Chaque terme expliqué
sans jargon

Une chaîne secrète de caractères que vous utilisez pour prouver que c'est vous lors de l'accès à un service. C'est la clé numérique qui protège vos comptes. Un mot de passe fort est long, unique pour chaque service, aléatoire et difficile à deviner.

Le conteneur crypté où un gestionnaire de mots de passe stocke tous vos identifiants, notes sécurisées et données sensibles. C'est comme un coffre-fort numérique : il ne peut être ouvert qu'avec votre mot de passe principal. Tout à l'intérieur est crypté et illisible sans la bonne clé.

Le seul mot de passe que vous devez retenir dans un gestionnaire de mots de passe. Il agit comme la clé maîtresse qui déverrouille votre coffre et génère la clé cryptographique qui décrypte toutes vos données. C'est le seul mot de passe qui n'est stocké nulle part — il n'existe que dans votre tête.

Le processus de vous identifier auprès d'un système ou d'une application en entrant vos identifiants (généralement nom d'utilisateur et mot de passe) pour accéder à votre compte. "Login" est le nom (le processus de connexion) et "se connecter" est le verbe (l'action de se connecter).

Le processus de mettre fin formellement à une session active dans une app ou un service. Quand vous vous déconnectez, les tokens de session sont invalidés et les données sont effacées de la mémoire, empêchant d'autres utilisateurs du même appareil d'accéder à votre compte.

L'ensemble des données qui vous identifie auprès d'un système : généralement un nom d'utilisateur (ou email) plus un mot de passe. Cela peut aussi inclure des certificats numériques, des tokens matériels ou des données biométriques.

Toute donnée sensible qui doit rester privée : mots de passe, clés API, tokens, certificats ou toute information qui donne accès à des systèmes. Les gestionnaires de mots de passe modernes permettent de stocker des secrets de toutes sortes, pas seulement des mots de passe.

Le processus de transformation de données lisibles en un format illisible en utilisant un algorithme mathématique et une clé. Seul quelqu'un avec la bonne clé peut inverser le processus (décrypter) et lire l'information originale. C'est le fondement de toute sécurité dans les gestionnaires de mots de passe.

Le standard de cryptage le plus largement utilisé et actuellement considéré comme incassable. Le nombre "256" fait référence à la taille de la clé en bits : 2^256 combinaisons possibles. Le casser par force brute prendrait plus longtemps que l'âge de l'univers même avec tous les ordinateurs du monde. C'est le même standard que les gouvernements utilisent pour les informations classifiées.

Un algorithme qui transforme votre mot de passe principal (texte lisible) en une clé cryptographique de 256 bits adaptée au cryptage. Il le fait en effectuant des milliers d'opérations mathématiques répétées, rendant les attaques par force brute extrêmement lentes. Si un hacker essayait de tester des millions de mots de passe, PBKDF2 ferait en sorte que cela prenne des années au lieu de secondes.

Le processus de génération d'une clé cryptographique à partir d'un secret (généralement votre mot de passe principal) en utilisant un algorithme spécialisé comme PBKDF2, Argon2 ou bcrypt. Le résultat est une clé binaire de longueur fixe qui est déterministe (le même mot de passe produit toujours la même clé) et irréversible (vous ne pouvez pas obtenir le mot de passe à partir de la clé).

Une valeur aléatoire unique ajoutée à un mot de passe avant de le dériver ou de le stocker. Cela garantit que deux utilisateurs avec le même mot de passe finissent avec des clés complètement différentes. Cela protège contre les attaques par dictionnaire et les tables arc-en-ciel (listes précalculées de hachages courants).

Un modèle où les données sont cryptées sur l'appareil d'origine et uniquement décryptées sur l'appareil de destination. Aucun intermédiaire (ni le fournisseur de service ni le serveur) ne peut lire les données en transit. C'est la base de WhatsApp, Signal et des gestionnaires Zero Knowledge comme Cleverpass.

Un système de sécurité qui requiert deux preuves indépendantes d'identité pour accéder : quelque chose que vous <em>savez</em> (mot de passe) et quelque chose que vous <em>avez</em> (votre téléphone, un code temporaire) ou quelque chose que vous <em>êtes</em> (biométrie). Même si votre mot de passe est volé, sans le second facteur, ils ne peuvent pas entrer.

Un code numérique à 6 chiffres qui change toutes les 30 secondes et est utilisé comme second facteur d'authentification. Votre app d'authentification (Google Authenticator, Authy…) le génère en utilisant un algorithme mathématique qui combine une clé secrète avec l'heure actuelle. Sans votre appareil, le code est impossible à deviner.

La capacité de déverrouiller le gestionnaire de mots de passe en utilisant des données physiques uniques de votre corps : empreinte digitale (Touch ID), reconnaissance faciale (Face ID) ou iris. C'est plus rapide et plus pratique que de taper votre mot de passe principal, bien qu'il soit toujours requis périodiquement ou lors de la réinstallation de l'app.

Un système qui vous permet de vous authentifier une fois pour accéder à plusieurs services sans ressaisir vos identifiants. L'exemple le plus courant est "Se connecter avec Google" ou "Continuer avec Apple". Une identité centrale gère l'accès à tous les services fédérés.

