Codes, PIN et mots de passe : les voir, ou apprendre à les protéger

Réponse courte

Les mots de passe enregistrés dans un navigateur ou un gestionnaire de mots de passe sont chiffrés. Une application tierce ne peut pas les lire, et aucune solution sérieuse ne prétend le contraire. Ce qui est accessible, c’est la liste des sites enregistrés dans les réglages du navigateur, parfois avec les identifiants si le trousseau est déverrouillé.

Sur Android, les mots de passe peuvent être enregistrés dans Google Password Manager, et la liste est visible dans les paramètres du compte Google. Sur iPhone, ils sont dans le trousseau iCloud, protégés par Face ID ou Touch ID. Dans les deux cas, la consultation exige une authentification de l’utilisateur, pas seulement l’accès au téléphone.

Le code de déverrouillage de l’écran, lui, n’est stocké nulle part en clair. Il est transformé en empreinte cryptographique : le système vérifie une correspondance, il ne restitue jamais la valeur. Un outil qui affiche « votre code est 4821 » ne l’a pas déchiffré ; il a deviné, ou il ment.

• Mots de passe navigateur : chiffrés, non lisibles par un tiers
• Code d’écran : vérification par empreinte, jamais restitué
• Liste des comptes enregistrés : visible dans les réglages
• Mot de passe de compte Apple / Google : modifiable, pas consultable
• Aucun outil légitime ne « révèle » un code PIN

Ce qu’un parent cherche vraiment

Trois motivations reviennent : vérifier que l’enfant n’a pas installé une application cachée, comprendre pourquoi il refuse de montrer son écran, et reprendre la main sur un appareil qu’on paie mais qu’on ne contrôle plus.

La première motivation se traite sans code : la liste des applications installées, accessible depuis les réglages, répond directement. La deuxième ne se traite pas techniquement — un écran caché est un signal relationnel, pas un problème d’accès. La troisième se traite par les outils natifs : Temps d’écran sur iOS, Family Link sur Android, avec un code parental distinct de celui de l’appareil.

Dans les trois cas, forcer l’accès au téléphone est la réponse la plus rapide et la moins efficace. Un adolescent dont le code a été contourné changera de code, ou utilisera un autre appareil.

Reprendre la main proprement

Sur iPhone, Temps d’écran permet de définir des limites, de bloquer des catégories d’applications et de verrouiller les réglages avec un code différent du code de déverrouillage. C’est le mécanisme prévu pour exactement ce cas, et il ne nécessite aucun accès au contenu.

Sur Android, Family Link permet de gérer l’appareil d’un enfant de moins de treize ans, avec approbation des installations et limites de temps. Au-delà de cet âge, l’outil perd une partie de ses pouvoirs, ce qui est un choix de conception assumé par Google.

Le point pratique : le code parental doit être différent du code d’écran, et connu des deux parents. Un code unique partagé par toute la famille finit par circuler, et il ne protège plus rien.

• Temps d’écran : code parental distinct du code d’écran
• Family Link : efficace avant treize ans, limité ensuite
• Vérifier les appareils associés au compte Apple / Google
• Activer la validation en deux étapes sur le compte parent
• Changer le mot de passe du compte, pas seulement le code

Les trois affirmations à ne pas croire

« Voir tous les mots de passe. » Faux : un trousseau chiffré ne se déchiffre pas à distance. Les navigateurs affichent les identifiants seulement après authentification locale.

« Récupérer le code PIN en cas d’oubli. » Faux pour un appareil verrouillé correctement : la seule voie est la réinitialisation, qui efface les données. Les fabricants ne conservent pas le code.

« Lire les SMS de validation bancaire. » Partiellement vrai sur Android, avec la permission SMS, mais les codes à usage unique arrivent de plus en plus dans des applications dédiées ou par notification, et l’accès aux notifications est une permission distincte que le système signale.

Sécurité du compte avant sécurité de l’appareil

Un téléphone perdu ou volé ne se contourne pas seulement par le code. Le vrai risque est le compte associé : un compte Google ou Apple dont le mot de passe est faible donne accès aux sauvegardes, aux appareils, aux achats et parfois aux messages.

La priorité est donc la validation en deux étapes, puis la vérification des appareils connectés au compte. Si un appareil inconnu apparaît, la déconnexion à distance est immédiate et gratuite.

Viennent ensuite les codes de récupération, à conserver hors du téléphone, et un gestionnaire de mots de passe pour les comptes sensibles. C’est moins spectaculaire qu’un outil de surveillance, et nettement plus efficace.

Checklist avant de payer

Les fonctions liées aux codes sont celles où l’écart entre la promesse marketing et la réalité technique est le plus grand. Ces questions le révèlent vite.

• La page affirme-t-elle pouvoir « voir » les mots de passe ? (signal d’alarme)
• Le produit explique-t-il que le code d’écran n’est pas récupérable ?
• L’accès aux notifications est-il présenté comme une permission distincte ?
• Existe-t-il une alerte en cas de désactivation ?
• Le support répond-il par écrit sur les limites avant l’achat ?

Cadre légal

Accéder au téléphone d’un enfant mineur dont on a la responsabilité légale est autorisé, dans une limite proportionnée. Accéder au téléphone d’un conjoint, d’un ex-conjoint ou d’un salarié sans consentement écrit est illégal, et les mots de passe relèvent en plus du secret des correspondances.

La frontière pratique n’est pas l’âge, c’est le consentement. Un adolescent de quinze ans qui accepte un cadre familial négocié n’est pas dans la même situation qu’un adulte dont le téléphone est fouillé sans qu’il le sache.

La règle simple : le code d’un téléphone appartient à la personne qui l’utilise, même quand le parent paie la facture. Ce qui appartient au parent, c’est le cadre : limites de temps, catégories bloquées, et la possibilité de retirer l’appareil.