, le trousseau intégré, Proton Pass, les clés d'accès

Variante	Effort en plus	Ce que vous gagnez	Ce que vous risquez
KeePassXC	un peu : vous synchronisez vous-même	aucun compte, aucun serveur	perdre le fichier si vous n’en gardez pas de copie
Le trousseau intégré (Apple, Google, Firefox)	aucun	le confort maximal	dépendre d’un seul compte, souvent ouvert par le code du téléphone
Proton Pass	aucun	des alias de courriel intégrés	rien de plus que Bitwarden
Les clés d’accès (passkeys)	aucun	une protection contre l’hameçonnage	perdre l’appareil qui les garde, si elles ne sont pas dans le gestionnaire

KeePassXC, le coffre qui ne dépend de personne. KeePassXC est un logiciel libre qui garde votre coffre dans un fichier, sur votre ordinateur. Pas de compte, pas de serveur, pas d’entreprise. Le dispositif public Cybermalveillance.gouv.fr le recommande. L’ANSSI (l’agence nationale de la sécurité des systèmes d’information) a délivré à sa version 2.7.9 un visa de sécurité, le 17 novembre 2025. Il génère des phrases de passe et peut garder vos codes de double authentification.

Le prix de cette indépendance : vous synchronisez vous-même. Vous copiez le fichier (clé USB, dossier synchronisé de votre choix). Sur le téléphone, vous utilisez une application compatible : KeePassDX sur Android, Strongbox ou KeePassium sur iPhone. C’est la logique de votre parchemin (votre fichier de progression chiffré) : un fichier chiffré, une phrase pour l’ouvrir.

Le trousseau intégré. Le trousseau de votre téléphone ou de votre navigateur fait déjà l’essentiel : mots de passe aléatoires, remplissage automatique, synchronisation. Il vaut infiniment mieux qu’un mot de passe unique. Sa limite : il est attaché à votre compte Apple ou Google, et s’ouvre souvent avec le code du téléphone plutôt qu’avec une phrase de 90 bits. Changer d’écosystème demande un export.

Proton Pass. Même logique que Bitwarden, chez un éditeur suisse. Il crée en plus des alias de courriel : des adresses différentes pour chaque site, qui renvoient vers votre vraie boîte.

Les clés d’accès (passkeys). De plus en plus de sites proposent des « clés d’accès » : plus de mot de passe, mais un secret rangé sur votre appareil, déverrouillé par votre empreinte ou votre visage. Elles ne fonctionnent que sur le vrai site : un faux site d’hameçonnage ne peut pas s’en servir. Acceptez-les, et rangez-les de préférence dans votre gestionnaire. Elles ne remplacent pas encore tout : la phrase maîtresse reste nécessaire.

La boussole

La boussole est le profil de la salle sur six axes, notés de 0 à 3. Le point de comparaison est le village : ce que vous faites déjà, ici le même mot de passe partout.

Axe	Pourquoi
Garde	Vos accès ne dépendent plus de votre mémoire. Le coffre est chiffré par une clé que vous seul connaissez.
Juridiction	Rien ne change de pays ni de droit.
Monnaie	Aucun centime n’est en jeu.
Discrétion	Moins de « Se connecter avec Google », donc moins de sites rattachés à un seul compte.
Confort	Plus rien à retenir ni à taper, après un premier mois attentif.
Prudence (un risque existant réduit)	Une fuite sur un site n’ouvre plus que ce site.

S

Le serrurier, le nain qui forge les serrures de la salle : « Une clé volée n’ouvre plus qu’une seule porte. Je refuse de faire deux fois la même clé, et ce n’est pas seulement par fierté. »

Les quatre caméras

Une caméra est un observateur : le curieux, la banque, la plateforme ou l’administration. Le tableau dit ce que chacune voit, comparé au village.

Caméra	Ce qu’elle voit, comparé au village
du Badaud (le curieux, le voleur)	Plus rien de vos accès : plus de post-it sous le clavier. Un téléphone volé n’ouvre pas le coffre sans la phrase.
du Changeur (la banque)	La même chose qu’avant. Elle ne voit pas vos mots de passe.
du Marchand (la plateforme)	Un peu moins. Un compte créé sans « Se connecter avec Google » ne signale pas ce service à Google. Le gestionnaire ne voit que des données chiffrées.
de l’Intendance (l’administration)	La même chose qu’avant. Cette salle vous protège des voleurs, pas des juges.

