Animer un atelier mots de passe : déroulé complet pour médiateurs numériques

P@ssw0rd_2026!. Voilà l’ennemi.

C’est le genre de mot de passe que vos usagers créent en soufflant de découragement, avant de l’oublier dix minutes plus tard. Ou pire, de le noter sur un post-it collé sous l’écran.

Un atelier sur les mots de passe, ce n’est pas un cours de cybersécurité pour informaticiens. C’est un moment très concret où l’on touche à quelque chose de sensible : l’accès aux droits, à la santé, à la banque, aux impôts, aux photos de famille, aux mails et parfois à toute la vie administrative d’une personne.

Le piège, pour nous professionnels du numérique, c’est de vouloir aller trop vite vers la bonne solution technique. Gestionnaire de mots de passe. Double authentification. Coffre-fort numérique. Entropie. Chiffrement. Tout cela est juste. Mais si le public ne comprend pas pourquoi il doit changer ses habitudes, il repartira avec une belle explication et les mêmes pratiques qu’avant.

C’est pour ça que cet atelier doit être pensé comme une progression. On part du vécu. On démonte les mauvaises habitudes sans humilier les participants. On montre pourquoi la longueur protège mieux que la complexité de façade. Un mot de passe doit aussi être unique pour chaque service et difficile à deviner. Puis seulement ensuite, on parle d’outils.

Pour le détail des recommandations officielles, j’ai publié un guide complet sur les recommandations ANSSI sur les mots de passe. Ici, l’objectif est différent : construire un déroulé d’atelier utilisable par un médiateur numérique, un conseiller numérique, un animateur France Services, un formateur ou toute personne qui accompagne du public sur les usages numériques du quotidien.

À qui s’adresse cet atelier ?

Cet atelier s’adresse à des publics débutants ou faux-débutants. Il peut fonctionner avec des seniors, des adultes en reprise d’autonomie numérique, des demandeurs d’emploi, des parents, des jeunes peu sensibilisés à la sécurité ou des usagers accompagnés dans leurs démarches administratives.

Il est particulièrement utile quand les participants savent utiliser quelques services en ligne, mais restent fragiles dès qu’il faut créer, retrouver ou modifier un mot de passe. C’est souvent là que tout bloque. Pas parce que les personnes sont incapables. Parce que les règles qu’on leur impose sont absurdes, contradictoires et rarement expliquées clairement.

Objectifs pédagogiques de l’atelier

À la fin de l’atelier, les participants doivent être capables de comprendre trois choses simples : pourquoi un mot de passe court ou prévisible est fragile, comment créer une phrase de passe suffisamment longue et mémorisable, et pourquoi certains comptes doivent être protégés en priorité sans réutiliser leurs mots de passe ailleurs.

Pour un atelier de médiation numérique, c’est largement suffisant. Le but n’est pas de transformer les participants en administrateurs système. Le but est de réduire les risques réels : même mot de passe utilisé partout, carnet visible, boîte mail non protégée, téléphone de récupération obsolète, double authentification ignorée.

Durée, matériel et prérequis

Le format idéal est un atelier de 1h30. En dessous d’une heure, le sujet devient trop dense. Au-delà de deux heures, le public décroche, surtout si l’atelier mélange théorie, manipulation, exemples et objections.

L’atelier peut se faire avec ou sans ordinateur individuel. Si les participants ont leurs appareils, c’est mieux. Mais il ne faut pas commencer par la manipulation. La première partie doit rester collective, orale et visuelle. Sinon, tu te retrouves immédiatement à gérer des problèmes de clavier, de navigateur ou de récupération de compte. Une ancienne adresse électronique, un numéro qui n’est plus utilisé, un téléphone remplacé ou un appareil qui n’est plus reconnu peuvent suffire à bloquer un accès. Ameli, la Caf, les banques, Google et Apple n’utilisent pas tous les mêmes méthodes : l’objectif est de transmettre une logique plutôt qu’une recette unique.

