Mots de passe pour un studio à deux : des habitudes tenables

À deux, le studio n'a pas d'abord un problème de mot de passe. Il a un problème de rôles. Qui ouvre le nom de domaine, la boîte qui reçoit les clients, l'outil de paiement, le dépôt du code. Qui reçoit le message si un accès se perd. Qui continue si l'autre est absent une semaine. Cette page décrit des habitudes que vous pouvez tenir sans service informatique. Elle ne cite aucune marque, et elle ne dit d'aucun coffre qu'il serait inviolable. Un gestionnaire bien tenu limite des erreurs banales : le même secret partout, le mot envoyé dans une conversation, l'accès qui reste à quelqu'un qui n'est plus là. Il ne rend pas le studio intouchable.

Commencez par séparer deux sortes de secrets. Ceux d'une personne, qui ne regardent pas l'autre : messagerie privée, banque personnelle, comptes qui ne servent pas le studio. Ceux du studio, sans lesquels le travail s'arrête. Les premiers ne se partagent pas par politesse. Les seconds ne doivent pas vivre dans une seule tête. Écrivez la liste des seconds sur une feuille qui ne contient aucun mot de passe : le nom du service, la personne titulaire, l'adresse qui reçoit la récupération, et si un second accès existe déjà. Cette feuille est votre carte. Vous la tiendrez à jour. Vous ne la transformerez pas en liste de secrets collée sous le clavier, ce qui annulerait le reste.

Cas : l’ancien mot de passe encore dans un tableur

Vous trouvez un tableur « accès » avec le mot de passe de l’hébergeur en clair. Vous ne le laissez pas « en attendant ». Vous créez une entrée dans le gestionnaire partagé, vous changez le mot de passe, vous supprimez la ligne du tableur, et vous notez la date. Les comptes personnels restent dans les coffres personnels. Le compte de l’hébergeur est partagé parce que le site doit pouvoir être sauvé si l’un de vous est absent. Vous relisez la liste un mois plus tard : tout compte sans usage depuis l’arrivée du gestionnaire est fermé, pas archivé dans un coin du tableur.

Modèle à copier : ce qui est partagé, ce qui ne l’est pas

• Partagé, dans le gestionnaire du studio : hébergeur, domaine, messagerie du studio. L’autre doit pouvoir sauver le site en votre absence.
• Personnel : banque personnelle, messagerie personnelle, comptes qui ne bloquent pas le travail de l’autre.
• Le jour où vous trouvez un mot de passe en clair : nouvelle entrée, mot de passe changé, ligne du tableur effacée, date notée.
• Un mois plus tard : tout compte sans usage est fermé, pas archivé.

Décider qui possède chaque accès

Pour chaque ligne de la carte, nommez un titulaire, une seule personne. C'est elle qui crée le compte quand c'est possible, elle dont le nom figure chez le fournisseur, elle qui reçoit le courrier de récupération. L'autre peut être invitée comme seconde utilisatrice, avec son propre identifiant, quand le service le permet. Vous voyez qui a fait quoi, vous retirez une personne sans changer le monde, et vous évitez le mot de passe crié à travers la pièce. Si le service ne sait pas inviter, le compte est vraiment partagé : il obéit aux règles plus loin, il ne se cache pas dans une habitude floue. La carte doit dire, pour chaque ligne, lequel des deux cas vous avez.

Le titulaire n'est pas forcément la personne qui s'en sert le plus. C'est celle qui peut prouver au fournisseur qu'elle est légitime le jour où tout coince. Pour le nom de domaine et la messagerie du studio, choisissez le titulaire avec ce critère, pas selon le goût. Notez aussi un suppléant : non pas quelqu'un qui connaît le mot de passe par cœur, mais quelqu'un qui sait où est la récupération et qui a le droit de s'en servir. À deux, le suppléant est souvent l'autre personne. Dites-le. Un droit qui n'est pas dit devient une gêne le jour où il faut l'exercer, ou un abus le jour où vous l'exercez sans cadre. La carte tient en une page.

• Un titulaire nommé pour chaque service du studio.
• Un second siège avec identifiant propre quand il existe.
• Une carte sans aucun mot de passe écrit dessus.
• Les comptes inutilisés fermés, pas seulement oubliés.

Un gestionnaire et des secrets uniques

Choisissez un gestionnaire de mots de passe pour vous deux, sans vous lier à une marque. Chacun a son coffre personnel, protégé par une phrase qu'il est seul à connaître. À côté, un coffre ou un dossier partagé ne contient que les comptes vraiment communs. Le gestionnaire sert d'abord à cesser de réutiliser. Chaque service reçoit un secret long, produit par l'outil, que vous ne retapez pas de mémoire et que vous ne recollez pas dans un message. La phrase qui ouvre votre coffre personnel est une suite de mots que vous pouvez retenir et que vous n'employez nulle part ailleurs, ni comme mot d'un ancien compte, ni comme citation célèbre facile à deviner.