Les risques, chiffrés

Sept risques, comparés à ce que vous faites déjà. Le plus grand est celui d’aujourd’hui : la réutilisation. Le gestionnaire n’est pas parfait, mais il est bien moins risqué que le même mot de passe partout.

Risque	En une ligne
1. Réutiliser un mot de passe	Le risque d’aujourd’hui : une fuite suffit, et les fuites ne disparaissent jamais.
2. Oublier la phrase maîtresse	Le risque nouveau. Le papier le règle.
3. Le piratage du gestionnaire	Arrivé en 2022. Avec sept mots tirés au hasard, le coffre volé reste illisible.
4. Un logiciel espion sur votre appareil	Il verrait aussi vos mots de passe actuels : le gestionnaire n’aggrave rien.
5. Perdre le téléphone de la double authentification	Fréquent, et réglé par les codes de secours.
6. Le détournement du code par SMS	Possible ; l’application d’authentification l’évite.
7. « Tous les œufs dans le même panier »	C’est déjà votre cas, avec un panier percé.

1. Réutiliser un mot de passe

• Possible ? Oui, c’est le scénario de Paul.
• Probable ? Le service Have I Been Pwned recense environ 17,8 milliards de comptes issus de fuites (compteur relevé le 26 octobre 2026). Son service de vérification des mots de passe reçoit plus de 18 milliards de requêtes par mois. Selon le rapport 2026 de Verizon sur les violations de données (incidents de novembre 2024 à octobre 2025), 31 % des violations commencent par une faille logicielle. Les identifiants volés arrivent en deuxième position.
• Coût : la boîte mail, puis tout ce qui s’y réinitialise.
• Tendance : stable ou en hausse ; les fuites s’accumulent.
• Durée : illimitée. Une liste volée en 2014 circule encore. Seul le changement du mot de passe l’efface.
• Comparé au village : c’est le village.

2. Oublier la phrase maîtresse

• Possible ? Oui. C’est le risque nouveau de cette salle.
• Probable ? Aucun chiffre fiable. Faible si la phrase est sur papier et tapée souvent la première semaine.
• Coût : l’accès au coffre. Bitwarden comme KeePassXC ne peuvent pas vous la rendre : c’est ce qui garantit qu’ils ne lisent pas votre coffre. Vos comptes restent récupérables un par un, par « mot de passe oublié », tant que vous gardez l’accès à votre boîte mail. D’où les codes de secours de votre boîte mail, sur papier.
• Tendance : sans objet.
• Durée : définitive pour le coffre ; quelques soirées pour récupérer les comptes.
• Comparé au village : oublier le code de votre carte la bloque, et la banque vous en refait une. Ici, personne ne garde le double à votre place. C’est la liberté, avec sa contrepartie.

3. Le piratage du gestionnaire

• Possible ? Oui, c’est arrivé. En 2022, des pirates ont volé chez LastPass les coffres chiffrés de plus de 25 millions d’utilisateurs.
• Probable ? Ensuite, plus de 35 millions de dollars de cryptomonnaies ont été volés à plus de 150 victimes. La plupart avaient rangé leurs phrases de récupération dans le coffre, et beaucoup avaient un mot de passe maître faible. Les chercheurs relient ces vols à la fuite par recoupement, sans preuve formelle.
• Coût : avec votre phrase de 7 mots, rien. Elle offre 2⁹⁰ combinaisons, soit environ 1,2 × 10²⁷. À mille milliards d’essais par seconde, il faudrait en moyenne une vingtaine de millions d’années. Ce rythme est généreux pour l’attaquant : en vrai, les gestionnaires ralentissent volontairement chaque essai.
• Tendance : les gestionnaires restent des cibles.
• Durée : un coffre volé reste entre les mains du voleur. D’où une phrase qui résiste au temps.
• Comparé au village : le vol n’a ruiné que ceux qui cumulaient une phrase maîtresse faible et des phrases crypto dans le coffre. Vous n’aurez ni l’un ni l’autre.

