Que deviennent vos mots de passe quand vous mourez ?

Que deviennent réellement vos mots de passe à votre décès ?

Les services en ligne sont conçus pour exclure tout le monde sauf vous. Quand un proche ne parvient pas à se connecter, la plupart des plateformes ne remettent pas simplement un mot de passe. Les conditions d'utilisation mettent généralement fin à vos droits sur un compte au décès, et dans de nombreux pays, se connecter au compte de quelqu'un d'autre, même d'un parent défunt, relève d'une zone grise juridique.

Certains fournisseurs proposent une procédure formelle : un acte de décès, une preuve d'habilitation, des semaines ou des mois d'attente, qui se terminent souvent par la fermeture du compte plutôt que par son ouverture. Ajoutez l'authentification à deux facteurs et un téléphone verrouillé, et même un fournisseur coopératif peut se trouver incapable d'aider.

En pratique, vos comptes se répartissent en trois groupes. Certains sont transformés en comptes de commémoration ou gelés sur demande. Certains sont supprimés après une période d'inactivité, emportant leur contenu avec eux. La plupart continuent simplement : les prélèvements automatiques continuent de payer et les renouvellements continuent de débiter. Aucune de ces issues ne dépend de la connaissance de votre mot de passe. Elles dépendent de la capacité de quelqu'un à agir à temps.

Pourquoi ne peuvent-ils pas simplement le réinitialiser ?

« Ils pourront le réinitialiser » est l'hypothèse la plus courante, et elle échoue plus souvent qu'on ne le pense. Réinitialiser un mot de passe demande l'une de trois choses : l'adresse e-mail du compte, le numéro de téléphone du compte, ou les réponses aux questions de récupération. Chacune est généralement verrouillée derrière autre chose.

• L'e-mail est la clé maîtresse, et il est verrouillé lui aussi

  Presque tous les liens de réinitialisation arrivent sur votre adresse e-mail principale. Si votre famille ne peut pas ouvrir votre boîte de réception, elle ne peut rien réinitialiser en aval, et votre fournisseur de messagerie ne réinitialisera pas le mot de passe de votre boîte pour elle. Un seul compte e-mail verrouillé en verrouille discrètement cinquante autres. Notre guide sur Gmail après le décès détaille ce que Google fera et ne fera pas.

• L'authentification à deux facteurs exige votre appareil

  Même avec le bon mot de passe, un second facteur est généralement requis : un code d'une application d'authentification sur un téléphone verrouillé, un SMS vers un numéro que la famille a peut-être résilié, ou une clé matérielle. Les codes de secours aident, mais seulement si quelqu'un sait où ils sont. Voir sauvegarde de l'authentification à deux facteurs pour savoir comment les transmettre.

• Le verrouillage du téléphone est le dernier mur

  Les téléphones modernes sont chiffrés et liés à un code. Sans lui, le fabricant ne peut pas ouvrir l'appareil, et après trop de tentatives erronées, certains téléphones s'effacent d'eux-mêmes. Un téléphone verrouillé signifie pas de codes d'authentification, pas de SMS, pas de gestionnaire de mots de passe et pas de photos qui n'ont jamais été sauvegardées.

Que disent la loi et les conditions des plateformes sur les mots de passe après le décès ?

Ceci est une information générale, pas un conseil juridique. Les règles varient selon le pays et, aux États-Unis, selon l'État, alors vérifiez ce qui s'applique là où vous vivez.

De nombreuses conditions d'utilisation stipulent que le compte est personnel, incessible et prend fin au décès, tandis que ce qu'il contient, comme des photos, des documents ou de l'argent, peut tout de même faire partie de votre succession. Un exécuteur peut donc avoir un droit légal sur le contenu sans aucun moyen pratique de l'atteindre, et partager un mot de passe dans un testament ne rend pas automatiquement légal le fait que quelqu'un d'autre se connecte.

Les grandes plateformes adoptent toutes la même position de base : elles ne fourniront ni mot de passe ni identifiants de connexion à qui que ce soit, y compris les proches. Ce qu'elles offrent à la place, ce sont des outils de planification anticipée et une procédure plus lente, lourde en documents, pour les endeuillés.

Google vous permet de configurer à l'avance un plan qui contacte les personnes de votre choix et peut partager avec elles des données sélectionnées après une période d'inactivité que vous définissez ; sans ce plan, la famille peut demander à Google de fermer le compte ou de communiquer certaines données, examinées au cas par cas. Apple vous permet de désigner un contact légataire qui, avec une clé d'accès que vous avez partagée et un acte de décès, peut demander vos données iCloud, mais les mots de passe du trousseau, les données de paiement et les médias achetés sont exclus. Facebook vous permet de désigner un contact légataire qui peut gérer un profil de commémoration mais ne peut ni se connecter ni lire les messages. Nous traitons chacun dans nos guides iCloud après le décès et Facebook après le décès.

Les plateformes aideront votre famille à faire le ménage, et parfois à récupérer des données, mais aucune ne remettra les clés. Cette partie-là, vous devez l'organiser vous-même.

