Ton mot de passe garde une porte. Le simulateur compte toutes les autres.
Marc a un mot de passe de vingt caractères, tiré au hasard par son gestionnaire. Il a aussi un code temporaire (TOTP) sur son téléphone. Il a quand même perdu son compte un mardi matin, en quarante minutes, et personne n'a jamais vu son mot de passe.
L'attaquant est passé par la boîte email. Clic sur « mot de passe oublié », lien de réinitialisation reçu, nouveau mot de passe choisi. Le service a retiré le code temporaire au passage, parce que Marc « n'y avait plus accès ». Les vingt caractères n'ont rien empêché. Ils gardaient une porte que personne n'a essayée.
Devant cette histoire, on cherche quel facteur a lâché. La question ne mord pas. Aucun facteur n'a lâché chez Marc : l'attaquant est entré par un endroit où il n'y en avait aucun. La solidité de la porte principale ne dit presque rien. Le nombre de portes, si.
Le simulateur « Le chemin le plus faible » met cette mécanique en chiffres. Il liste les portes d'un compte, estime ce que coûte chacune à trois profils d'attaquants, et dit laquelle fermer d'abord.
Trois attaquants, pas un
« Est-ce que ma configuration est sûre » n'appelle aucune réponse. Sûre contre qui, oui. Le simulateur distingue trois profils, avec le poids que chacun pèse dans la note finale.
L'opportuniste automatisé (poids 0,50). Il ne te connaît pas et ne te cherche pas. Il achète des listes d'identifiants fuités, les rejoue sur mille services, envoie des campagnes de masse, loue des kits d'hameçonnage vendus prêts à l'emploi. Son économie est le volume : il ne s'arrête sur personne. Ce qui l'arrête, c'est n'importe quel obstacle qui exige de lui une action humaine.
Le ciblé, à distance (poids 0,35). Il te vise, sans jamais t'approcher. Il lit ton profil public, appelle ton opérateur mobile, monte une page relais en temps réel, écrit au support du service en se faisant passer pour toi. Son économie est le temps : quelques heures sur toi valent le coup si le compte vaut quelque chose. Ce qui l'arrête, c'est une méthode qui refuse de fonctionner ailleurs que sur le vrai domaine, et un service qui ne cède pas au téléphone.
Le proche, avec accès physique (poids 0,15). Foyer, colocation, bureau, voleur dans le métro. Il voit tes écrans, connaît le nom de ton premier animal, tient parfois ton téléphone déverrouillé dans la main. Son économie est la proximité : il n'a presque rien à deviner. Ce qui l'arrête, c'est le chiffrement des appareils, un code sur la clé physique, et des secrets qui ne vivent pas tous chez toi.
Les poids ne disent pas qui te vise le plus souvent. Ils disent combien chaque profil compte dans une note unique. L'opportuniste pèse la moitié parce qu'il tourne en permanence, sur tout le monde, sans rien décider.
Des chemins, pas une somme de protections
Un compte ne s'ouvre pas d'une seule façon. Le simulateur énumère huit chemins d'entrée : le mot de passe suivi du second facteur, la clé d'accès (passkey), le lien de connexion par email, la réinitialisation par email, la récupération par SMS, les questions secrètes, le support humain, et le compte tiers quand tu te connectes avec Google, Apple ou Microsoft.
Chaque chemin est une suite d'obstacles. Le chemin classique en compte trois : trouver ton identifiant, obtenir ton mot de passe, franchir ton second facteur. Chaque obstacle peut tomber sous plusieurs techniques, et chaque technique a une probabilité de réussite propre à chacun des trois attaquants. Le moteur les cumule en « ou » décroissant : la meilleure technique compte pleine, la deuxième pour moitié, la troisième pour un quart. Deux façons d'obtenir un mot de passe valent mieux qu'une, sans jamais valoir deux fois.
Ces probabilités sont des règles écrites à la main, pas des mesures de terrain. Elles servent à classer des configurations les unes par rapport aux autres, et elles se discutent.
Un attaquant réussit s'il réussit sur un chemin quelconque. C'est la règle qui commande tout le reste. La résistance vaut 100 × (1 − la moyenne pondérée des réussites des trois attaquants).
Deux conséquences, et elles vont contre l'intuition.