Le seul prérequis réel est de savoir ce qu’est un compte en ligne. Même cette notion mérite parfois d’être reformulée. Beaucoup d’usagers ne distinguent pas clairement le site, le compte, l’adresse mail, le mot de passe, le navigateur et le téléphone qui reçoit les codes. Si cette confusion existe, il faut la traiter avant d’aller plus loin.

Déroulé complet de l’atelier

Voici un déroulé simple pour un atelier d’environ 1h30. Il peut être raccourci à une heure si le public est déjà à l’aise, ou étendu à deux heures si tu prévois une partie pratique sur ordinateur ou smartphone.

0 à 10 minutes : partir du vécu des participants

Ne commence pas par une définition. Commence par une situation. Demande aux participants ce qui les bloque le plus avec les mots de passe : les créer, les retenir, les retrouver, les modifier, les écrire, les taper, ou comprendre pourquoi un site les refuse.

Cette étape est essentielle. Elle permet de montrer que le problème n’est pas individuel. Beaucoup de personnes pensent être “nulles avec le numérique” alors qu’elles se retrouvent surtout face à des règles incohérentes. Un site demande une majuscule, un autre interdit les caractères spéciaux, un troisième impose douze caractères, un quatrième bloque après trois essais.

10 à 25 minutes : démonter le mythe du mot de passe complexe

Affiche ou écris deux exemples au tableau :

Demande ensuite lequel semble le plus sécurisé. Beaucoup de participants répondront le premier, parce qu’il contient une majuscule, un chiffre et un symbole. C’est précisément là que l’atelier devient utile.

Explique simplement que les outils d’attaque connaissent nos petites astuces. Ils ne testent pas seulement des combinaisons au hasard. Ils commencent aussi par les mots courants, les prénoms, les dates, les suites simples et leurs transformations prévisibles : remplacer un « a » par @, un « o » par 0, ajouter 01 ou un point d’exclamation. Le but n’est donc pas d’inventer un code illisible. Le but est de créer quelque chose de suffisamment long, unique pour chaque service et difficile à deviner.

Pourquoi la complexité est devenue votre pire ennemie

Pendant des années, on nous a forcés à mélanger majuscules, chiffres et symboles sans toujours expliquer le reste. Résultat ? Des mots de passe courts et prévisibles comme Maman123!, P@p!1958, Soleil2024! ou le prénom du chien avec un point d’exclamation.

Sur le papier, ces mots de passe semblent “complexes”. En réalité, les outils d’attaque connaissent nos petites astuces. Ils commencent aussi par les mots courants, les prénoms, les dates, les suites simples et leurs transformations prévisibles : remplacer un « a » par @, un « o » par 0, ajouter 01 ou un point d’exclamation. Ce n’est pas de la sécurité. C’est du théâtre administratif.

À l’inverse, une phrase de passe peut offrir un bon compromis entre robustesse et mémorisation lorsqu’elle est suffisamment longue, unique pour le service et difficile à deviner. Une citation connue ou une suite de mots trop évidente reste prévisible : la longueur ne dispense pas de réfléchir.

Ce point est central. Si les participants comprennent seulement cela, l’atelier est déjà utile. La longueur bat la complexité de façade. Remplacer un « a » par @ et ajouter un point d’exclamation ne suffit pas. Un mot de passe doit être suffisamment long, unique pour chaque service et difficile à deviner. Une phrase de passe peut offrir ce compromis sans devenir un cauchemar à mémoriser. Et l’exemple absurde bat toujours le conseil abstrait.

Exercice prêt à animer : la méthode de l’histoire absurde

Une suite de symboles abstraits est difficile à retenir. Une image mentale concrète, distinctive et reliée à une petite histoire laisse souvent davantage de traces. Dans mes ateliers, j’ai constaté qu’une métaphore absurde et drôle fonctionne encore mieux. Ce n’est pas parce que les participants seraient incapables de comprendre la théorie : cette méthode leur donne un repère qu’ils peuvent réutiliser seuls.

