Quelqu'un a besoin du mot de passe du Wi-Fi, du compte de streaming familial, de l'accès à l'outil de facturation. Vous le tapez dans une conversation, l'autre remercie, l'échange a duré trois secondes. Sauf qu'il n'est pas terminé : ce message restera sur deux appareils, dans une sauvegarde cloud et peut-être dans une archive d'entreprise longtemps après que la personne a quitté l'équipe, l'appartement ou la relation.
Pourquoi les canaux évidents échouent
Le réflexe est de s'inquiéter de l'interception, d'où la première question posée, « est-ce que c'est chiffré ? ». Ce n'est pas la bonne première question. Les e-mails circulent aujourd'hui en TLS entre serveurs et les grandes messageries chiffrent de bout en bout : le câble est rarement l'endroit où un mot de passe partagé se perd.
Ce qui échoue, c'est la persistance. Un message est une copie qui continue d'exister :
- Il reste par défaut dans vos envoyés et dans la boîte de réception de l'autre, et aucun des deux ne pensera à le supprimer.
- Il est aspiré par chaque sauvegarde qui tourne ensuite, y compris celles que vous ne contrôlez pas.
- Sur un compte professionnel, il est soumis aux politiques de rétention et peut être ressorti plus tard par un administrateur.
- Il survit à la relation qui le justifiait. Un accès devrait s'arrêter quand sa raison s'arrête ; un message, lui, n'en sait rien.
Le post-it collé sur l'écran est la caricature de la mauvaise pratique, et il la mérite. Mais il a une propriété que le message n'a pas : on le voit, et on peut le jeter.
Ce qu'exige vraiment un partage sécurisé
Quatre propriétés, et une méthode ne vaut que par la plus faible qu'elle satisfait :
- Chiffré au repos, pas seulement en transit. Le secret doit être illisible là où il est stocké, pas seulement pendant le trajet.
- Destiné à une personne, pas à un appareil ou à une adresse. Un numéro peut être porté, une boîte mail rouverte sur une autre machine. Un compte que l'on peut nommer est un accès que l'on peut révoquer.
- Révocable. Vous devez pouvoir mettre fin à l'accès sans la coopération de l'autre, et sans changer le mot de passe pour tout le monde.
- Expirable, ou au moins fini. Un accès sans date de fin survit toujours à son objet.
Le mail et la messagerie échouent complètement sur les points 3 et 4. Toute l'affaire est là.
Les trois méthodes qui fonctionnent
Partager dans un gestionnaire de mots de passe. Tous les gestionnaires sérieux ont un mécanisme pour cela : un coffre ou une collection partagée, où l'élément existe une fois et où plusieurs personnes identifiées peuvent s'en servir. L'identifiant est stocké chiffré, le destinataire le voit depuis son propre coffre, et vous retirez son accès depuis un seul écran quand il n'est plus justifié. C'est le bon choix par défaut dès que le partage est durable plutôt que ponctuel.
Envoyer un lien chiffré qui expire. Pour la personne sans gestionnaire, Bitwarden Send crée un lien chiffré assorti d'une date de suppression, et si besoin d'un nombre maximal d'accès et d'un mot de passe d'ouverture. Le destinataire n'a besoin d'aucun compte. Transmettez le lien et ce mot de passe par deux canaux différents, pour qu'aucun des deux ne suffise seul.
Ne pas partager du tout, déléguer. La réponse la plus solide est souvent que l'autre personne obtienne son propre accès. Une offre famille donne à chaque membre son coffre, un outil professionnel donne à chaque salarié son identifiant, et le SSO donne à un administrateur un seul endroit où couper. Cela coûte un peu plus cher et supprime une catégorie entière de problèmes : personne n'a de secret à apprendre, donc personne n'a de secret à oublier.
