WhatsApp abandonne le code PIN de vérification en deux étapes à 6 chiffres au profit de vrais mots de passe de compte, et ce changement discret est la plus grande amélioration de sécurité que WhatsApp ait déployée depuis des années. Un code PIN n’a jamais arrêté un attaquant déterminé : six chiffres, c’est un million de combinaisons, et la plupart des gens choisissaient une date de naissance dans cet espace. Un vrai mot de passe, généré d’une longueur suffisante et stocké quelque part de raisonnable, ferme la porte que les équipes d’échange de SIM ont traversée pendant la dernière décennie. Le scénario est bien connu. Un attaquant convainc un représentant de l’opérateur de transférer votre numéro vers une nouvelle SIM, reçoit le code d’enregistrement de WhatsApp et hérite de chaque discussion, groupe et contact professionnel lié à votre compte. Les mots de passe forts n’arrêtent pas l’échange de SIM lui-même, mais ils arrêtent l’attaquant de terminer la prise de contrôle une fois qu’il a votre numéro.
Sept applications Android ont été testées pendant quatre semaines sur le même appareil pour trouver celles qui maintiennent véritablement le compte WhatsApp, sa sauvegarde Google Drive et ses appareils liés fermés.
Ce qu’il faut rechercher dans une application de sécurité WhatsApp
- Génération de mot de passe aléatoire forte, au moins 20 caractères, que vous n’ayez jamais à taper de mémoire.
- Une application 2FA qui ne dépend pas du SMS, car SMS est exactement ce qu’un échange de SIM contourne.
- Sauvegarde chiffrée du coffre-fort lui-même, idéalement avec une phrase secrète séparée du mot de passe de connexion.
- Audit de session et d’appareil lié pour que vous puissiez détecter une connexion WhatsApp Web suspecte en quelques minutes.
- Synchronisation multi-appareils lorsque vous jonchez entre un téléphone, une tablette et un ordinateur portable, et que vous voulez les mêmes secrets sur les trois.
- Aucun stockage cloud de secrets, ou une vraie architecture à connaissance zéro où le fournisseur ne peut pas lire ce que vous enregistrez.
Comparaison rapide
| Application | Idéale pour | Forfait gratuit | Tarif initial/mois | Point fort |
|---|---|---|---|---|
| Le compte lui-même | Entièrement gratuit | Gratuit | Verrouillage d’application intégré et audit d’appareil lié | |
| Aegis Authenticator | Codes 2FA locaux uniquement | Entièrement gratuit | Gratuit | Coffre-fort local chiffré, pas de cloud |
| Bitwarden | Gestionnaire de mots de passe gratuit en code ouvert | Entièrement gratuit | Environ 0,83 $ (Premium 10 $/an) | Niveau gratuit complet avec synchronisation |
| 1Password | Meilleure UX de la catégorie | Essai de 14 jours | Environ 2,99 $ | Support des clés d’accès et coffres-forts cachés |
| Proton Pass | Alias email pour la confidentialité du compte | Niveau gratuit illimité | Environ 4,99 $ | Les alias masquent l’email réel |
| Signal | Messagerie de secours si WhatsApp est compromis | Entièrement gratuit | Gratuit | Code PIN de verrouillage d’enregistrement distinct |
| Authy | Synchronisation 2FA multi-appareils | Entièrement gratuit | Gratuit | Synchronisation cloud sur téléphone, tablette, ordinateur |
Les applications
1. WhatsApp, meilleur point de départ pour votre compte
WhatsApp offre plus de surface de sécurité que la plupart des gens n’en ouvrent jamais. Sous Paramètres, puis Compte, puis Vérification en deux étapes, l’application vous guide maintenant dans la création d’un vrai mot de passe de compte à la place de l’ancien code PIN à 6 chiffres. Sous Confidentialité, puis Verrouillage d’application, le déverrouillage biométrique protège l’application elle-même. Le verrouillage de conversation cache les conversations individuelles derrière un second facteur. Les appareils liés répertorient chaque session active de WhatsApp Web et bureau, et un seul clic en déconnecte l’un d’eux.
Où cela manque : Le mot de passe vit uniquement à l’intérieur de WhatsApp. Le perdre et le chemin de récupération est une période d’attente pendant laquelle le compte est inutilisable. Stockez le mot de passe quelque part en dehors du téléphone.
Tarification :
- Gratuit à jamais.
- Aucun niveau payant.
Plateformes : Android, iOS, bureau, web.
Résumé : Ouvrez l’application, définissez un mot de passe de compte, activez le verrouillage d’application et auditez les appareils liés avant d’installer autre chose de cette liste.