Ajouter une porte n'améliore jamais la note. Activer la connexion par Google sur un compte qui a déjà un mot de passe solide ne renforce rien : ça ouvre un neuvième chemin, et la note ne peut que baisser ou rester égale. En fermer une l'améliore toujours.
Pourquoi fermer une porte plutôt qu'en poser une meilleure à côté ? Parce qu'une serrure neuve ne condamne pas celle d'à côté, et que la note suit la plus faible des deux.
L'effort investi sur le chemin principal ne compte que si l'attaquant l'emprunte. Trente caractères de mot de passe ne pèsent rien face à un support qui réinitialise sur présentation d'une date de naissance.
Deux notes : résistance et récupérabilité
La résistance répond à « quelqu'un d'autre peut-il entrer ? ». Elle va de 0 à 100 et se lit sur cinq paliers : 85 et plus, solide ; 65, correct ; 45, perméable ; 25, faible ; en dessous, ouvert.
La récupérabilité répond à une question que la première ignore : « et toi, y entres-tu encore ? ». Le simulateur déroule six scénarios sans aucun attaquant, pondérés par leur fréquence : tu perds ton téléphone (poids 3), ton ordinateur (2), ta clé physique (1), ton domicile brûle ou est cambriolé (2), ton compte Google ou Apple est suspendu (1), tu deviens incapable de te connecter (1). Chacun vaut « tu rentres » (1), « rattrapable » (0,5) ou « compte perdu » (0).
L'effort est la troisième colonne, celle que les guides oublient. Une unité vaut environ dix minutes, dix euros ou une friction quotidienne légère. Un mot de passe unique et long coûte 2, un gestionnaire 3, un gestionnaire à deux facteurs 4, un code temporaire en application 2, une clé d'accès synchronisée 1, une clé physique 6, deux clés 10, des codes de secours sur papier hors domicile 4.
La clé d'accès synchronisée à 1 point d'effort et la deuxième clé physique à 4 points supplémentaires ne se comparent pas. Une configuration qui ne tient pas dans ta vie ne tient pas du tout : tu la contourneras toi-même, un soir, à la première urgence.
Un facteur qui vit au même endroit qu'un autre n'en est pas un
Le moteur signale à part une famille de problèmes qui n'apparaît dans aucune case du formulaire : les défauts de structure. Ils ne portent pas sur la force d'un facteur, mais sur l'endroit où il dort.
Ton mot de passe de service est aussi celui de ta boîte email. Qui le tient tient la boîte, donc la réinitialisation de tous tes autres comptes. Le mot de passe cesse d'être un secret local pour devenir la clé du trousseau entier.
Ton mot de passe et ton code temporaire vivent dans le même gestionnaire. Le coffre est pratique, et c'est précisément pour ça qu'on y range les deux. Ouvre le coffre, tu as les deux facteurs. Le gestionnaire n'a rien fait de travers : c'est la décision d'y ranger les deux preuves qui a supprimé la seconde.
Tous tes facteurs tiennent sur un seul appareil. Le téléphone porte le gestionnaire, l'application de codes, la boîte email et le SMS. Un objet oublié dans un taxi les emporte ensemble, et la même perte fait chuter la résistance et la récupérabilité.
Une porte de service est plus faible que l'entrée principale. C'est le cas de Marc. Le simulateur le dit avec les coûts : chaque chemin reçoit une étiquette, trivial (probabilité pondérée ≥ 0,45, automatisable), faible (≥ 0,22, outil public), modéré (≥ 0,09, attaque ciblée), élevé (≥ 0,03, accès physique ou poste compromis), très élevé en dessous. Un chemin trivial à côté d'un chemin très élevé reste un chemin trivial.
Le compte est plafonné par le compte tiers. Un compte ne vaut jamais plus que celui qui sert à y entrer. Se connecter avec Google protège autant que le compte Google, ni plus.
Les quatre profils
Quatre configurations types, mesurées par le même moteur.
| Profil | Résistance | Récupérabilité | Effort |
|---|---|---|---|
| Mot de passe seul | 3 | 80 | 0 |
| Cas courant | 49 | 55 | 12 |
| Prudent | 83 | 40 | 19 |
| Durci | 99 | 95 | 27 |
Le mot de passe seul cumule tout : réutilisé, identique à celui de la boîte, retenu de tête, réinitialisation par email ouverte, questions secrètes actives, support qui répond, un appareil non chiffré. Résistance 3. Sa récupérabilité de 80 vient de la même faiblesse : ce qui laisse entrer les autres te laisse entrer aussi.