Comment transmettre ses mots de passe à sa famille ? Les quatre façons

Il n'existe en réalité que quatre façons de partager des mots de passe après le décès. La plupart des gens finissent par en combiner deux.

• 1. Une liste écrite

  Une feuille dans un coffre, une enveloppe scellée chez votre notaire, ou une clé USB dans un tiroir. Avantages : gratuit, fonctionne sans aucune technologie. Inconvénients : elle devient obsolète dès que vous changez un mot de passe, et quiconque la trouve peut l'utiliser immédiatement. Une liste convient pour une poignée de secrets quasi permanents, comme un code de téléphone ou un mot de passe maître, à condition d'être conservée dans un endroit vraiment sûr.

• 2. L'accès d'urgence d'un gestionnaire de mots de passe

  Certains gestionnaires de mots de passe (souvent dans les offres payantes) vous permettent de désigner un contact de confiance qui peut demander l'accès à votre coffre ; vous disposez d'un délai pour refuser, après quoi il est admis. Avantages : les mots de passe sont toujours à jour et le coffre contient tout. Inconvénients : votre contact doit avoir son propre compte chez le même gestionnaire, la demande peut être faite alors que vous êtes bien vivant, et votre famille doit tout de même savoir que le gestionnaire existe. D'autres gestionnaires ne proposent qu'un kit de récupération imprimable que vous devez stocker et partager vous-même.

• 3. Les outils d'héritage des plateformes

  Le plan de compte inactif de Google, le contact légataire d'Apple et le contact légataire de Facebook. Officiels, gratuits et seule voie d'accès à certaines données, mais chacun ne couvre qu'une entreprise et aucun ne partage de mots de passe. Configurez-les quand même, car ils sont la bonne réponse pour les données qu'ils couvrent.

• 4. Un dead man's switch

  Vous stockez les identifiants dans un message chiffré, vous confirmez que tout va bien par des pointages réguliers, et le message n'est remis que si vous cessez de répondre. Rien n'est partagé de votre vivant, le destinataire n'a besoin d'aucun logiciel ni compte particulier, et vous pouvez joindre des instructions et du contexte aux mots de passe. Cela demande quelque chose en retour : continuer à pointer, choisir un intervalle plus long que votre plus longue période loin de votre téléphone, et mettre à jour le contenu quand un mot de passe change. Voir notre comparatif dead man's switch vs gestionnaire de mots de passe pour savoir lequel convient à quelle situation.

Quels mots de passe comptent le plus après le décès ?

Votre famille n'a pas besoin de tous vos mots de passe. Quelques comptes déverrouillent presque tout le reste, alors commencez par là. Par ordre d'importance approximatif :

• Le code de votre téléphone

  Codes de vérification, applications d'authentification, mots de passe enregistrés et photos non sauvegardées vivent tous derrière lui. Si vous ne laissez qu'un seul secret, laissez celui-ci.

• Votre compte e-mail principal

  Les réinitialisations de mot de passe de presque tous les autres services arrivent ici. Avec la boîte de réception et le téléphone, votre famille peut récupérer l'essentiel de ce que vous avez oublié de lister.

• Le mot de passe maître de votre gestionnaire de mots de passe

  Si vous en utilisez un, ce seul secret en remplace des centaines d'autres. Incluez la clé de récupération ou la clé secrète si votre gestionnaire en délivre une.

• Les codes de secours à deux facteurs

  Les codes de secours imprimés de vos comptes e-mail, bancaires et cloud. Sans eux, les mots de passe ci-dessus peuvent ne pas suffire.

• Identifiants bancaires, de paiement et d'investissement

  Non pas pour que votre famille déplace de l'argent sans habilitation, mais pour qu'elle voie ce qui existe, arrête les prélèvements automatiques et donne à l'exécuteur une vue complète.

• Portefeuilles crypto et phrases de récupération

  Si vous en détenez, c'est la seule catégorie où perdre le secret signifie perdre l'argent purement et simplement. Voir la crypto après le décès.

Comment PostMortem aide pour les mots de passe après le décès

PostMortem est une application gratuite iOS et Android construite autour d'un dead man's switch numérique. Vous créez une boîte à messages, ajoutez des identifiants de connexion (compte plus mot de passe), jusqu'à trois messages texte, des données financières et jusqu'à cinq fichiers joints, et choisissez au moins un destinataire. Chaque boîte a un intervalle de pointage, d'une heure à douze mois. Vous pointez d'un seul geste dans l'application ; les rappels arrivent par e-mail et notification push à l'approche de l'échéance. Si l'intervalle expire sans pointage, la boîte est libérée et vos destinataires reçoivent un e-mail avec un lien pour l'ouvrir.

Pour les mots de passe en particulier, une configuration sensée consiste en une boîte pour la poignée d'identifiants ci-dessus, un message texte expliquant à quoi sert chacun, et un PDF des codes de secours à deux facteurs en pièce jointe. Si des personnes différentes doivent recevoir des choses différentes, utilisez des boîtes séparées avec des destinataires séparés.

