Techniquement, oui. En pratique, c’est l’une des habitudes les plus risquées pour votre vie numérique. Le problème n’est pas seulement la qualité du mot de passe : un secret long et complexe devient dangereux s’il ouvre plusieurs portes. Une fuite chez un service secondaire peut donner à un attaquant la clé de votre messagerie, de vos achats ou de vos outils professionnels.
Réponse rapide
Utilisez un mot de passe unique pour chaque service. En cas de fuite, cette règle empêche qu’un identifiant volé soit testé automatiquement sur vos autres comptes. Un gestionnaire de mots de passe rend cette pratique réaliste en générant et en mémorisant les secrets à votre place.
Pourquoi la réutilisation crée un effet domino
Imaginez que vous utilisez le même mot de passe pour une boutique en ligne, votre e-mail et un outil de travail. La boutique est victime d’une fuite. Un attaquant récupère une liste d’adresses et de mots de passe, puis essaie automatiquement ces combinaisons sur les grands services. Si l’e-mail s’ouvre, il peut demander la réinitialisation de nombreux autres comptes. Le service compromis n’était peut-être pas le plus sensible ; il est devenu le point de départ.
Ce scénario explique pourquoi les organismes de cybersécurité recommandent des secrets différents pour chaque accès. L’unicité limite le dommage : une fuite reste circonscrite au compte concerné, où vous pouvez changer le mot de passe et vérifier les sessions.
Le credential stuffing en clair
Le credential stuffing consiste à réutiliser des identifiants issus de fuites sur d’autres services. Il ne s’agit pas forcément de « casser » un mot de passe : l’attaquant teste un couple e-mail/mot de passe qui a déjà fonctionné ailleurs. Les services peuvent limiter les essais et détecter une activité anormale, mais ces défenses ne remplacent pas l’unicité des secrets.
Un attaquant cible souvent la messagerie, les comptes de paiement, les réseaux sociaux, le stockage de documents, les consoles d’administration et les services professionnels. D’où l’importance de sécuriser d’abord les comptes qui permettent de récupérer ou administrer les autres.
Comment arrêter la réutilisation sans tout perdre
- Identifiez les doublons. Faites la liste des comptes où vous avez employé le même secret ou une variante proche.
- Commencez par les comptes racines. Messagerie, Apple/Google/Microsoft, banque, opérateur, gestionnaire de mots de passe, hébergement et domaine passent avant les services secondaires.
- Générez un secret par compte. Le générateur de mots de passe Soclyde peut créer localement des chaînes longues et aléatoires.
- Enregistrez-les dans un coffre. Sinon la fatigue de mémorisation ramènera vite aux réutilisations.
- Activez le MFA. Il ajoute une barrière si un mot de passe est exposé.
Ne cherchez pas à modifier un secret commun en ajoutant un numéro propre à chaque site : si le modèle est connu, il reste devinable. Créez des valeurs réellement indépendantes.
Existe-t-il des exceptions ?
Pour vos comptes personnels et professionnels, la règle doit rester « un mot de passe, un service ». Un identifiant partagé imposé par un ancien outil ou un équipement n’est pas une exception à l’unicité : son secret doit rester réservé à ce service. Ces accès communs devraient être rares, documentés, limités aux personnes autorisées et renouvelés lorsqu’une personne perd son autorisation. Des comptes nominatifs et des rôles sont préférables dès que le service les propose.
Les variantes ne remplacent pas des secrets indépendants
La réutilisation ne se limite pas à copier exactement la même chaîne. Une personne peut garder une base et y ajouter le nom du site, une année ou un numéro. Elle possède alors des valeurs différentes, mais reliées par une règle. Si l’une apparaît dans une fuite, cette règle peut suggérer quoi essayer sur les autres services. L’indépendance compte davantage que la simple différence visuelle.
Évitez donc les constructions dans lesquelles vous sauriez reconstituer tous vos secrets à partir d’un seul. Cette commodité est précisément ce qui relie les comptes. Un mot de passe généré séparément pour chaque service n’a pas besoin d’expliquer son origine ou de rappeler son site. Le nom de l’entrée dans le coffre vous donne ce contexte sans l’inscrire dans le secret.
Changer seulement la fin d’un mot de passe après une fuite laisse ce lien en place. Si vous abandonnez une base commune, remplacez-la par des valeurs nouvelles, pas par une nouvelle recette commune. Le guide de création d’un mot de passe sécurisé propose une méthode utilisable sans devoir mémoriser toutes les valeurs.
Retrouver les réutilisations sans dresser une liste en clair
Vous n’avez pas besoin d’écrire tous vos mots de passe dans un tableur pour les comparer. Commencez par les familles dont vous vous souvenez : ancien secret d’étudiant, valeur utilisée pour les achats, variante réservée au travail. Notez les noms des comptes susceptibles d’être concernés, pas la valeur commune elle-même. Cet inventaire sert à organiser des changements, pas à conserver une nouvelle copie de secrets exposés.