Le cas où partager est le mauvais outil
Si le compte est professionnel et que plusieurs personnes en ont besoin, un mot de passe partagé est un symptôme, pas une solution. Cela signifie que le service est utilisé hors du modèle d'accès prévu, et cela produit la traçabilité dont personne ne veut : des actions attribuées à un compte plutôt qu'à une personne. Quand la réponse à « qui a fait ça ? » est « le compte partagé », la méthode de partage n'était pas le vrai sujet.
Après l'échange
Si le mot de passe est parti par un canal que vous ne pouvez pas nettoyer, renouvelez-le une fois le besoin immédiat passé. Non par paranoïa, mais parce que la copie est permanente et gratuite à conserver, alors que le changement vous coûte une minute. Et si vous avez partagé via un gestionnaire, faites la chose ennuyeuse qui donne tout son sens au reste : révoquez l'accès quand sa raison d'être disparaît, plutôt que le jour où vous vous souvenez qu'il existe.
Questions fréquentes
Quelle est la façon la plus sûre de partager un mot de passe ?
Par la fonction de partage d'un gestionnaire de mots de passe, plutôt que par une messagerie. L'identifiant circule chiffré, il est destiné à un compte identifié et non à un numéro de téléphone ou à une boîte mail, et l'accès peut être retiré plus tard sans que personne ait à se souvenir de ce qui a été envoyé. Si l'autre personne n'utilise pas de gestionnaire, la meilleure option restante est un lien chiffré à usage limité qui expire tout seul, comme Bitwarden Send.
Peut-on envoyer un mot de passe par e-mail ?
Non, et la raison n'est pas l'interception pendant le transport, devenue rare chez les grands fournisseurs. Le problème est la persistance : le message reste des années dans vos messages envoyés et dans la boîte du destinataire, il est recopié dans chaque sauvegarde, et il suit le compte lors des exports et des migrations de messagerie. Un mot de passe envoyé en 2023 reste lisible aujourd'hui par quiconque accède à l'une des deux boîtes.
Et WhatsApp ou Signal, puisque c'est chiffré de bout en bout ?
Le chiffrement de bout en bout protège le message pendant sa traversée du réseau, c'est-à-dire la partie qui était déjà la moins exposée. Il ne fait rien contre la copie qui subsiste ensuite sur les deux téléphones, contre les sauvegardes de conversations dans le cloud, ni contre le fait que le téléphone du destinataire peut être déverrouillé par quelqu'un d'autre. Chiffrer le transport et maîtriser la copie sont deux problèmes distincts, et partager un secret demande les deux.
Comment partager un mot de passe avec quelqu'un qui n'a pas de gestionnaire ?
Par un lien qui expire. Bitwarden Send crée un lien chiffré avec une date de suppression, et si vous le souhaitez un nombre maximal d'accès et un mot de passe d'ouverture ; le destinataire n'a besoin d'aucun compte. Envoyez le lien et le mot de passe d'ouverture par deux canaux différents, et considérez l'identifiant comme à renouveler une fois l'échange terminé si le compte a de la valeur.
Peut-on partager une passkey comme un mot de passe ?
Pas de la même manière, et pas partout. Plusieurs gestionnaires permettent désormais de partager une passkey au sein d'un coffre ou d'une organisation, mais la prise en charge varie selon le fournisseur et la plateforme : vérifiez ce que documente le vôtre plutôt que de le supposer. Les passkeys sont conçues pour être individuelles, ce qui explique que l'accès délégué soit généralement la meilleure réponse quand plusieurs personnes doivent atteindre le même compte.
Faut-il changer le mot de passe après l'avoir partagé ?
S'il est passé par un canal que vous ne pouvez pas nettoyer, oui. Un mot de passe envoyé par mail ou par messagerie doit être considéré comme durablement exposé à quiconque entrera plus tard dans l'un des deux comptes : renouvelez-le une fois le besoin immédiat passé. S'il a été partagé via un gestionnaire puis révoqué, le changer n'est utile que si vous avez une raison de penser qu'il en a été recopié.