🔐 Glossaire de la sécurité des mots de passe 51 termes

Advanced Encryption Standard avec une clé de 256 bits — l'algorithme de chiffrement symétrique standard utilisé par les gestionnaires de mots de passe pour chiffrer vos données. À ce jour, impossible à craquer par force brute avec les capacités informatiques actuelles ou prévisibles.

Tentative systématique de chaque combinaison possible de mots de passe jusqu'à trouver la bonne. Des mots de passe plus longs et plus complexes rendent les attaques par force brute pratiquement impossibles.

Processus de vérification de l'identité d'un utilisateur tentant d'accéder à un système. Les méthodes comprennent : mots de passe, biométrie, tokens de sécurité, et passkeys.

Authentification utilisant des caractéristiques physiques ou comportementales uniques : empreinte digitale, reconnaissance faciale, rétine, voix. Utilisée avec les passkeys pour une authentification locale sécurisée sans transmettre de données biométriques au serveur.

Incidents de sécurité où des données confidentielles sont consultées sans autorisation. Les violations de mots de passe exposent souvent des centaines de millions d'identifiants qui peuvent être utilisés dans des attaques de credential stuffing.

Attaque automatisée testant des paires nom d'utilisateur/mot de passe volées de violations de données sur d'autres services. Exploite la réutilisation des mots de passe — si vous utilisez le même mot de passe partout, une seule violation compromise tous vos comptes.

Méthode de communication où seuls les utilisateurs communicants peuvent lire les messages. Dans les gestionnaires de mots de passe, E2EE signifie que vos mots de passe sont chiffrés sur votre appareil avant envoi aux serveurs du fournisseur.

Type d'attaque par force brute utilisant une liste de mots courants, de phrases et de variantes connues. Efficace contre les mots de passe faibles. Les mots de passe générés aléatoirement y sont imperméables.

Mesure de l'imprévisibilité ou de l'aléatoire d'un mot de passe — plus l'entropie est élevée, plus le mot de passe est fort. Exprimée en bits. Un mot de passe de 256 bits d'entropie est pratiquement incassable.

Standards techniques développés par la FIDO Alliance permettant l'authentification sans mot de passe. Base technologique des passkeys. Utilise la cryptographie à clé publique pour une sécurité forte sans partager de secrets avec le serveur.

Attaque sociale tentant de voler des identifiants en imitant des sites légitimes. Les passkeys et les clés de sécurité matérielles résistent par conception au hameçonnage car ils vérifient cryptographiquement le domaine du site.

Transformation d'un mot de passe en une chaîne de caractères de longueur fixe via une fonction à sens unique. Les sites web stockent les hachages des mots de passe plutôt que les mots de passe en clair. La qualité du hachage (bcrypt, Argon2 vs. MD5, SHA-1) détermine la résistance aux craquages.

Service créé par Troy Hunt indexant les violations de données pour permettre aux utilisateurs de vérifier si leur e-mail ou mot de passe a été compromis. Notre outil utilise l'API HIBP avec le modèle k-anonymat pour des vérifications sécurisées.

Technique de confidentialité permettant de vérifier si un mot de passe apparaît dans des violations de données sans révéler le mot de passe complet. Seul un préfixe de 5 caractères du hash SHA-1 est envoyé — le serveur renvoie tous les hashs commençant par ce préfixe pour vérification locale.

Logiciel malveillant enregistrant les frappes pour capturer les mots de passe. Les gestionnaires de mots de passe avec auto-remplissage du navigateur contournent les keyloggers car les mots de passe ne sont pas tapés manuellement.

Nécessité de plusieurs formes de vérification pour accéder à un compte : quelque chose que vous connaissez (mot de passe), quelque chose que vous possédez (téléphone, clé matérielle), quelque chose que vous êtes (biométrie). Le MFA peut bloquer jusqu'à 99,9 % des attaques automatisées.

Le seul mot de passe que vous devez mémoriser lors de l'utilisation d'un gestionnaire de mots de passe. Il chiffre et déchiffre votre coffre de mots de passe. Doit être long, unique et mémorisable (phrase secrète recommandée).

Identifiant numérique cryptographique remplaçant les mots de passe traditionnels. Utilise la cryptographie à clé publique — la clé privée reste sur l'appareil, protégée par biométrie ou PIN. Résistant au hameçonnage par conception car lié cryptographiquement au domaine spécifique.

Mot de passe composé de plusieurs mots aléatoires (ex. : « soleil-papier-cheval-montagne »). Plus longue et plus mémorisable que les mots de passe traditionnels, avec une entropie élevée. Recommandée par le NIST pour les mots de passe maîtres.

Application sécurisée générant, stockant et remplissant des mots de passe forts et uniques pour chaque compte. Protège par chiffrement AES-256 et nécessite généralement uniquement un mot de passe maître. Options : Bitwarden (open source), 1Password, Dashlane, KeePass.

Table précalculée de hachages utilisée pour craquer des mots de passe hachés. Efficace contre les implémentations de hachage sans salage (comme SHA-1 sans sel de LinkedIn). Inefficace contre les algorithmes modernes comme bcrypt, scrypt, ou Argon2 qui utilisent le salage.

Pratique dangereuse consistant à utiliser le même mot de passe sur plusieurs sites. Une seule violation suffit à compromettre tous les comptes partageant ce mot de passe via des attaques de credential stuffing.

Fraude où un criminel convainc un opérateur téléphonique de transférer votre numéro sur sa SIM, interceptant vos SMS 2FA. Solution : utiliser une application d'authentification (Authy) ou une clé matérielle plutôt que le 2FA par SMS.

Mécanisme permettant aux utilisateurs d'accéder à plusieurs applications avec un ensemble d'identifiants. « Se connecter avec Google/Apple/Facebook » est du SSO. Pratique mais signifie qu'une violation du fournisseur SSO affecte tous les services liés.

Code valide une seule fois pour une durée limitée (généralement 30 secondes), généré par une application d'authentification. Standard TOTP utilisé par Google Authenticator, Authy et intégré dans la plupart des services 2FA.

Conception où le fournisseur de service ne peut pas accéder à vos données même s'il le souhaitait — la clé de chiffrement est dérivée uniquement de votre mot de passe maître et reste sur vos appareils. Bitwarden, 1Password et ProtonPass utilisent tous l'architecture zéro connaissance.

Modèle de sécurité basé sur « ne jamais faire confiance, toujours vérifier ». Dans la sécurité des mots de passe : vérification forte de l'identité (MFA requis), accès minimum nécessaire, surveillance continue et conception pour la résilience aux violations.