Un identifiant cryptographique qui remplace complètement les mots de passe. Il utilise une paire de clés publique/privée : le site web stocke la clé publique et vous gardez la clé privée sur votre appareil. Pour vous authentifier, vous prouvez que vous possédez la clé privée en utilisant la biométrie locale ou le code PIN. Il résiste au phishing parce que la clé privée n'est jamais partagée.

La fonctionnalité qui détecte automatiquement les champs de nom d'utilisateur et de mot de passe dans les apps et navigateurs et les remplit avec vos identifiants enregistrés en un appui. Cela élimine le besoin de taper manuellement des mots de passe longs et complexes.

Une mesure de la difficulté à deviner ou à craquer un mot de passe en utilisant des attaques automatisées. Elle est calculée en fonction de la longueur, de la variété des caractères (majuscules, minuscules, chiffres, symboles) et de l'aléatoire. Elle est souvent exprimée en bits d'entropie ou comme un score faible/moyen/fort/très fort.

Un outil qui crée automatiquement des mots de passe aléatoires et sécurisés basés sur les paramètres que vous définissez : longueur, types de caractères, mots vs symboles. Cela élimine l'habitude humaine de créer des mots de passe prévisibles ou de réutiliser les mêmes.

Le processus de maintenir le coffre à jour et cohérent sur tous vos appareils (téléphone, tablette, ordinateur). Quand vous ajoutez ou modifiez un identifiant sur un appareil, les modifications sont automatiquement propagées aux autres via le stockage cloud.

Une chaîne de données qui représente une identité ou une permission d'accès vérifiée. Au lieu d'envoyer votre mot de passe avec chaque requête à un serveur, le système émet un token quand vous vous authentifiez. Les requêtes ultérieures utilisent ce token. Si le token expire ou est révoqué, vous devez vous authentifier à nouveau.

Un token de courte durée (minutes ou heures) qui autorise l'accès à des ressources spécifiques. Il est envoyé avec chaque requête pour prouver que vous avez la permission. Parce qu'il est de courte durée, si quelqu'un l'intercepte, la fenêtre d'attaque est petite. Il est courant dans les APIs et les systèmes OAuth.

Un token de longue durée (jours ou mois) utilisé uniquement pour obtenir de nouveaux tokens d'accès quand ils expirent, sans nécessiter que l'utilisateur ressaisisse ses identifiants. Il n'est envoyé qu'au serveur d'authentification, pas avec chaque requête, ce qui réduit son exposition au vol.

Un modèle de conception de système où le fournisseur de service n'a pas d'accès technique aux données sensibles de l'utilisateur. Les données sont cryptées sur l'appareil de l'utilisateur avant de le quitter, et le fournisseur ne stocke (ou ne transmet) que des données déjà cryptées et qui ne peuvent pas être décryptées. Même sous ordonnance judiciaire, il ne peut pas révéler les mots de passe parce qu'il ne peut mathématiquement pas y accéder.

Un protocole standard qui permet à une app d'accéder aux ressources d'une autre en votre nom sans partager votre mot de passe. Quand une app vous demande de "Se connecter avec Google", elle utilise OAuth. Vous donnez à cette app la permission d'accéder à certaines données Google (par exemple, votre Drive), mais Google ne partage jamais votre mot de passe avec l'app.

Une mesure de l'aléatoire et de l'imprévisibilité d'un mot de passe ou d'une clé cryptographique, exprimée en bits. Plus de bits d'entropie signifie plus de combinaisons possibles et plus difficile à deviner. Un mot de passe avec 128 bits d'entropie a 2^128 combinaisons possibles — pratiquement impossible à casser.

Un incident de sécurité où des données confidentielles sont accédées, copiées ou volées sans autorisation. Cela peut affecter des millions d'utilisateurs à la fois quand une entreprise est piratée. Les mots de passe divulgués lors de violations apparaissent souvent sur le dark web et sont utilisés dans des attaques ultérieures.

Un mot de passe qui a été exposé dans une violation de données ou qui est connu des attaquants. Un mot de passe compromis devrait être changé immédiatement sur chaque service où il est utilisé. Les gestionnaires de mots de passe modernes comparent vos mots de passe aux bases de données de violations et vous alertent.

Une attaque d'ingénierie sociale où un attaquant se fait passer pour une entité de confiance (banque, réseau social, entreprise) pour vous inciter à entrer vos identifiants sur un faux site. Elle arrive généralement par email, SMS ou message instantané avec un lien vers une copie du site légitime.

Une technique d'attaque où toutes les combinaisons de mots de passe possibles sont systématiquement essayées jusqu'à ce que la bonne soit trouvée. Avec les ordinateurs modernes, un simple mot de passe de 8 caractères peut être craqué en quelques heures. C'est pourquoi la longueur compte et pourquoi PBKDF2 ralentit chaque tentative.

Une attaque automatisée où des combinaisons nom d'utilisateur/mot de passe divulguées lors de violations précédentes sont essayées contre d'autres services. Cela fonctionne parce que beaucoup de gens réutilisent le même mot de passe sur plusieurs sites. Si votre mot de passe est divulgué d'un forum, les attaquants testent ce même mot de passe sur votre banque ou email.

Une attaque où un tiers intercepte les communications entre deux parties (par exemple vous et un site web) sans que l'une ou l'autre ne le sache. L'attaquant peut lire, modifier ou injecter des données. Le cryptage de bout en bout rend l'interception des données inutile : même s'ils les capturent, elles sont cryptées.