Les identifiants, messages, noms et contenus de fichiers sont chiffrés sur votre téléphone en AES-256 avant le téléversement et déchiffrés uniquement dans le navigateur du destinataire ; le nom de la boîte, les adresses des destinataires et le calendrier de pointage restent lisibles pour que les rappels et la remise fonctionnent. Votre destinataire déchiffre la boîte avec votre carte de clé d'accès, une image de type QR que vous générez dans l'application et lui remettez à l'avance. Vous détenez la seule clé, ce qui est aussi ce qui tient PostMortem à l'écart de vos données, alors remettez la carte au destinataire et gardez-en une copie en lieu sûr. Vous trouverez le détail sur notre page sécurité.

La libération a lieu exactement au moment que vous avez fixé, après les rappels, alors choisissez un intervalle adapté à votre usage du téléphone. Hebdomadaire ou mensuel convient à la plupart des gens. La boîte de test de l'application vous permet de voir une libération de bout en bout avant de lui confier quoi que ce soit de réel.

Quelle que soit la méthode choisie, la transmission ne vaut que ce que valait sa dernière mise à jour. Chaque fois que vous changez le code de votre téléphone, votre mot de passe e-mail ou votre mot de passe maître, mettez à jour la boîte à messages le jour même, et gardez la liste courte : moins elle contient de secrets, plus chacun a de chances d'être encore correct.

Quelles erreurs commet-on avec les mots de passe après le décès ?

• Mettre les mots de passe dans le testament

  Un testament est le mauvais endroit pour des secrets : dans de nombreux pays, il devient un document public lors de la succession, et il est lent à modifier. Indiquez où sont les mots de passe, pas ce qu'ils sont.

• Ne laisser aucune instruction

  Un mot de passe sans contexte laisse encore votre famille dans le doute : quels comptes fermer, quelles factures sont en prélèvement automatique, et ce qui devrait simplement être supprimé sans être lu. Une courte note à côté de chaque identifiant vaut souvent plus que l'identifiant lui-même.

• Ne jamais prévenir le destinataire

  Une transmission soignée échoue si la personne qui la reçoit ne sait pas qu'elle doit l'attendre ou a perdu la clé d'accès.

Questions fréquentes

• Les mots de passe expirent-ils quand quelqu'un meurt ?

  Non. Les mots de passe continuent de fonctionner jusqu'à ce que le compte soit fermé, transformé en compte de commémoration ou supprimé pour inactivité. Le problème est que personne d'autre ne peut s'en servir, et le second facteur et le verrouillage du téléphone font généralement obstacle même quand le mot de passe est connu.

• Est-il légal d'utiliser le mot de passe d'un parent décédé ?

  Cela dépend de l'endroit où vous vivez et des conditions de la plateforme, et ceci est une information générale plutôt qu'un conseil juridique. De nombreuses conditions stipulent que les comptes sont incessibles, et les lois sur l'accès non autorisé peuvent s'appliquer même à la famille. En cas de doute, utilisez la procédure formelle de la plateforme ou consultez un avocat.

• Ma famille peut-elle obtenir mes mots de passe auprès de Google, Apple ou Facebook ?

  Non. Tous trois déclarent qu'ils ne fourniront ni mots de passe ni identifiants de connexion. Google peut fermer un compte ou communiquer certaines données après examen, et vous permet de configurer à l'avance un plan de compte inactif. Le contact légataire d'Apple peut demander les données iCloud mais pas les mots de passe du trousseau. Le contact légataire de Facebook peut gérer un profil de commémoration mais ne peut pas se connecter.

• L'accès d'urgence d'un gestionnaire de mots de passe suffit-il à lui seul ?

  Pour beaucoup de gens, c'est une bonne base. Ses limites : le contact doit généralement avoir un compte chez le même gestionnaire, la fonction peut être réservée à une offre payante, elle ne couvre que ce qui est dans le coffre, et elle n'ouvre pas votre téléphone. Associez-la à un code de téléphone écrit ou à un dead man's switch qui porte les quelques secrets hors du coffre.

• Dois-je écrire mes mots de passe dans mon testament ?

  En général, non. Les testaments peuvent devenir publics lors de la succession et sont lents à mettre à jour. Indiquez plutôt dans le testament où vos mots de passe sont conservés et qui doit les recevoir, et gardez les secrets eux-mêmes dans un endroit sûr et facile à mettre à jour.

• Et si j'oublie de pointer sur un dead man's switch ?

  Dans PostMortem, vous recevez des rappels par e-mail et notification push à environ 60 %, 70 %, 80 % et 90 % de l'intervalle, et un seul geste réinitialise toutes les boîtes actives. Si vous les ignorez tous et que l'intervalle expire, la boîte est libérée exactement comme prévu, alors choisissez un intervalle adapté à vos habitudes et lisez notre guide sur un pointage manqué.