Le principe est simple : choisir quatre mots sans lien évident, les relier mentalement dans une scène ridicule, puis les transformer en phrase de passe.

Attention : les exemples donnés en atelier ne doivent jamais devenir de vrais mots de passe. Ils servent uniquement à comprendre la méthode. Chaque participant doit ensuite créer sa propre phrase de passe, sans la dire à voix haute et sans la montrer au groupe.

Comptes sensibles : tous les mots de passe ne se valent pas

L’objectif est bien d’utiliser un mot de passe différent pour chaque service. Mais face à un public débutant, présenter immédiatement cette règle comme un chantier gigantesque peut devenir paralysant. Si la consigne semble impossible, elle ne sera pas appliquée.

L’objectif reste un mot de passe différent pour chaque service. En atelier, on commence toutefois par quelques comptes essentiels afin que la personne acquière une méthode qu’elle pourra appliquer ensuite aux autres comptes. La distinction entre comptes critiques, importants et secondaires sert de priorisation pédagogique personnalisable. Ce classement n’est pas une norme universelle. Il doit être adapté aux usages de chaque participant et aux conséquences possibles d’un piratage.

La messagerie principale sert souvent à réinitialiser les accès à de nombreux autres services. Si elle est compromise, l’attaquant peut tenter de prendre le contrôle d’une partie importante de la vie numérique de la personne. C’est le premier compte à protéger avec un mot de passe unique et robuste et, si possible, une double authentification.

Un mot de passe doit surtout être changé lorsqu’il a été exposé, réutilisé sur un service compromis ou lorsqu’un doute existe sur la sécurité du compte. Changer tous ses mots de passe tous les trois mois uniquement pour cocher une case peut produire des variantes prévisibles plutôt qu’une meilleure sécurité.

Une alerte de fuite mérite de l’attention, mais pas une confiance aveugle. Il faut vérifier l’information en ouvrant directement le site ou l’application officielle. Si la fuite est confirmée, le mot de passe concerné doit être changé, ainsi que sur tout autre compte où il aurait été réutilisé.

Pour une méthode plus complète de classement des comptes et de gestion des mots de passe avec les usagers, j’ai détaillé mon approche dans l’article méthode de gestion des mots de passe inspirée des recommandations ANSSI.

Faut-il vraiment parler de gestionnaire de mots de passe en atelier ?

C’est le grand débat. Faut-il faire confiance au navigateur ? Faut-il installer KeePass ? Faut-il créer un compte Bitwarden ? Faut-il éviter les solutions cloud ? Faut-il commencer par un carnet papier ?

La réponse honnête est désagréable pour les puristes : ça dépend du public.

Vaultwarden est un serveur alternatif, non officiel, compatible avec les applications Bitwarden et adapté à l’auto-hébergement. Chez moi, j’utilise Vaultwarden sur mon serveur domestique. Je choisis où sont hébergées mes données, mais j’assume aussi les mises à jour, les sauvegardes, la sécurité du serveur et sa disponibilité. Cette solution me convient très bien, mais ce n’est absolument pas le point de départ que je proposerais à un grand débutant.

L’auto-hébergement demande une autonomie technique réelle. Une personne qui découvre la souris, confond navigateur et moteur de recherche, ou ne sait pas encore retrouver ses mails de confirmation a besoin d’un point de départ beaucoup plus simple.

En atelier, le meilleur outil n’est pas forcément le plus sécurisé sur le papier. C’est celui que la personne pourra réellement utiliser sans toi, chez elle, une semaine plus tard.

Le gestionnaire du navigateur peut être une étape réaliste si l’ordinateur est personnel, ou si les comptes utilisateurs sont correctement séparés, si l’écran est verrouillé, si le système et le navigateur sont à jour, et si un antivirus est actif et à jour. Le compte principal qui synchronise les mots de passe devient lui-même un compte prioritaire : il doit être protégé par un mot de passe unique et robuste. La double authentification est recommandée, sans être imposée, et la personne doit comprendre le rôle central de son compte Google, Microsoft ou Apple.