2. Aegis Authenticator, meilleur 2FA local uniquement
Aegis Authenticator est l’application TOTP en code ouvert la plus propre sur Android. Le coffre-fort est chiffré avec un mot de passe ou une clé biométrique, rien ne quitte l’appareil, et les exportations sont un simple fichier JSON chiffré que d’autres applications d’authentification peuvent lire. Le mot de passe du compte WhatsApp lui-même n’est pas un secret TOTP, donc Aegis n’est pas strictement requis pour la connexion WhatsApp, mais le compte Google ou Apple qui possède votre sauvegarde cloud WhatsApp devrait absolument avoir 2FA TOTP. C’est ce que protège Aegis.
Où cela manque : Pas de synchronisation multi-appareils par conception. Changer d’appareil signifie une exportation chiffrée et une importation manuelle.
Tarification :
- Gratuit à jamais.
- Aucun niveau payant, aucune publicité.
Plateformes : Android.
Résumé : Associez au compte Google ou Apple derrière votre sauvegarde WhatsApp. Quiconque veut des secrets complètement hors du cloud devrait commencer ici.
3. Bitwarden, meilleur gestionnaire de mots de passe gratuit en code ouvert
Bitwarden est l’endroit où le vrai mot de passe du compte WhatsApp devrait vivre. Le niveau gratuit est complet : mots de passe illimités, appareils illimités, synchronisation multi-appareils et une extension de remplissage automatique de navigateur qui fonctionne sur le clavier Android. Stocker le nouveau mot de passe WhatsApp là-bas signifie qu’il survit à la perte du téléphone, une réinitialisation d’usine ou le jour où vous mettez à jour l’appareil.
Où cela manque : L’application Android a été réécrite en 2024 et la nouvelle interface semble toujours plus brute que celle du navigateur. Le stockage TOTP se trouve derrière Premium.
Tarification :
- Gratuit à jamais avec synchronisation multi-appareils.
- Premium coûte environ 10 $ par an (environ 0,83 $ par mois) et ajoute TOTP, les pièces jointes de fichiers chiffrées et l’accès d’urgence.
Plateformes : Android, iOS, bureau, extensions de navigateur, web.
Résumé : La recommandation par défaut pour quiconque n’a jamais utilisé de gestionnaire de mots de passe. Code ouvert, bon marché et suffisant pour le cas d’utilisation de WhatsApp avec de la place pour grandir.
4. 1Password, meilleure UX de la catégorie
1Password est l’option payante sur laquelle les gens qui utilisent déjà des gestionnaires de mots de passe ont tendance à rester. Le support des clés d’accès est natif, le remplissage automatique sur Android est le moins fastidieux du groupe, et le mode Voyage cache temporairement les coffres-forts sélectionnés de l’appareil avant de traverser une frontière, donc une vérification aux frontières ne révèle jamais votre mot de passe WhatsApp même si le téléphone est déverrouillé. La fonction Watchtower signale activement les mots de passe faibles ou réutilisés dans toutes vos connexions.
Où cela manque : Aucun niveau gratuit au-delà de l’essai de 14 jours. Abonnement uniquement.
Tarification :
- Essai gratuit de 14 jours.
- Forfait individuel environ 2,99 $ par mois facturé annuellement.
- Familles environ 4,99 $ par mois pour jusqu’à cinq personnes.
Plateformes : Android, iOS, bureau, extensions de navigateur, web.
Résumé : Cela en vaut la peine si le polissage supplémentaire et le mode Voyage sont importants. Sinon, Bitwarden couvre le même terrain gratuitement.
5. Proton Pass, meilleur pour les alias email
Proton Pass fait ce que font les autres gestionnaires de mots de passe, puis ajoute des alias email chiffrés par-dessus. L’astuce pour la sécurité du compte WhatsApp est que WhatsApp lui-même n’utilise pas le courrier électronique, mais le compte Google ou Apple qui héberge la sauvegarde le fait. Enregistrer ce compte avec un alias Proton, plutôt que votre adresse réelle, signifie qu’une liste de contacts divulguée ou une dump de violation ne lie jamais votre email public à votre identité WhatsApp. Le niveau gratuit de Proton Pass donne des mots de passe illimités sur des appareils illimités, ce qui est inhabituel pour le plan gratuit d’un service payant.
Où cela manque : Limites d’alias au niveau gratuit (10 alias). Le remplissage automatique est compétent mais un pas derrière 1Password.
Tarification :
- Gratuit avec des mots de passe illimités et 10 alias email.
- Plus environ 4,99 $ par mois pour les alias illimités et les coffres-forts partagés.
- Groupé avec Proton Mail, VPN et Drive dans le forfait Unlimited.
Plateformes : Android, iOS, bureau, extensions de navigateur.
Résumé : Le bon choix pour quiconque est déjà dans l’écosystème Proton ou envisage de cloisonner les comptes derrière les alias.
6. Signal, meilleur recours si WhatsApp est compromis
Signal compte ici comme plan B, pas comme remplacement. Lorsqu’un compte WhatsApp est compromis, l’attaquant a votre graphique de contact et vos messages récents. Signal est le messenger pour déplacer les conversations sensibles dès le premier jour d’un incident. Son propre verrouillage d’enregistrement utilise un code PIN distinct stocké uniquement sur votre appareil, et son modèle de récupération ne dépend pas des messages texte de l’opérateur comme WhatsApp l’a fait historiquement. Code ouvert, audité et géré par une organisation à but non lucratif qui n’a pas de business publicitaire derrière.