Ne gardez pas un second stock dans le navigateur « pour aller plus vite ». Deux mémoires divergent. Vous croirez avoir changé un secret alors que l'autre copie, ancienne, traîne encore. Décidez : le gestionnaire est le lieu, le navigateur ne propose plus d'enregistrer. Aucun de ces outils n'est incassable. Un coffre ouvert sur une session que vous laissez ouverte, une phrase principale trop courte, un leurre qui vous fait saisir cette phrase sur une fausse page : tout cela suffit à vider la protection. Le gestionnaire réduit la casse du quotidien. Il ne dispense pas de verrouiller la machine quand vous vous levez, ni de regarder l'adresse avant de taper la phrase.

Préparer la récupération avant le jour où elle manque

La récupération se règle un mardi calme, pas le matin où un téléphone a disparu. Pour le coffre personnel, rangez les codes que l'outil vous donne au moment de la création : imprimés, dans une enveloppe, en deux endroits que vous connaissez, dont aucun n'est seulement le coffre lui-même. Une copie unique dans le même système que vous venez de perdre ne sert à rien. Pour les comptes du studio, la carte dit quelle adresse reçoit le lien. Cette adresse doit elle-même tenir : secret unique, vérification en deux étapes, et une personne désignée qui peut la lire. Si la boîte de récupération est une boîte que vous ne consultez jamais, changez-la maintenant. Un lien envoyé dans le vide est une récupération imaginaire. Testez une fois, sur un compte sans enjeu, que vous savez encore ouvrir le coffre depuis un autre appareil.

La vérification en deux étapes protège mieux qu'un mot de passe seul, sans être une garantie. Quand le service le propose, activez-la sur la messagerie du studio, le domaine, le paiement et le coffre. Préférez une application ou une clé que vous comprenez tous les deux, plutôt qu'un code par SMS, qui peut être détourné. Si vous n'avez que le SMS, prenez-le quand même plutôt que rien, et ne racontez pas que cela suffit pour les comptes les plus sensibles. Dites à l'autre où est l'enveloppe du studio, sans lui lire vos codes personnels. L'absence d'une personne ne doit pas bloquer le domaine. Elle ne doit pas non plus lui ouvrir votre vie privée.

1. Imprimer les codes de récupération hors du coffre, en deux lieux.
2. Vérifier que la boîte de récupération est encore lue.
3. Activer une seconde étape sur le domaine, la messagerie, le paiement, le coffre.
4. Tester l'ouverture depuis un autre appareil un jour sans panique.

Des règles écrites pour le compte vraiment partagé

Quand un service n'offre qu'un seul identifiant, écrivez la règle avant d'en partager l'usage. Le secret vit dans le coffre commun, pas dans une conversation, pas dans un fichier du dépôt, pas dans un gestionnaire de tâches. Chacun y accède avec son propre coffre personnel, qui ouvre le dossier partagé. Vous ne partagez pas une seule phrase principale à deux : ce serait un seul individu fictif, et vous ne pourriez plus retirer personne. La règle dit qui a le droit de changer le secret, qui a le droit de changer le paiement, qui a le droit d'inviter un tiers. Elle a besoin d'être la même dans les deux têtes, y compris le jour où l'une des deux est pressée et tentée d'envoyer le mot « juste cette fois ».

Le jour où le secret a voyagé quand même, dans un message, une capture ou un appel où quelqu'un l'a épellé, vous le changez le jour même. Le nouveau secret entre dans le coffre commun, l'ancien cesse de marcher, et vous effacez le message si l'outil le permet, sans croire que l'effacement défait les copies. Quand l'un de vous s'éloigne pour longtemps, ou quitte le studio, vous changez les secrets des comptes vraiment partagés le jour du départ, pas au prochain ménage. Vous retirez les sièges nominatifs le même jour. Une règle que vous n'appliquez qu'aux grands départs dramatiques ne sert pas : un stage qui se termine, une collaboration de deux mois, un ordinateur prêté, ce sont déjà des départs.

Téléphone perdu, absence, et suite du travail

Si un appareil disparaît, la personne restante ne commence pas par paniquer dans le vide, et celle qui a perdu l'appareil ne commence pas par espérer qu'un effacement à distance a tout réglé. Depuis une autre machine encore digne de confiance, coupez les sessions ouvertes des comptes du studio, changez les secrets qui étaient enregistrés dans le navigateur de l'appareil perdu, et prévenez le titulaire du domaine si ce n'est pas vous. Tant que vous n'avez pas vu la session mourir, agissez comme si l'appareil pouvait encore ouvrir ce qu'il ouvrait hier. Le coffre partagé, lui, ne devrait pas dépendre de cette machine : l'autre personne y entre avec son propre accès et fait tourner ce qui ne peut pas attendre, le domaine, la boîte des clients, la facture en cours.