Le cas courant est le profil de la plupart des gens qui ont déjà fait un effort. Mot de passe long dans un gestionnaire, code temporaire en application, deux appareils chiffrés, codes de secours rangés dans le coffre. Il plafonne à 49. Le chemin le plus faible n'est pas le mot de passe, dont le coût pondéré tombe à 0,15 : c'est la réinitialisation par email à 0,40, puis le support à 0,23. Deux portes latérales annulent le bénéfice du travail fait sur la porte d'entrée. Tant pis pour les vingt caractères. C'est le cas d'école du défaut « porte de service ».
Le prudent ajoute un gestionnaire à deux facteurs, une clé d'accès synchronisée, une réinitialisation qui réclame le second facteur, une boîte email solide, un support fermé, des alertes et un journal côté service. Résistance 83, pour 19 d'effort. Sa récupérabilité tombe à 40 : tout dort chez lui, rien n'est transmissible, et un incendie coûte le compte.
Le durci utilise un alias par service, aucun mot de passe, deux clés physiques, aucune récupération ouverte, des codes papier hors site, trois appareils chiffrés et une copie ailleurs. 99 de résistance, 95 de récupérabilité, 27 d'effort. Ce dernier chiffre est le sujet : peu de gens le paieront sur cinquante comptes, et personne ne le doit sur les cinquante.
Avant de rallonger un mot de passe, regarde tes recours. Dans les quatre profils ci-dessus, c'est là que se trouve le geste qui déplace la note.
Ce que le modèle ne juge pas
Le simulateur porte sur l'authentification, et sur rien d'autre. C'est un choix de périmètre, pas un oubli. Trois zones lui échappent, autant les nommer.
Le poste entièrement compromis. Un logiciel espion persistant rend tous les facteurs équivalents. Il lit le coffre ouvert, capture le code au moment où tu le tapes, et demande à la machine de signer pour lui. Aucune case du formulaire ne répare ça.
Le vol d'une session déjà ouverte. Le cookie volé ne repasse pas par l'authentification. Ce qui compte alors est ailleurs : le service tient-il un journal des sessions, sait-il les révoquer, t'avertit-il d'une connexion nouvelle ?
La contrainte physique ou judiciaire. Un modèle de probabilités ne dit rien de quelqu'un qui réclame ton code sous pression, ni d'une réquisition légale.
Ce qui suit l'ouverture de session sort aussi du cadre : le pouvoir que le compte donne sur le reste, les données qu'il expose, les paiements qu'il autorise. Le modèle mesure l'entrée, pas la maison.
La série
Ce texte pose la grille. Treize articles la remplissent, un par facteur ou presque.
- Le mot de passe : le facteur fondateur, sa longueur, et pourquoi les règles de composition ont été abandonnées.
- L'identifiant : email, pseudonyme, alias : la moitié oubliée de la paire, celle qui fuite en premier.
- Le coffre : navigateur, gestionnaire, gestionnaire à deux facteurs, et ce que chaque cran change.
- Le code par SMS : le second facteur le plus répandu, et le plancher de la série.
- Le code temporaire (TOTP) : six chiffres, trente secondes, et ce que ça n'arrête pas.
- L'approbation par notification : le facteur qu'on finit par approuver de fatigue.
- L'email comme facteur : code, lien, réinitialisation ; la boîte est la serrure de tout le reste.
- Les clés d'accès (passkeys) : la signature liée au domaine, synchronisée ou liée à l'appareil.
- La clé physique : FIDO2 sur un objet, et la règle des deux clés.
- Se connecter avec Google, Apple ou Microsoft : la fédération, et le plafond fixé ailleurs.
- Les portes de service : récupération, questions secrètes, support, codes de secours, tout ce qui contourne le reste.
- Les scénarios d'attaque : le catalogue des techniques, par attaquant et par ce qui les arrête.
- Les niveaux de sécurité : AAL1 à AAL3 côté NIST, et l'échelle du simulateur en face.