Mots de passe et 2FA qui survivent à un reset

Avant, chaque réinstallation de Windows voulait dire : sessions expirées, « mot de passe oublié » en boucle, captchas Google et Microsoft à répétition. Aujourd’hui, je réinstalle mon PC et je retrouve tous mes accès en cinq minutes. Voici le système, et surtout pourquoi chaque pièce est là.

Le principe : trois pièces séparées

Un gestionnaire de mots de passe dans le cloud, qui retient tout à ta place.
Une application de double authentification (2FA) sur ton téléphone, séparée du gestionnaire.
Un kit d’urgence hors ligne, pour le jour où tu perds le téléphone.

Si une pièce tombe, les deux autres te permettent de tout récupérer.

1. Le gestionnaire de mots de passe : Bitwarden

J’ai comparé KeePassXC, Vaultwarden (Bitwarden auto-hébergé), Proton et Bitwarden. J’ai choisi Bitwarden, dans le cloud, région Europe :

open source et audité régulièrement ;
gratuit pour l’essentiel (mots de passe illimités, tous les appareils) ;
chiffré de bout en bout : Bitwarden ne peut pas lire ton coffre ;
extension pour Firefox, Brave, Chrome, et application mobile avec remplissage automatique.

KeePassXC est excellent mais c’est un fichier local à synchroniser toi-même : parfait pour les bricoleurs, pas pour « zéro friction ». Vaultwarden demande un serveur qui tourne en permanence. Le cloud officiel, c’est le bon compromis.

Migrer depuis ton navigateur

Chrome, Edge et Brave savent exporter leurs mots de passe en CSV, et Bitwarden sait les importer (Outils → Importer des données). Deux règles :

supprime le fichier CSV juste après l’import : il contient tous tes mots de passe en clair ;
désactive ensuite l’enregistrement des mots de passe dans le navigateur, pour n’avoir qu’une seule source de vérité.

Le mot de passe maître

C’est le seul que tu dois retenir. Une phrase de 4 à 6 mots aléatoires, plus facile à retenir et plus solide qu’un P@ssw0rd! : par exemple le générateur de phrases de passe de Bitwarden. Et active la 2FA sur ton compte Bitwarden lui-même.

2. La double authentification : Aegis (Android)

La 2FA, ce sont les codes à 6 chiffres qui changent toutes les 30 secondes. J’utilise Aegis Authenticator, gratuit et open source.

Pourquoi pas dans Bitwarden ? Bitwarden sait aussi stocker les codes 2FA (en version payante). C’est pratique, mais tu mets alors tes œufs dans le même panier : quelqu’un qui obtient ton coffre a le mot de passe et le deuxième facteur. Pour les comptes sensibles (banque, e-mail principal, plateformes crypto), garde la 2FA séparée. C’est tout l’intérêt d’avoir deux facteurs.

Le piège classique : ton téléphone casse, et tu perds toutes tes 2FA. Aegis permet des sauvegardes chiffrées automatiques : active-les et copie régulièrement le fichier de sauvegarde ailleurs que sur le téléphone.

Sur iPhone, l’équivalent est par exemple Ente Auth (open source, multiplateforme).

3. Le kit d’urgence

Le scénario à prévoir : PC réinstallé et téléphone perdu le même mois. Pour ça, garde hors ligne (papier dans un endroit sûr, ou clé USB chiffrée) :

le mot de passe maître Bitwarden ;
les codes de récupération de Bitwarden et de ton e-mail principal (fournis quand tu actives la 2FA) ;
le mot de passe de la sauvegarde Aegis ;
ta clé de récupération BitLocker, qui change à chaque réinstallation de Windows.

Ça prend 15 minutes à faire une fois. C’est ce qui fait la différence entre « j’ai perdu mon téléphone, pas grave » et « j’ai perdu l’accès à ma banque ».

Après un reset : les 5 minutes de récupération

Installer Bitwarden et son extension (winget install Bitwarden.Bitwarden -e).
Se connecter avec le mot de passe maître + le code Aegis.
Se reconnecter aux sites : Bitwarden remplit, Aegis donne le code.

Pas de « mot de passe oublié », pas de SMS de récupération, pas de stress.

Le détail qui compte pour la crypto

Si tu as des comptes sur des plateformes crypto : 2FA par application, jamais par SMS (les attaques par transfert de numéro de téléphone existent vraiment), une adresse e-mail dédiée si possible, et la liste blanche d’adresses de retrait activée quand la plateforme le propose. Et pour ce que tu gardes sur le long terme, un portefeuille matériel reste la référence.

En résumé : Bitwarden pour les mots de passe, Aegis (sauvegardé) pour la 2FA, un kit d’urgence hors ligne. Trois pièces séparées, et un reset devient un non-événement.