Mot de passe principal

Votre mot de passe principal est la clé de tout dans Budgero — littéralement. C'est la donnée à partir de laquelle vos clés de chiffrement sont dérivées, et il ne quitte jamais votre appareil. Cette conception est ce qui rend Budgero zero-knowledge, et elle s'accompagne d'une responsabilité majeure de votre côté.

Ce que fait réellement le mot de passe principal

Lorsque vous définissez votre mot de passe principal, Budgero le fait passer par PBKDF2-HMAC-SHA256 avec 600 000 itérations sur votre appareil pour dériver une clé de chiffrement des clés. Cette clé enveloppe une clé de données générée aléatoirement, et la clé de données chiffre votre budget avec AES-256-GCM avant toute synchronisation.

Deux conséquences en découlent :

1. Le mot de passe lui-même n'est jamais transmis. Ni à l'inscription, ni à la connexion, jamais. Le serveur ne stocke que du texte chiffré et des clés enveloppées qu'il ne peut pas ouvrir.
2. Votre mot de passe de compte et votre mot de passe principal sont deux choses différentes. Le mot de passe de compte (ou votre connexion SSO) prouve qui vous êtes auprès du service. Le mot de passe principal déchiffre vos données. Le premier peut être réinitialisé sans que vous perdiez quoi que ce soit. Le second peut aussi être réinitialisé — mais personne, nous y compris, ne peut récupérer les données qu'il protégeait.

L'architecture complète — ce que le serveur stocke, ce qu'il peut voir — est détaillée dans le Modèle de sécurité.

Mot de passe oublié = données perdues. Préparez-vous.

Si vous oubliez votre mot de passe principal, vous pouvez le réinitialiser et continuer à utiliser Budgero — mais la réinitialisation supprime définitivement toutes vos données chiffrées, car sans l'ancien mot de passe il est impossible de les déchiffrer. Ni pour vous, ni pour le support, ni pour qui que ce soit. Ce n'est pas une politique que nous pourrions assouplir pour un cas particulier ; c'est de l'arithmétique. Si le support pouvait récupérer vos données, le support pourrait aussi les lire — et Budgero est conçu précisément pour que personne ne le puisse.

Traitez donc le mot de passe principal avec le même sérieux que la clé d'un coffre-fort :

• Stockez-le dans un gestionnaire de mots de passe. C'est la meilleure pratique. 1Password, Bitwarden, KeePass — n'importe lequel.
• Ou notez-le et stockez-le physiquement — chez vous, avec vos documents. La menace réaliste pour votre budget est l'oubli, pas les cambrioleurs avec des compétences en cryptanalyse.
• Indiquez à votre partenaire où il se trouve si vous partagez le budget — voir Partage de budgets pour comprendre comment le mot de passe principal de chaque membre s'intègre.

Et conservez des exports réguliers comme filet de sécurité supplémentaire : un lot CSV exporté est en texte clair sur votre machine, entièrement en dehors de l'enveloppe de chiffrement.

Choisir une phrase secrète robuste

La longueur prime sur la complexité. Une phrase secrète de quatre à cinq mots — style correct horse battery staple — est à la fois plus robuste et plus mémorisable que Tr0ub4dor&3 :

• Choisissez 4 à 5 mots aléatoires (le caractère aléatoire compte ; les paroles de chansons et les citations célèbres sont devinables).
• Ajoutez une petite touche personnelle — un séparateur, un chiffre — si vous le souhaitez.
• Visez quelque chose que vous pouvez taper sur un clavier de téléphone sans frustration.

Les 600 000 itérations PBKDF2 rendent le test par force brute de chaque tentative coûteux, mais le nombre d'itérations protège les bons mots de passe — il ne fait que ralentir le cassage des mauvais. budget123 cède quoi qu'il arrive.

Déverrouillage de session : praticité contre exposition

Par défaut, vous devez saisir le mot de passe principal à chaque ouverture de l'application, c'est pourquoi Budgero propose la mise en cache de session : après un seul déverrouillage, la clé peut rester disponible sur cet appareil pendant une période que vous choisissez — de 1 à 30 jours.

Adaptez-la à l'appareil :

• Téléphone ou ordinateur personnel avec code/biométrie : des sessions plus longues sont raisonnables — le verrouillage de l'appareil est votre première barrière.
• Machines partagées ou professionnelles : des sessions courtes, ou aucune. Toute personne ayant accès à une session déverrouillée a accès à un budget déverrouillé.

Verrouiller l'application ou se déconnecter efface la clé en cache ; dès lors, les données sur cet appareil restent chiffrées jusqu'à ce que le mot de passe soit saisi à nouveau — ce qui est précisément la propriété souhaitée si un appareil est perdu ou volé.

Modifier le mot de passe principal

Deux opérations existent, et la différence entre elles est capitale :

• Modifier — disponible dans les Paramètres si vous connaissez votre mot de passe principal actuel. Vos données sont conservées et re-sécurisées sous le nouveau mot de passe. Utilisez cette option pour une rotation de routine ou si vous suspectez une fuite du mot de passe.
• Réinitialiser — pour le cas où le mot de passe est oublié. Vous retrouvez la possibilité d'utiliser Budgero avec un nouveau mot de passe principal, mais toutes les données précédemment chiffrées sont effacées. Si vous avez conservé des exportations, vous pouvez les réimporter dans le nouveau départ ; sinon, l'historique est perdu.

La conclusion s'impose d'elle-même : stockez le mot de passe dans un gestionnaire de mots de passe, et que « Modifier » soit la seule de ces deux options que vous utilisiez jamais.