Une absence prévue se prépare avec la carte, pas avec un mot de passe laissé sur un papier au milieu du bureau. Avant de partir, le titulaire vérifie que le suppléant peut ouvrir les trois lignes qui ne souffrent pas une semaine d'arrêt. Il ne lui transmet pas sa phrase personnelle. Il s'assure que les sièges ou les secrets communs suffisent. À son retour, vous regardez si quelque chose a dû être changé, et vous le notez. Une absence imprévue est plus rude : c'est pour elle que l'enveloppe et la carte existent. Si vous découvrez ce jour-là que tout tenait dans une tête, vous bricolez, et vous le payez en temps. Ensuite, construisez la carte pour la fois suivante.

• Couper les sessions de l'appareil perdu sans attendre l'effacement distant.
• Changer les secrets qui vivaient dans son navigateur.
• Le suppléant ouvre le coffre commun, pas le coffre personnel de l'autre.
• Aucune phrase écrite en clair sur un tableau, même provisoire.

Ce qui ne doit pas voyager

Un secret qui circule dans une messagerie, un ticket ou un dépôt n'est plus un secret du coffre, même si vous l'y aviez bien rangé au départ. Cherchez de temps en temps ces fuites ordinaires : un ancien fichier de notes, une discussion épinglée, un exemple de configuration où un vrai mot a été collé au lieu d'un faux. Remplacez-le par un exemple évidemment fictif, changez le secret réel, et dites-le à l'autre pour que la carte ne reste pas en retard. Ne stockez pas dans le coffre la seule copie des codes de récupération : ils y sont en double confortable, et en papier ailleurs. Ne stockez pas la phrase qui ouvre le coffre à l'intérieur du coffre. Moins le coffre contient de vies entières, moins une ouverture malheureuse emporte.

Méfiez-vous aussi des demandes qui imitent un fournisseur. Le gestionnaire qui remplit tout seul une page dont l'adresse ne correspond pas est un indice, pas une permission. Si la phrase principale vous est demandée par message, par un appel surpris, ou sur une page que vous n'avez pas ouverte vous-même depuis le coffre, vous refusez et vous rejoignez le service par le chemin habituel. À deux, accordez-vous un réflexe simple : vous ne donnez pas un secret au téléphone, même à l'autre, même pressés. Vous le mettez dans le coffre commun, ou vous ne le donnez pas. Ce réflexe évite la fois où la voix pressée n'était pas celle que vous croyiez, ou celle où vous étiez trop fatigués pour épeler correctement et où le secret a fini dans trois brouillons.

Vingt minutes ensemble, une fois par mois

Une fois par mois, vingt minutes, la carte sur la table, les coffres fermés ou ouverts seulement pour vérifier un accès, pas pour lire les secrets à voix haute. Vous parcourez les lignes. Le suppléant peut-il encore entrer dans le coffre commun, là, devant vous, sans votre aide ? Vous ne changez pas tous les mots de passe par principe à chaque revue. Un secret unique, qui n'a pas fuité et qui n'est pas partagé avec une personne partie, peut rester. Tout changer tout le temps pousse à des copies de secours sur papier volant, et ces copies sont souvent le vrai trou. Vous changez après un départ, après un appareil perdu, après un voyage dans un message, après un doute.

Notez la date de la revue en bas de la carte, et la seule décision prise : un compte fermé, un siège retiré, un secret tourné, ou rien à signaler. Rien à signaler est une entrée valable. Reprenez les vingt minutes, ligne par ligne, et acceptez que la carte ait du retard. À deux, alternez celui qui mène la revue, pour que la méthode ne tienne pas dans une seule personne appliquée. Le mois où l'un est débordé, l'autre la déclenche quand même. La protection du studio n'est pas l'outil que vous avez choisi une fois. C'est cette reprise, assez courte pour ne pas être repoussée, assez concrète pour qu'un accès oublié se voie avant qu'un client ne vous l'apprenne.

Tenez la carte à une page, le coffre personnel de chacun, le dossier commun pour le peu de comptes qui n'ont qu'un siège, et l'enveloppe dont vous connaissez tous les deux la place. Le mois prochain, vingt minutes suffisent à voir si cette carte ment encore. Vous n'aurez pas rendu le studio inattaquable. Vous aurez rendu un départ, une maladie ou un téléphone égaré un peu moins dramatiques, parce que le travail ne tient plus dans une mémoire. C'est une ambition petite, et c'est la seule qu'une équipe de deux personnes puisse répéter sans s'épuiser, ni se raconter qu'un outil avait tout réglé le jour de son installation.