Bitwarden Free peut ensuite convenir à un public qui souhaite une solution indépendante, grand public et multiappareils. Il ne faut pas le présenter comme certifié ou recommandé par l’ANSSI.

KeePass demande davantage d’autonomie pour gérer le fichier du coffre, sa sauvegarde, le mot de passe maître et une éventuelle synchronisation. Une ancienne version portable de KeePass a obtenu une certification CSPN de l’ANSSI en 2010. Cela ne signifie pas que toutes les versions actuelles bénéficient automatiquement de cette certification.

Pour comparer plus précisément les solutions, j’ai détaillé le sujet ici : gestionnaire de mots de passe ANSSI : que choisir en atelier ?

Enregistrer ses mots de passe dans Chrome, c’est mieux qu’un post-it sous l’écran lorsque l’appareil et le compte principal sont correctement protégés. Mais ce n’est pas une baguette magique. Il faut expliquer ce que l’on gagne, ce que l’on risque, et ce que l’usager est capable de refaire seul.

La double authentification : indispensable, mais mal vendue

La double authentification est l’un des sujets les plus importants. C’est aussi l’un des plus mal expliqués. Pour beaucoup d’usagers, le code reçu par SMS, l’application d’authentification, la notification ou la clé physique ressemblent à une complication supplémentaire. Ces méthodes ne se valent pas exactement, sans qu’il soit nécessaire d’en faire ici un long classement technique. Les clés d’accès, elles, peuvent remplacer le mot de passe sur certains services : elles constituent un sujet distinct, abordé plus loin dans cet article.

Il ne faut pas présenter la double authentification comme une punition. Il faut la présenter comme une deuxième serrure. Même une méthode imparfaite peut déjà améliorer la situation. Ensuite, on adapte selon le niveau de risque et l’autonomie de la personne.

Commence par les comptes critiques : mail principal, banque, impôts, Ameli, compte Google ou Apple, et le compte ou l’identité numérique utilisé pour se connecter avec FranceConnect. Il est inutile de vouloir tout sécuriser d’un coup. En atelier, trop de sécurité tue souvent la sécurité. Il vaut mieux protéger quelques comptes essentiels correctement et transmettre une méthode applicable aux autres que vouloir tout transformer en une séance.

La double authentification pose aussi des problèmes très concrets : changement de téléphone, ancien numéro, perte du smartphone, adresse ou numéro de récupération obsolète, appareil de confiance indisponible, ou codes de secours introuvables lorsque le service en propose. En atelier collectif, le principe est présenté sans ouvrir dix chantiers à la fois. Les participants qui souhaitent activer réellement la double authentification ou approfondir la récupération de compte peuvent bénéficier d’un accompagnement individuel.

Répondre aux objections classiques

En tant que professionnel, tu vas essuyer des refus. C’est normal. Les mots de passe touchent à la mémoire, à la confiance, à la peur de se tromper et parfois à la dépendance familiale. Il ne faut pas répondre comme un technicien vexé. Il faut répondre comme un médiateur.

Adapter l’atelier selon le public

Un atelier mots de passe ne se déroule pas de la même manière avec des seniors, des demandeurs d’emploi, des parents, des jeunes ou des professionnels. Le fond reste le même. Mais les exemples doivent changer.

Le sujet peut aussi être relié au phishing. Un bon mot de passe ne sert pas à grand-chose si la personne le donne elle-même sur une fausse page. Pour prolonger l’atelier, tu peux t’appuyer sur mon article consacré au phishing expliqué aux usagers.

