L’app Mots de passe d’Apple pourrait enfin résoudre le vrai problème : changer les mauvais mots de passe

La plupart des gens connaissent déjà les conseils : mots de passe uniques, un gestionnaire, rotation après une fuite. Le frein n’est pas le savoir — c’est la corvée. Repérer les identifiants faibles ou compromis est facile. Visiter des dizaines de sites, passer le 2FA et enregistrer de nouveaux secrets ne l’est pas. C’est pourquoi les coffres-forts se remplissent d’alertes « à corriger plus tard ».

À la WWDC 2026, Apple a présenté une fonction Apple Intelligence pour l’app Mots de passe dans iOS 27 : un agent qui liste les comptes à problème et peut mettre à jour les mots de passe faibles ou compromis en grande partie tout seul. Comme l’écrit Alex Blake pour Macworld, cela vise le vrai échec de l’hygiène des mots de passe — la friction.

Ce qu’Apple a annoncé

Comme d’autres gestionnaires, l’app Mots de passe d’Apple signale déjà les identifiants faibles ou compromis. Jusqu’ici, les corriger voulait dire tout faire soi-même — ouvrir chaque site, changer le secret, confirmer avec le MFA, enregistrer la nouvelle valeur.

Le nouvel agent est conçu pour prendre cette liste et agir : aller sur les sites éligibles, parcourir le flux de changement, et écrire le nouveau secret dans Mots de passe. Blake note que vous n’aurez peut-être même pas besoin de surveiller l’app pendant qu’il tourne.

C’est un changement important. La détection sans remédiation n’est qu’une demi-solution. La remédiation automatisée — si elle est fiable et bien cadrée — est ce qui permet aux utilisateurs moyens de vraiment réduire le retard.

Pourquoi la friction est le vrai bug de sécurité

Les conseils de sécurité qui dépendent d’une discipline héroïque échouent à grande échelle. Quelqu’un avec des centaines de comptes ne passera pas un week-end à tout faire tourner après chaque alerte de fuite. On reporte, on réutilise, ou on ignore.

Les passkeys réduisent les secrets partagés pour les nouvelles connexions. La rotation automatisée s’attaque à la pile d’anciens mots de passe que personne ne corrige. Si l’agent fonctionne sur assez de sites « éligibles », la sécurité moyenne peut monter sans transformer chacun en service IT.

Questions ouvertes avant de lui faire une confiance aveugle

• Qu’est-ce qui compte comme « faible » ? Apple ne corrige-t-il que les chaînes faciles à deviner, ou aussi les mots de passe réutilisés ?
• L’agent gère-t-il bien les interfaces de changement de mot de passe chaotiques ?
• Que se passe-t-il face au 2FA (app, SMS, e-mail) si le code n’est pas déjà dans Mots de passe ?
• Quel est le modèle de confiance quand un logiciel peut changer les clés de vos comptes ?
• Quels comptes sont « éligibles », et que se passe-t-il quand l’agent ne peut pas finir en sécurité ?

L’IA opératrice n’est pas l’IA génératrice de mots de passe

Il ne faut pas confondre deux rôles. Utiliser un agent pour remplir un formulaire de changement de mot de passe n’est pas demander à un chatbot d’inventer un nouveau secret.

La génération doit toujours s’appuyer sur une source aléatoire cryptographiquement sûre — le générateur d’un gestionnaire, ou un outil CSPRNG dans le navigateur.

• Nous expliquons pourquoi les chatbots sont le mauvais outil pour inventer des secrets dans Pourquoi ne pas utiliser l’IA pour générer des mots de passe.
• En rotation manuelle, créez un secret long et aléatoire avec notre générateur de mots de passe.

Que faire en attendant le déploiement large d’iOS 27

• Utilisez un gestionnaire et un mot de passe unique partout.
• Remplacez tout ce qui est réutilisé — voir Réutilisation des mots de passe.
• Vérifiez les anciens secrets avec un test de fuite.
• Préférez les passkeys ou une MFA forte sur l’e-mail, la banque, le cloud et le travail.

En résumé

Si Apple livre cela de façon sûre et que cela marche sur assez de sites réels, l’app Mots de passe cesse d’être seulement un coffre et devient un outil de maintenance. Cela ne retirera pas les gestionnaires tiers du jour au lendemain, mais cela élève la barre : détecter ne suffisait jamais ; corriger doit être presque aussi facile qu’ignorer.

En attendant, traitez l’aperçu WWDC comme une direction — et faites tourner vous-même les comptes à haute valeur avec des mots de passe forts, uniques et générés aléatoirement.

Source

Alex Blake, Macworld — Apple finally got rid of my biggest password headache