Un fichier .txt n’embarque aucune couche de protection native. Contrairement à un document Word ou un PDF, le format texte brut ne prévoit ni champ de mot de passe ni métadonnée de chiffrement. Protéger un fichier texte par mot de passe revient donc à l’envelopper dans un conteneur chiffré ou au convertir vers un format qui gère cette fonction.
Dérivation de clé et résistance aux attaques hors ligne
Un fichier chiffré par mot de passe stocké localement ou sur un support amovible reste exposé aux tentatives de brute force sans limitation de tentatives. Aucun serveur ne bloque l’attaquant après cinq essais : il peut tester des millions de combinaisons par seconde si la dérivation de clé est faible.
La publication spéciale NIST SP 800-132 encadre précisément ce point. Elle recommande de transformer le mot de passe en clé de chiffrement via une fonction de dérivation coûteuse en ressources (PBKDF2, Argon2, bcrypt). Un logiciel qui utilise directement le mot de passe comme clé AES, sans dérivation, offre une sécurité illusoire.
Lors du choix d’un outil, nous vérifions systématiquement quel algorithme de dérivation est documenté. Si l’éditeur ne le mentionne pas, c’est un signal négatif. Un archiveur comme 7-Zip, par exemple, utilise AES-256 avec une dérivation basée sur SHA-256 itéré, ce qui ralentit suffisamment les tentatives pour un mot de passe robuste.
Ce que « AES-256 » ne garantit pas seul
Beaucoup d’outils affichent « chiffrement AES-256 » comme argument marketing. L’algorithme de chiffrement symétrique n’est qu’un maillon. Si le mot de passe est court ou prévisible, la solidité d’AES-256 devient sans objet : l’attaquant cible le mot de passe, pas l’algorithme.
Un mot de passe de quatre mots aléatoires résiste mieux qu’un mot de huit caractères alphanumériques. La longueur et l’entropie du secret conditionnent la résistance réelle du fichier protégé.
Chiffrement d’un fichier texte avec une archive protégée par mot de passe
La méthode la plus répandue consiste à placer le fichier .txt dans une archive chiffrée. Sur Windows comme sur macOS ou Linux, des outils d’archivage permettent de créer un conteneur ZIP ou 7z protégé.
- Sous Windows, 7-Zip crée une archive .7z avec chiffrement AES-256. L’option « Chiffrer les noms de fichiers » masque aussi le nom du .txt, empêchant un observateur de deviner le contenu sans ouvrir l’archive.
- Sous macOS, la commande zip -e dans le Terminal génère un ZIP chiffré. Le chiffrement ZIP classique (ZipCrypto) reste néanmoins plus faible qu’AES-256 : pour un fichier sensible, mieux vaut installer un outil compatible AES.
- Sous Linux, GPG permet de chiffrer directement le fichier avec gpg -c fichier.txt, produisant un fichier .txt.gpg protégé par phrase de passe. La dérivation utilise par défaut un algorithme itératif conforme aux bonnes pratiques.
Dans chaque cas, le fichier .txt original doit être supprimé de manière sécurisée après chiffrement. Le laisser à côté de l’archive protégée annule toute la démarche.
Convertir le fichier texte vers un format protégeable
Une alternative consiste à copier le contenu du .txt dans un document LibreOffice Writer ou Microsoft Word, puis à enregistrer avec mot de passe. Word utilise AES-256 depuis les versions récentes, et LibreOffice applique AES-256 en mode CBC avec dérivation PBKDF2.
Cette approche change le format du fichier. Si le contenu doit rester en texte brut pour un usage technique (fichier de configuration, log, script), la conversion n’est pas adaptée.
Sécuriser le contenu au-delà du mot de passe sur le fichier
Le mot de passe sur le fichier protège contre l’ouverture non autorisée. Il ne couvre pas tous les vecteurs de fuite.
Le fichier déchiffré transite en clair dans la mémoire et le système de fichiers temporaire. Un logiciel malveillant actif sur la machine peut capturer le contenu au moment de la lecture. Le chiffrement du fichier ne remplace pas la sécurité du poste.
Pour des données personnelles en contexte professionnel, le RGPD exige des mesures techniques et organisationnelles adaptées au risque. Un simple mot de passe sur un fichier texte peut être insuffisant si le document contient des données sensibles au sens du règlement. Le chiffrement intégral du disque (BitLocker, FileVault, LUKS) ajoute une couche complémentaire qui protège les fichiers au repos, y compris les temporaires.
Conserver le mot de passe sans compromettre le fichier
Avec un chiffrement correctement conçu, perdre le mot de passe signifie perdre le contenu de manière définitive. Aucune « porte dérobée » ne permet de récupérer un fichier chiffré en AES-256 sans le secret.
- Stocker le mot de passe dans un gestionnaire dédié (KeePass, Bitwarden), jamais dans un autre fichier texte non chiffré sur le même support.
- Ne pas envoyer le mot de passe par le même canal que le fichier : si le .txt chiffré part par courriel, le mot de passe passe par un autre moyen (messagerie instantanée chiffrée, appel téléphonique).
- Prévoir une copie de sauvegarde du fichier chiffré sur un support distinct, pour éviter la perte simultanée du fichier et de l’accès.
Quel outil choisir pour protéger un fichier texte selon le contexte
Le choix dépend de l’usage. Pour un fichier texte échangé ponctuellement, une archive 7z chiffrée suffit : le destinataire n’a besoin que de 7-Zip (gratuit, multiplateforme) et du mot de passe.
Pour un fichier technique consulté régulièrement sur un poste Unix, GPG offre une intégration en ligne de commande fluide, scriptable, et compatible avec des pipelines d’automatisation.
Pour un document texte contenant des identifiants ou mots de passe (cas fréquent), le vrai réflexe est de migrer vers un gestionnaire de mots de passe plutôt que de maintenir un .txt chiffré. Un gestionnaire gère nativement le chiffrement, la dérivation de clé, la synchronisation et le verrouillage automatique.
Le fichier texte protégé par mot de passe reste un outil valable pour l’archivage ponctuel ou le transfert sécurisé. Pour un usage récurrent, il impose une discipline de manipulation (suppression du clair, gestion du secret, sauvegarde) que d’autres solutions automatisent mieux.