4. Un logiciel espion sur votre appareil

• Possible ? Oui. Un enregistreur de frappe voit votre phrase maîtresse quand vous la tapez.
• Probable ? Aucun chiffre fiable pour les particuliers.
• Coût : le coffre, si l’espion vole aussi le fichier ou la session.
• Tendance : stable.
• Durée : tant que le logiciel reste installé.
• Comparé au village : il verrait aussi vos mots de passe actuels, un par un. Le gestionnaire n’aggrave rien. La parade est ailleurs : mises à jour, logiciels pris sur leurs sites officiels, et double authentification, qui oblige l’attaquant à voler aussi votre téléphone.

5. Perdre le téléphone de la double authentification

• Possible ? Oui. C’est la cause de blocage la plus fréquente.
• Probable ? Aucun chiffre fiable, mais chacun perd ou casse un téléphone un jour.
• Coût : quelques heures de démarches, ou rien si vous avez vos codes de secours.
• Tendance : stable.
• Durée : jusqu’à la récupération du compte.
• Comparé au village : comme une carte bancaire perdue, sans la banque pour la refaire. Les codes de secours sur papier jouent ce rôle. Choisissez aussi une application d’authentification qui permet une sauvegarde chiffrée.

6. Le détournement du code par SMS

• Possible ? Oui. Par « échange de carte SIM », un escroc convainc votre opérateur de transférer votre numéro sur sa carte. Il reçoit alors vos codes.
• Probable ? Aucun chiffre public fiable pour la France (recherche d’octobre 2026). Une étude publiée par Google en 2019 donne un ordre de grandeur. Le code par SMS bloquait 100 % des attaques automatisées, 96 % de l’hameçonnage de masse et 76 % des attaques ciblées. Aucun des utilisateurs protégés seulement par une clé physique n’a été victime d’hameçonnage ciblé pendant l’étude.
• Coût : les comptes protégés par ce numéro.
• Tendance : la technique est connue et suivie par les opérateurs.
• Durée : jusqu’à ce que vous récupériez votre numéro.
• Comparé au village : le SMS vaut beaucoup mieux que rien. L’application vaut mieux que le SMS. La clé physique vaut mieux que tout, pour qui se sent ciblé.

7. « Tous les œufs dans le même panier »

• Possible ? C’est l’objection la plus fréquente, et elle est juste.
• Probable ? C’est déjà votre situation : avec un mot de passe unique, tous vos œufs sont dans le même panier.
• Coût : aujourd’hui, le panier a un trou dans chaque site où vous l’avez posé.
• Tendance : sans objet.
• Durée : sans objet.
• Comparé au village : le gestionnaire met les œufs dans un seul coffre, fermé par une clé de 90 bits qui ne sert nulle part ailleurs. Le panier est le même, mais il n’est plus percé.

La quête : Cent clés, aucune pareille

La quête est l’exercice de la salle. Elle a deux objectifs, indépendants l’un de l’autre. L’objectif de taverne prouve que vous avez compris. L’objectif de donjon prouve que vous avez fait le vrai geste. Vous donnez votre preuve à la Cafetière, l’encart qui vérifie vos réponses dans votre navigateur. Si la preuve est bonne, votre navigateur fabrique votre drapeau : un code GRAIN{xxxx-xxxx} qui prouve votre réussite. La Cafetière l’inscrit dans votre parchemin (votre fichier de progression chiffré). Chaque objectif vous donne aussi un écusson (une récompense du jeu) et des liards (les points du jeu).

Objectif de taverne : vérifiez qu’un mot de passe fictif a fuité

Vous vérifiez qu’un mot de passe a fuité, sans que le service interrogé sache lequel. La Cafetière propose un mot de passe fictif ; vous pouvez en inventer un autre. Ne saisissez jamais ici un mot de passe que vous utilisez. Cliquez sur « Vérifier ». Votre navigateur interroge le service Pwned Passwords (une base publique de mots de passe déjà fuités) et affiche le nombre de fuites. Il fabrique alors le drapeau, et la Cafetière l’inscrit.

Objectif de donjon : déclarez la force de votre phrase maîtresse

Vous déclarez la structure de votre phrase, jamais la phrase. Dans la Cafetière, choisissez le type (des mots ou des caractères) et le mode de tirage (dés, générateur ou choisi par vous). Saisissez ensuite le nombre de mots et la taille de la liste. Votre navigateur calcule le hasard en bits. À 80 bits ou plus, il fabrique le drapeau, et la Cafetière l’inscrit.