Les erreurs à éviter pendant l’atelier

La première erreur, c’est de vouloir être trop complet. Les clés d’accès commencent à remplacer les mots de passe sur certains services et résistent mieux à l’hameçonnage. Elles méritent cependant une explication spécifique. Les ajouter ici avec les gestionnaires, la double authentification et FranceConnect transformerait l’atelier en inventaire technologique.

La deuxième erreur, c’est d’humilier les pratiques existantes. Pour certains grands débutants, un carnet dédié, rangé dans un lieu discret et sûr, peut constituer une étape transitoire. Ce n’est pas la solution idéale, mais cela peut être moins dangereux qu’un même mot de passe utilisé partout depuis dix ans. L’objectif est ensuite de progresser vers une solution plus robuste lorsque la personne est prête. Le problème, ce n’est pas seulement le papier : c’est aussi le post-it visible, la réutilisation massive et l’absence de hiérarchie.

La troisième erreur, c’est de croire que la meilleure solution technique est automatiquement la meilleure solution pédagogique. Ce n’est pas vrai. En médiation numérique, une solution imparfaite mais comprise vaut souvent mieux qu’une solution parfaite abandonnée au bout de deux jours.

Phrase de conclusion à donner aux participants

À la fin de l’atelier, il faut laisser une règle simple. Pas dix conseils. Pas une liste interminable. Une règle mémorisable.

Un bon mot de passe ne devient pas solide grâce à une complexité de façade. Il doit être suffisamment long, unique pour chaque service et difficile à deviner. Une deuxième vérification ajoute une barrière très utile quand elle est disponible.

Cette phrase résume l’essentiel. Elle permet de sortir du mythe du mot de passe tordu, sans nier les enjeux de sécurité. Elle laisse aussi la porte ouverte aux outils, sans les imposer à tous les publics.

Et surtout, elle redonne du pouvoir aux participants. Ce n’est pas rien. Parce que derrière un mot de passe oublié, il y a souvent une démarche bloquée, une autonomie fragilisée, une peur de mal faire, et parfois une dépendance à quelqu’un d’autre.

FAQ : animer un atelier mots de passe

Combien de temps faut-il prévoir pour un atelier mots de passe ?

Le format idéal est d’environ 1h30. Une heure suffit pour sensibiliser, mais pas pour traiter correctement les objections et les cas pratiques. Deux heures peuvent être utiles si l’atelier inclut une partie manipulation sur ordinateur ou smartphone.

Faut-il faire créer un vrai mot de passe pendant l’atelier ?

Pas forcément. Pour des raisons de sécurité, il vaut mieux travailler d’abord sur des exemples fictifs. Les participants peuvent ensuite appliquer la méthode à leurs propres comptes, sans communiquer leurs vrais mots de passe au groupe ni à l’animateur.

Le carnet papier est-il à bannir ?

Non, pas systématiquement. Pour certains grands débutants, un carnet dédié, rangé dans un lieu discret et sûr, peut constituer une étape transitoire. Ce n’est pas la solution idéale, mais cela peut être moins dangereux qu’un même mot de passe utilisé partout depuis dix ans. L’objectif est ensuite de progresser vers une solution plus robuste lorsque la personne est prête.

Faut-il installer KeePass ou Bitwarden pendant l’atelier ?

Seulement si le public est suffisamment autonome. Pour des débutants, il vaut mieux commencer par la phrase de passe, la hiérarchie des comptes et les bonnes pratiques de récupération. La progression possible est ensuite le gestionnaire intégré à Google, Microsoft ou Apple, puis Bitwarden Free pour une solution indépendante et multiappareils, et enfin KeePass pour un public plus autonome.

Comment expliquer simplement la double authentification ?

Utilise l’image de la deuxième serrure. Le mot de passe est la clé et la double authentification ajoute un verrou. Ce n’est pas une garantie absolue, mais une barrière très utile contre de nombreuses prises de compte. Même une méthode imparfaite peut déjà améliorer la situation ; on l’adapte ensuite au niveau de risque et à l’autonomie de la personne.

—