Tous les liens n'ont pas vocation à s'ouvrir pour le premier venu. Un devis destiné à un seul client, un brouillon que personne hors de l'équipe ne devrait lire, un téléchargement réservé aux douze personnes qui ont payé — dès l'instant où cette URL existe, elle peut être transférée, capturée en photo d'écran, collée dans une conversation de groupe et indexée par quelque chose que vous n'avez jamais invité.

Un lien protégé par mot de passe place une porte devant la destination : celui qui l'ouvre tombe sur une demande de mot de passe au lieu de votre contenu. Ajoutez une date d'expiration et la porte disparaît entièrement une fois le lien arrivé au bout de sa mission. Les deux prennent une dizaine de secondes à configurer, et aucune n'oblige votre interlocuteur à avoir un compte.

Comment ça marche

À la création du lien, vous définissez un mot de passe. urlik le stocke haché — pas le mot de passe lui-même, une empreinte à sens unique — de sorte que la valeur enregistrée ne peut pas être ramenée à l'original, ni par un attaquant qui mettrait la main sur la base, ni par nous. Le visiteur qui ouvre le lien voit une invite ; le bon mot de passe ouvre la destination, le mauvais non. Voilà tout le mécanisme, et sa simplicité fait tout son intérêt.

L'expiration fonctionne de pair. Choisissez une heure, un jour, une semaine ou un mois : passé ce délai, le lien cesse de résoudre et répond 410 Gone — le code HTTP honnête pour dire « ceci a existé et n'existe délibérément plus », qui indique en prime aux moteurs de recherche de l'abandonner plutôt que d'insister.

Quand le mot de passe bat toutes les autres options

  • Un travail client en cours. Un site de préproduction ou une présentation en brouillon que vous voulez faire relire, pas faire circuler.
  • Du contenu payant. Un fichier, un enregistrement ou une ressource qui doit atteindre vos acheteurs plutôt qu'Internet tout entier.
  • Tout ce qui est imprimé. Un QR code sur une affiche est scannable par chaque passant. Gardez le mot de passe derrière le comptoir et seuls vos vrais clients passeront.
  • Les liens internes. Un tableau de bord ou un document logé à une URL devinable, dont la fuite serait gênante sans être catastrophique.

Soyons honnêtes sur ce que ça protège

C'est ici que la plupart des articles continueraient à vendre. Voici plutôt la ligne : un mot de passe sur un lien, c'est du contrôle d'accès, pas du secret. Il arrête les accès de circonstance — le message transféré, le collègue curieux, le robot d'indexation. Il ne rend le contenu secret dans aucun sens cryptographique.

Concrètement : l'URL de destination est stockée en clair dans notre base, puisque le serveur doit bien vous y rediriger. Quiconque a le mot de passe peut le partager. Et le lien ne garde que la porte : si la destination est elle-même publique, celui qui l'atteint par un autre chemin entre sans frapper. Un lien protégé par mot de passe devant un Google Doc public ne protège absolument rien ; corrigez plutôt les paramètres de partage du document.

Si ce qu'il vous faut, c'est du vrai secret — que personne, y compris les gens qui exploitent le serveur, ne puisse lire le contenu — un mot de passe sur un lien est le mauvais outil. Utilisez le dépôt sécurisé : les fichiers sont chiffrés dans votre navigateur avant l'envoi, la clé voyage dans la partie de l'URL que le serveur ne reçoit jamais, et le fichier s'autodétruit après un téléchargement. C'est une garantie d'une tout autre nature, et comment envoyer des fichiers en toute sécurité explique où passe la frontière.

Choisir un mot de passe qui en vaille la peine

Le mot de passe constitue à lui seul tout le modèle de sécurité, alors :

  • N'en réutilisez pas un vrai. C'est un mot de passe de partage, pas celui de votre compte. Jamais la même chaîne.
  • Envoyez-le séparément. Le mot de passe dans le même e-mail que le lien ne protège de rien — un transfert et les deux s'envolent. Le lien par e-mail, le mot de passe par messagerie ou de vive voix.
  • Rendez-le pénible à deviner, facile à dire à voix haute. Trois mots sans rapport battent Pass2026! — plus long, et il survit à une dictée au téléphone.
  • Changez-le selon le groupe de destinataires quand l'enjeu le mérite. Un lien par client avec son propre mot de passe vous dit qui a laissé filtrer, puisque les statistiques de clics sont séparées.

Mot de passe plus expiration : plus fort que chacun séparément

C'est la combinaison qui rend l'ensemble vraiment utile. Un mot de passe limite qui ; une expiration limite combien de temps. Ensemble, ils bornent les dégâts d'une fuite, parce qu'un mot de passe qui s'échappe dans une conversation de groupe le mois prochain ouvrira un lien qui n'existe plus.

Un schéma qui fonctionne bien : le lien expire une semaine après l'échéance qu'il sert, le mot de passe est transmis par un autre canal, un lien par destinataire. En cas de fuite, vous savez de quelle copie il s'agissait, et elle cesse de fonctionner toute seule — pas de tâche de ménage que vous oublieriez.

Ce que voient les visiteurs

Une invite sobre, sur une page qui indique quel service demande le mot de passe, sans le moindre indice sur la destination — la cible reste cachée tant que le mot de passe n'est pas le bon, ce qui compte quand l'URL vend la mèche à elle seule (/acme-corp-acquisition-draft raconte toute une histoire avant que quiconque soit entré). Mauvais mot de passe : la page le dit et redemande. Lien expiré : elle annonce que le lien a expiré plutôt que de faire comme s'il n'avait jamais existé — moins déroutant pour quelqu'un qui avait une raison légitime d'être là.

Bon à savoir : les liens protégés sont exclus de l'aperçu enrichi présenté aux robots des réseaux sociaux. Coller un tel lien dans une conversation ne laissera donc pas fuiter le titre et l'image de la destination dans le message. C'est voulu : un aperçu qui révélerait ce que le mot de passe protège annulerait le mot de passe.

En résumé

Un mot de passe sur un lien est une porte : bon marché, instantanée, sans compte, et suffisante pour le cas ordinaire où un contenu doit atteindre certaines personnes et pas tout le monde. Associez-le à une expiration pour qu'une fuite ait une date de péremption, transmettez le mot de passe par un canal différent de celui du lien, et gardez les yeux ouverts : c'est du contrôle d'accès, pas du chiffrement. Quand il vous faut la promesse la plus forte, chiffrez de bout en bout — et si vous vous demandez quelle confiance accorder aux liens courts en général, les liens courts sont-ils sûrs traite l'autre versant de la question.