Comment la Cafetière vérifie, chez vous

À l’objectif de taverne, seuls 5 caractères de l’empreinte d’un mot de passe fictif sortent de votre navigateur. L’empreinte est un résumé du mot de passe, dont on ne peut pas retrouver le mot de passe. Vous en êtes prévenu avant le clic. À l’objectif de donjon, rien ne sort.

Le détail de la vérification

• Objectif de taverne : la méthode s’appelle le k-anonymat : votre question se cache parmi des centaines d’autres.
  1. Votre navigateur calcule l’empreinte SHA-1 du mot de passe fictif. Une empreinte est un résumé fixe d’un texte, ici 40 caractères ; on ne peut pas retrouver le texte à partir d’elle.
  2. Il n’envoie au service Pwned Passwords que les 5 premiers caractères. Il existe 16⁵, soit 1 048 576 débuts possibles.
  3. Le service renvoie toutes les fins d’empreintes qui commencent ainsi : environ 800. Le château (le site) demande en plus un remplissage aléatoire (800 à 1 000 lignes en tout), pour que la taille de la réponse ne trahisse rien.
  4. La comparaison se fait chez vous. Votre navigateur cherche la fin de son empreinte dans la liste, et affiche le nombre de fuites.
  5. La Cafetière vous montre tout : l’empreinte complète, les 5 caractères partis, la liste revenue, la ligne trouvée. Un lien direct vers le service vous est donné. S’il ne répond pas, la Cafetière vous propose la démonstration à la main.
• Objectif de donjon :
  1. La Cafetière n’a aucun champ où coller un mot de passe. Elle n’accepte que des nombres et des choix dans une liste.
  2. Pour une phrase, vous indiquez le nombre de mots et la liste : liste longue de l’EFF (7 776 mots), liste BIP-39 (2 048 mots), ou une autre, avec sa taille. Pour des caractères, vous indiquez la longueur et l’alphabet.
  3. Votre navigateur calcule : nombre de mots × log₂(taille de la liste). Sept mots de l’EFF donnent 90,5 bits. Huit mots BIP-39 donnent 88 bits. Quatorze caractères parmi majuscules, minuscules et chiffres donnent environ 83 bits.
  4. Si le mode de tirage est « choisis par moi », la Cafetière refuse de compter, et explique pourquoi : un humain choisit ses mots dans une petite partie de la liste. Le calcul ne vaut que pour le hasard.
  5. À 80 bits ou plus, le seuil de la CNIL, votre navigateur fabrique le drapeau à partir de votre parchemin et de la structure déclarée : il n’appartient qu’à vous. Le parchemin garde la structure, jamais la phrase.
• Peut-on tricher ? Oui. Rien n’empêche de déclarer sept mots jamais tirés, ou de lire le code. Le château ne peut pas vérifier sans connaître votre phrase, et il refuse de la connaître. Vous aurez un écusson, et toujours le même mot de passe partout.

Les sucres

Les sucres sont trois niveaux d’aide gratuits. Un sucre donne une piste, deux donnent la méthode, trois donnent la solution. Ouvrez-les un par un. Ils ne vous retirent rien : votre journal note seulement combien vous en avez pris.

Un sucre, une piste

On ne vous demande pas votre phrase. On vous demande combien de hasard elle contient. Le hasard se compte.

Deux sucres, la méthode

Ouvrez le générateur de votre gestionnaire et choisissez « phrase de passe », 7 mots. Ou lancez cinq dés sept fois avec la liste de l’EFF. Puis déclarez : 7 mots, liste de 7 776, tirage au générateur ou aux dés.

Trois sucres, la solution

• « entropie insuffisante » (pas assez de hasard) : vous êtes à 6 mots de l’EFF (77,5 bits) ou à 7 mots BIP-39 (77 bits). Ajoutez un mot.
• « tirage non compté » : vous avez choisi vos mots. Tirez-les.
• « liste inconnue » : déclarez votre liste avec sa taille exacte. Ses mots doivent avoir été tirés au hasard.
• L’objectif de taverne ne répond pas : votre bloqueur ou Tor peuvent empêcher la requête vers le service. Suivez la voie manuelle proposée par la Cafetière.