Si votre gestionnaire propose un contrôle des doublons, vérifiez comment il fonctionne et utilisez-le pour repérer les entrées à examiner. Un résultat nécessite parfois une interprétation : deux domaines peuvent correspondre au même compte et un ancien enregistrement peut ne plus être actif. Ne supprimez pas une entrée ou ne changez pas un accès professionnel sans confirmer sa fonction.
Les comptes oubliés méritent une place dans l’inventaire. Recherchez les confirmations d’inscription dans votre messagerie et les services encore enregistrés dans les navigateurs. Un commerce utilisé une seule fois peut détenir une ancienne valeur que vous utilisez toujours ailleurs. Si vous n’avez plus besoin de ce compte, étudiez sa fermeture après avoir conservé les informations utiles, comme les factures.
Vous découvrirez probablement des accès au fil du temps. Ajoutez-les à votre suivi lorsqu’ils réapparaissent, au lieu de considérer que toute la démarche a échoué parce que l’inventaire initial était incomplet.
Prioriser selon les dépendances entre comptes
Imaginez que vous utilisiez la même valeur pour une boutique, une messagerie et un espace de stockage de documents. Ces trois comptes ne jouent pas le même rôle. La messagerie peut recevoir les réinitialisations des deux autres ; son exposition crée donc un problème supplémentaire. Traitez d’abord les comptes qui permettent de récupérer ou d’administrer d’autres accès, puis les services sensibles et les comptes secondaires.
Pour une petite entreprise, le même raisonnement s’applique à l’adresse d’administration, au nom de domaine et aux services de facturation. L’ordre doit suivre vos dépendances réelles, pas une liste universelle supposant que toutes les organisations fonctionnent de la même manière. Demandez au responsable de chaque outil quels autres accès dépendent de lui.
Si un secret commun est confirmé comme compromis, ne laissez pas les comptes secondaires attendre indéfiniment. La priorisation organise l’urgence ; elle ne rend pas les autres réutilisations acceptables. Planifiez une seconde séance et marquez les comptes traités pour éviter les oublis. Après chaque changement, vérifiez la connexion et l’enregistrement de la nouvelle valeur avant de passer au suivant.
Un compte unique de connexion n’est pas une copie de mot de passe
Un bouton permettant de se connecter à plusieurs services avec un fournisseur d’identité correspond à une autre organisation des accès. Vous ne transmettez pas nécessairement le même mot de passe à chaque service : le fournisseur gère la connexion selon son mécanisme. Cela ne doit pas être confondu avec le fait de saisir manuellement une valeur identique dans plusieurs formulaires indépendants.
Cette organisation concentre cependant des dépendances sur le compte d’identité. Protégez-le en conséquence et vérifiez les applications auxquelles vous avez accordé des autorisations. Avant de fermer ce compte ou de modifier son usage, identifiez les services qui en dépendent et leurs options de récupération. Un accès central mal récupérable peut vous bloquer sur plusieurs outils même sans fuite de mot de passe.
Les services et les entreprises ne proposent pas tous ce mode de connexion. Ne supposez pas non plus qu’un bouton familier sur une page inconnue est légitime : vérifiez le service et le domaine avant de poursuivre. Le principe d’indépendance des secrets reste applicable aux comptes qui conservent leur propre mot de passe.
Faire de l’unicité une habitude durable
Le moment le plus favorable est la création du compte. Ouvrez votre coffre, créez l’entrée et générez une valeur nouvelle avant de finir l’inscription. Lorsque l’enregistrement est prêt, la réutilisation n’offre plus un véritable gain de temps. Vous n’avez pas besoin de concevoir un secret « provisoire » que vous risquez de garder pendant des années.
Sur téléphone, préparez également le mode d’accès au coffre et au remplissage. Si votre méthode n’est pratique que sur ordinateur, vous serez tenté de réutiliser un secret connu lors d’une inscription mobile. Votre organisation doit fonctionner là où vous créez réellement vos comptes, pas seulement dans un scénario idéal.
Dans une équipe, séparez deux règles : un secret différent par service et des droits adaptés à chaque personne. Un identifiant commun peut rester nécessaire sur un ancien outil, mais sa valeur ne doit pas devenir celle d’autres outils. Documentez son responsable et prévoyez le changement lorsqu’une personne qui le connaît quitte le périmètre autorisé. Cette discipline réduit à la fois les réutilisations et les accès dont personne ne se considère responsable.
Conclusion
La réutilisation transforme une fuite isolée en risque généralisé. En créant un secret différent par compte, vous empêchez la plupart des scénarios d’effet domino et rendez chaque incident plus facile à contenir. Si un doublon est déjà exposé, suivez sans attendre la procédure « Mot de passe piraté : que faire ? », puis appliquez le guide pour protéger tous vos comptes.
