Phrase de récupération : ce que c’est et comment la conserver

Une phrase de récupération est une courte liste de mots ordinaires, généralement 12, qui sert de clé de secours pour quelque chose de chiffré. Si vous oubliez votre mot de passe, perdez votre téléphone ou devez restaurer une sauvegarde, c’est la phrase qui vous permet de rentrer. Comme il s’agit d’une clé et non d’une réinitialisation de mot de passe, personne d’autre ne peut la récupérer pour vous : l’endroit où vous la conservez compte donc autant que la phrase elle-même.

Ce guide explique comment fonctionnent les phrases de récupération et les moyens concrets, sans technologie compliquée, d’en conserver une en sécurité.

Pourquoi certaines apps donnent une phrase au lieu de « Mot de passe oublié »

La plupart des apps vous permettent de réinitialiser un mot de passe oublié parce que l’entreprise détient vos données, ou un moyen de les déverrouiller, sur ses serveurs. C’est pratique, mais cela signifie aussi que l’entreprise (et quiconque la pirate ou l’y contraint) peut accéder à vos données.

Les apps construites autour d’un chiffrement de bout en bout ou local fonctionnent à l’inverse : la clé qui déverrouille vos données n’existe que de votre côté. C’est ce qui les rend privées, et c’est aussi pourquoi il n’y a pas de bouton de réinitialisation. Si l’entreprise pouvait réinitialiser votre mot de passe, elle pourrait aussi ouvrir vos données.

La phrase de récupération résout le problème du « et si j’oublie ? » sans confier de clé à qui que ce soit. Elle est générée lors de la configuration, affichée une seule fois, et à partir de là, vous êtes seul à la posséder.

Ce que sont réellement les 12 mots

De nombreuses apps utilisent une liste de mots standard appelée BIP39 : 2 048 mots anglais courants, choisis pour qu’aucun ne puisse facilement être confondu avec un autre. En choisir 12 au hasard donne environ 128 bits d’aléa, bien plus que ce que quiconque pourrait deviner, même avec un ordinateur testant des milliards de combinaisons.

Il en découle plusieurs choses :

• L’ordre compte. Les mêmes mots dans un ordre différent forment une autre phrase.
• Chaque mot compte. Le dernier mot contient généralement une somme de contrôle : une faute de frappe est donc détectée au lieu de n’ouvrir silencieusement rien du tout.
• Vous ne la choisissez pas. Les phrases que l’on choisit soi-même (paroles de chansons, citations préférées) sont bien plus faciles à deviner. Les bonnes apps la génèrent toujours pour vous.

Dans VaultCave, chaque coffre reçoit sa propre phrase de 12 mots à sa création, et vous ressaisissez trois de ses mots pour prouver que vous l’avez notée avant que le coffre soit prêt. La phrase est le seul moyen de restaurer un coffre depuis votre sauvegarde chiffrée, et le seul moyen d’y accéder si vous oubliez le schéma du coffre.

Où ne pas la conserver

Tout l’intérêt d’une phrase de récupération est qu’elle survive quand le reste lâche : un téléphone perdu, un ordinateur portable en panne, un compte piraté. Évitez donc de la stocker dans un endroit qui lâcherait en même temps :

• Pas en capture d’écran ni en photo. Elle atterrit dans votre photothèque, se synchronise dans le cloud et c’est le premier endroit où l’on chercherait.
• Pas dans l’app Notes ni dans un e-mail à vous-même. Même problème : elle se trouve sur les appareils et les comptes qu’elle est censée protéger.
• Pas à l’intérieur de ce qu’elle déverrouille. La phrase d’un coffre stockée dans ce même coffre est inutile au moment où vous en avez besoin.
• Pas dans un document en ligne, sauf si ce document est lui-même protégé par quelque chose auquel vous ne perdrez jamais l’accès.

Les bonnes façons de la conserver

Le plus simple est généralement le meilleur :

1. Écrivez-la sur papier. Numérotez les mots, écrivez lisiblement et vérifiez chaque mot par rapport à l’écran. Le crayon s’efface moins que bien des encres.
2. Rangez-la dans un endroit sûr et privé : un coffre-fort à la maison, un tiroir fermé à clé, ou avec vos documents importants, comme vos passeports et vos titres de propriété.
3. Envisagez une seconde copie dans un autre lieu, par exemple chez un membre de votre famille en qui vous avez confiance ou dans un coffre à la banque, pour qu’un seul incendie ou une seule inondation ne puisse pas emporter les deux.
4. Pour une durabilité à long terme, certaines personnes poinçonnent ou gravent les mots sur des plaques de métal conçues précisément pour cela.

Si vous la confiez à votre famille, réfléchissez à qui doit pouvoir l’utiliser. Quelqu’un qui possède votre phrase peut ouvrir ce qu’elle protège : ne la partagez qu’avec des personnes à qui vous confieriez les données elles-mêmes.

Faut-il utiliser un gestionnaire de mots de passe ?

Un gestionnaire de mots de passe est un endroit raisonnable pour une phrase de récupération si vous êtes certain de ne jamais perdre l’accès au gestionnaire lui-même, et s’il est protégé par un mot de passe principal robuste et l’identification à deux facteurs. C’est pratique et chiffré.

Le risque est la dépendance circulaire : si votre téléphone est perdu et que votre gestionnaire de mots de passe ne se déverrouille qu’avec ce téléphone, vous pouvez vous retrouver bloqué des deux côtés. Si vous choisissez cette voie, gardez aussi une copie papier.

Testez-la avant d’en avoir besoin

Une phrase que vous ne pourrez plus lire dans deux ans ne vaut pas mieux que pas de phrase du tout. De temps en temps :

• Vérifiez que le papier est toujours là où vous le pensez et qu’il est encore lisible.
• Si l’app le permet, vérifiez la phrase sans rien modifier (VaultCave demande trois mots lors de la configuration ; la phrase complète fonctionne à tout moment depuis Restaurer avec la phrase de récupération sur l’écran de déverrouillage).
• Si vous pensez que quelqu’un l’a vue, déplacez vos données vers un nouveau coffre avec une nouvelle phrase.

En résumé

• Une phrase de récupération est la clé de secours de données chiffrées ; personne ne peut la réinitialiser pour vous.
• Elle est générée au hasard à partir d’une liste de mots standard ; l’ordre et chaque mot comptent.
• Ne la stockez jamais en capture d’écran, dans Notes, dans un e-mail, ni à l’intérieur de ce qu’elle déverrouille.
• Écrivez-la sur papier, rangez-la en lieu sûr et envisagez une seconde copie ailleurs.
• Vérifiez-la de temps en temps, pour qu’elle fonctionne le jour où vous en aurez besoin.