Le déca

Vous pouvez lire la salle sans accomplir la quête : c’est « prendre un déca ». Vous n’aurez pas l’écusson, mais le chemin continue, et vous pourrez revenir faire la quête quand vous voudrez.

Le gestionnaire reste utile sans drapeau.

Le verdict

Écusson forgé : Serrurier. Votre trousseau est fermé par 90 bits de hasard. Le code de votre carte bancaire en a 13, et ne tient que parce que la carte se bloque au troisième essai.

Selon la presse, le mot de passe de la vidéosurveillance du Louvre était le nom du musée, et un audit de l’État avait signalé dès 2014 des mots de passe trop simples. Vous protégez désormais vos courses en ligne mieux que l’État ne protégeait la Joconde. Vous êtes aussi, officiellement, la personne qu’on appelle quand « l’ordi est bloqué » : toutes nos condoléances.

Percolozor, en voix off. Le cadenas de 1790 a tenu soixante et un ans. Le vôtre tiendra plus longtemps que la monnaie qu’il sert à dépenser.

Ce que dit la loi

En bref : utiliser un gestionnaire, une phrase de passe ou la double authentification n’est interdit par aucun texte. Entrer dans le compte de quelqu’un d’autre avec un mot de passe trouvé dans une fuite expose à trois ans de prison et 100 000 € d’amende.

La loi en détail : vos outils, l'accès frauduleux, la recommandation de la CNIL, la remise des clés

• Vos outils. Gestionnaire, phrase de passe, double authentification : aucun texte ne les interdit. Chiffrer vos propres données est libre aussi. Le cadre de la cryptologie (les techniques de chiffrement) est expliqué au Puits du Revenant · Tout perdre, tout retrouver.
• L’accès frauduleux. L’article 323-1 du code pénal punit de trois ans de prison et 100 000 € d’amende l’accès frauduleux à un système informatique. La peine monte à cinq ans et 150 000 € quand des données sont modifiées ou supprimées. Se connecter à la boîte mail de quelqu’un avec un mot de passe trouvé dans une fuite en relève.
• La recommandation de la CNIL aux sites. La délibération n° 2022-100 du 21 juillet 2022 est une recommandation, pas une loi. Elle demande l’équivalent de 80 bits quand le mot de passe protège seul le compte. Elle déconseille d’imposer à tous un changement périodique du mot de passe. Elle demande de ne pas empêcher de coller un mot de passe dans le champ de saisie, pour encourager les gestionnaires. Un site qui vous interdit de coller est en retard sur elle.
• La remise des clés. L’article 434-15-2 du code pénal oblige à remettre une clé de déchiffrement à la justice. Il ne vise qu’un moyen de cryptologie qui a pu servir à préparer ou commettre une infraction. Le détail est au Puits du Revenant.

Pour aller plus loin

Dans la Tour aux Volets

• La Galerie des Miroirs Bavards · Ce qu’un site voit de vous : ce que votre navigateur dit de vous.
• L’Écurie des Montures · Navigateur, bloqueur, moteur de recherche : un autre geste rapide.
• La Salle des Cent Boîtes · Emails et alias : une adresse différente par site, en plus d’un mot de passe différent.
• La Garde-Robe · Cloisonner : une identité par usage : elle demande d’avoir fait cette salle. Une identité par usage suppose un trousseau par identité.

Dans l’Aile du Trésor

• La Herse aux Douze Mots · Vos douze mots : la même discipline du papier.
• La Chambrée · Premier portefeuille : la phrase de récupération qui n’entre jamais dans le gestionnaire.
• La Salle des Coffres · Garder ses clés (et les transmettre) : où ranger ce qui n’entre pas dans un coffre numérique.

Dans la Volière

• Le Pigeonnier Discret · Signal, numéro masqué : le code PIN de Signal, la double authentification de votre messagerie.

Sources

Vérifiées en octobre 2026.

