Les mots de passe sont un casse-tête pour les consommateurs sur internet. A l’heure où chaque site Web demande de créer un compte et d’y associer un mot de passe, la tentation est grande d’utiliser le mot de passe le plus simple possible, et toujours le même afin d’au moins arriver à s’en souvenir.
Trop simple à trouver
Le risque est que ces mots de passe soient trop simples à trouver et donc que le compte d’un utilisateur soit usurpé par un escroc. C’est ce que souligne la société Dashlane, qui propose des outils de gestion de mot de passe.
La société a analysé les types de mot de passe acceptés sur cent sites de e-commerce français. Cela a abouti à un classement des bons et des mauvais élèves. On trouve ainsi en tête de liste Ebay.fr, leboncoin.fr, vente-privee.com ou pixmania.fr. On trouve en fin de liste des noms connus comme hourra.fr, boulanger.fr, etam.com ou decathlon.fr.
Durcir les mots de passe
Les sites classés comme les mieux sécurisés sont ceux qui ont mis en place des processus de durcissement des mots de passe (longueur minimale, mélange de lettres et de chiffres, sensibilité aux minuscules et majuscules, conseils, rejet de mot de passe trop simples, saisie en aveugle du mot de passe, …) et ne transmettent pas à la fois le mot de passe en clair et l’identifiant.
« 87% des sites acceptent des mots de passe comme ‘123456’ ou ’motdepasse’, ce sont les premiers mots de passe que les pirates vont utiliser » prévient Dashlane. De plus, 83% des sites laissent tester plus de dix mots de passe pour un compte, ce qui facilite les essais de multiples mots de passe pour les pirates.
A peine 14% des sites demandent à mêler des lettres et des chiffres afin de renforcer la sécurité. C’est très peu. Un site sur deux (45%) transmet en clair dans le même email le mot de passe et l’identifiant. L’étude a été menée en décembre 2013 auprès de 100 sites de e-commerce français.