Où cela manque : Exige que les personnes à qui vous envoyez des messages installent également Signal. L’adoption en dehors des cercles axés sur la confidentialité reste inégale.
Tarification :
- Gratuit à jamais.
- Soutenu par les dons.
Plateformes : Android, iOS, bureau.
Résumé : Installez-le maintenant, vérifiez quelques contacts et gardez-le pour le jour où WhatsApp devient un problème.
7. Authy, meilleure synchronisation 2FA multi-appareils
Authy est la réponse lorsque le coffre-fort strictement local d’Aegis se met en travers du chemin. Les codes se synchronisent sur un téléphone, une tablette et un bureau via le cloud Twilio, ce qui est le compromis : quelqu’un d’autre stocke des copies chiffrées de vos graines. Pour 2FA sur les comptes moins sensibles que celui qui protège votre sauvegarde WhatsApp, ce compromis vaut souvent la commodité de ne pas restaurer manuellement les codes à chaque fois qu’un appareil change.
Où cela manque : Twilio a retiré les applications de bureau en 2024, et les violations passées chez la société mère Twilio ont soulevé des questions sur le backend de synchronisation, bien que les graines elles-mêmes soient restées chiffrées.
Tarification :
- Gratuit à jamais.
- Aucun niveau payant.
Plateformes : Android, iOS.
Résumé : Choisissez ceci plutôt qu’Aegis uniquement si la synchronisation multi-appareils est une exigence stricte. Sinon, le coffre-fort local uniquement est plus sûr.
Comment choisir
- Si vous n’avez jamais touché à tout cela : WhatsApp pour le mot de passe de compte, Bitwarden pour le stocker.
- Si vous voulez tout gratuit et en code ouvert : WhatsApp plus Bitwarden plus Aegis Authenticator.
- Si vous payez déjà pour une application et voulez la meilleure expérience : 1Password.
- Si vous voulez cloisonner les identités derrière les alias : Proton Pass.
- Si vous vous inquiétez d’un prochain échange de SIM : installez Signal maintenant comme recours et définissez un code PIN de verrouillage d’enregistrement distinct à l’intérieur.
- Si vous jonchez avec plusieurs appareils et ne pouvez pas supporter les restaurations 2FA manuelles : Authy.
- Si vous avez une sauvegarde WhatsApp sur Google Drive ou iCloud : protégez ce compte cloud avec Aegis ou Authy TOTP, pas SMS.
Questions fréquemment posées
Qu’est-ce que le nouveau mot de passe du compte WhatsApp ?
WhatsApp remplace l’ancien code PIN de vérification en deux étapes à 6 chiffres par un mot de passe de compte de longueur complète. Définissez-le sous Paramètres, puis Compte, puis Vérification en deux étapes. Stockez le mot de passe dans un gestionnaire de mots de passe, pas dans une application de notes.
Un mot de passe WhatsApp fort arrête-t-il les échanges de SIM ?
Pas l’échange de SIM lui-même, mais cela arrête le gain. Un attaquant qui transfère votre numéro a toujours besoin du mot de passe du compte pour terminer l’enregistrement de WhatsApp sur la nouvelle SIM. Sans lui, ils obtiennent le numéro mais pas le compte.
La sauvegarde cloud WhatsApp doit-elle être protégée séparément ?
Oui. Les sauvegardes WhatsApp sur Google Drive ou iCloud peuvent être chiffrées avec un mot de passe distinct à l’intérieur de WhatsApp lui-même (Paramètres, puis Discussions, puis Sauvegarde des discussions, puis Sauvegarde chiffrée de bout en bout). Définissez ce mot de passe, stockez-le dans votre gestionnaire de mots de passe et activez 2FA TOTP sur le compte Google ou Apple qui héberge la sauvegarde.
Google Password Manager peut-il remplacer Bitwarden ou 1Password pour cela ?
Pour le remplissage automatique basique sur Android, oui. Pour le stockage chiffré partagé, la couverture multiplateforme sur les appareils non-Google et l’exportation claire du coffre-fort, un gestionnaire de mots de passe dédié est toujours le meilleur choix. Google Password Manager ne gère pas non plus les codes TOTP.
Que se passe-t-il si WhatsApp est déjà compromis ?
Réinstallez WhatsApp sur votre propre téléphone, vérifiez à nouveau avec votre numéro et définissez immédiatement un nouveau mot de passe de compte. L’intrus est fermé au moment où vous vous réenregistrez. Ensuite, permutez le mot de passe du compte Google ou Apple, révoquez les sessions d’appareil lié suspectes et déplacez les conversations sensibles sur Signal jusqu’à ce que l’incident soit compris.