• CNIL, délibération n° 2022-100 du 21 juillet 2022, recommandation relative aux mots de passe (80 bits et exemple de la phrase d’au moins 7 mots, point 41 ; 50 bits, point 42 ; 13 bits pour un code à 4 chiffres ; fin du renouvellement périodique, point 54 ; copier-coller, point 32) : https://www.cnil.fr/sites/cnil/files/atoms/files/deliberation-2022-100-du-21-juillet-2022_recommandation-aux-mots-de-passe.pdf
• EFF, liste longue de 7 776 mots, 12,9 bits par mot, six mots pour 77 bits : https://www.eff.org/deeplinks/2016/07/new-wordlists-random-passphrases
• Listes de mots BIP-39 (2 048 mots, dont une liste française) : https://github.com/bitcoin/bips/blob/master/bip-0039/bip-0039-wordlists.md
• Have I Been Pwned, API Pwned Passwords (5 caractères de SHA-1, sans clé d’API, environ 800 suffixes, en-tête Add-Padding pour 800 à 1 000 lignes) : https://haveibeenpwned.com/API/v3
• Have I Been Pwned, page Pwned Passwords (k-anonymat, plus de 18 milliards de requêtes par mois) : https://haveibeenpwned.com/Passwords
• Troy Hunt, lancement du modèle par plages (16⁵ préfixes) : https://www.troyhunt.com/ive-just-launched-pwned-passwords-version-2/
• Have I Been Pwned, compteur de comptes compromis (17 846 550 965, relevé le 26 octobre 2026) : https://haveibeenpwned.com
• Cybermalveillance.gouv.fr, bonnes pratiques sur les mots de passe (gestionnaire, KeePassXC certifié ANSSI en version 2.7.9, double authentification) : https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe
• KeePassXC, audits et visa de sécurité ANSSI (ANSSI-CSPN-2025/16, version 2.7.9, 17 novembre 2025) : https://keepassxc.org/audits/
• KeePassXC 2.6.0, rapports de santé et vérification Have I Been Pwned : https://keepassxc.org/blog/2020-07-07-2.6.0-released/
• KeePassXC, guide de l’utilisateur (générateur de phrases de passe) : https://keepassxc.org/docs/KeePassXC_UserGuide
• Bitwarden, rapports du coffre (seul le rapport de fuites est gratuit) : https://bitwarden.com/help/reports/
• Bitwarden, authentificateur intégré (codes TOTP réservés aux formules payantes) : https://bitwarden.com/help/authenticator-keys/
• Bitwarden Authenticator, application disponible avec ou sans compte : https://bitwarden.com/help/bitwarden-authenticator/
• Proton Pass, alias de courriel : https://proton.me/support/pass-alias-ios
• Fuite LastPass de 2022 (plus de 25 millions d’utilisateurs) et vols de cryptomonnaies (plus de 35 millions de dollars, plus de 150 victimes, lien établi par recoupement) : https://krebsonsecurity.com/2023/09/experts-fear-crooks-are-cracking-keys-stolen-in-lastpass-breach/ ; https://en.wikipedia.org/wiki/2022_LastPass_data_breach
• Verizon, Data Breach Investigations Report 2026, incidents de novembre 2024 à octobre 2025 (failles logicielles 31 %, devant les identifiants volés) : https://www.verizon.com/business/resources/reports/dbir/ ; résumé : https://helpnetsecurity.com/2026/05/20/verizon-2026-dbir-findings
• Google, étude de 2019 sur la protection des comptes (SMS : 100 %, 96 %, 76 % ; aucun utilisateur de clé physique seule victime d’hameçonnage ciblé) : https://security.googleblog.com/2019/05/new-research-how-effective-is-basic.html
• Le cadenas Bramah, exposé à partir de 1790, prime de 200 guinées, ouvert en 1851 en environ 51 heures sur 16 jours : https://en.wikipedia.org/wiki/Bramah_lock
• Vol du Louvre de 2025, mot de passe de la vidéosurveillance rapporté par la presse et audit de l’ANSSI de 2014 : https://en.wikipedia.org/wiki/2025_Louvre_robbery
• Code pénal, articles 323-1 et suivants (atteintes aux systèmes de traitement automatisé de données) : https://www.legifrance.gouv.fr/codes/section_lc/LEGITEXT000006070719/LEGISCTA000006149839/
• Code pénal, article 434-15-2 (remise des clés de déchiffrement) : https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000032654251