Oublier son mot de passe iCloud : que faire, dans quel ordre

Le mot de passe iCloud est celui du compte Apple : il se réinitialise en une minute depuis un iPhone, un iPad ou un Mac déjà connecté, avec le simple code de verrouillage de l'appareil. Sans appareil de confiance, il reste iforgot.apple.com, un contact de récupération, la clé de secours de 28 caractères ou, en dernier recours, une récupération de compte qui prend plusieurs jours.

Ce que vous avez vraiment oublié

Il n'existe pas, à strictement parler, de mot de passe iCloud. iCloud est un service, et il s'ouvre avec le mot de passe du compte Apple (l'ancien identifiant Apple, renommé à l'automne 2024). Ce secret unique sert aussi à l'App Store, à iMessage, à FaceTime et à Localiser. Le réinitialiser remet donc tout en ordre d'un coup.

Avant de lancer quoi que ce soit, assurez-vous de ne pas confondre avec un autre code. Un iPhone en manipule au moins quatre, et la confusion est fréquente.

Le piège classique est le code de l'appareil oublié. Aucune procédure de mot de passe ne le résout : il faut restaurer l'iPhone depuis un ordinateur en mode de récupération, ce qui l'efface, puis le réactiver avec le mot de passe du compte Apple. Raison de plus pour retrouver celui-ci en premier.

• Le mot de passe du compte Apple : demandé pour iCloud, l'App Store, l'effacement d'un appareil et le verrouillage d'activation.
• Le code de l'appareil : 4 ou 6 chiffres (ou une suite alphanumérique) qui déverrouille l'écran. Personne ne peut le récupérer, Apple compris.
• Le mot de passe de session du Mac : celui de l'utilisateur macOS, distinct du compte Apple même si les deux peuvent être liés.
• Les mots de passe stockés dans le trousseau iCloud : ceux de vos sites et applications, visibles dans l'app Mots de passe (iOS 18, macOS Sequoia) ou dans Réglages, Mots de passe.

Réinitialiser depuis un appareil de confiance

Si un iPhone, un iPad ou un Mac connecté au compte est encore sous la main, tout se passe en local et sans e-mail. Sur iOS 17 ou plus récent : Réglages, votre nom en haut, Connexion et sécurité, Modifier le mot de passe. L'appareil demande son propre code de verrouillage, pas l'ancien mot de passe. Sur macOS 13 et suivants, même chemin dans Réglages Système. Comptez une minute.

Le nouveau mot de passe doit compter au moins 8 caractères, mélanger majuscules et minuscules, contenir un chiffre, et ne pas avoir déjà servi sur ce compte au cours des douze derniers mois. Une phrase de passe de quatre ou cinq mots avec un chiffre passe sans difficulté et se retient mieux qu'une suite de symboles.

Ce chemin n'exige que le code de l'appareil, et c'est précisément sa faiblesse. En 2023, des vols d'iPhone précédés d'une observation du code ont permis à des voleurs de changer le mot de passe du compte et d'exclure la victime de son propre iCloud. Apple a réagi dans iOS 17.3 avec la protection en cas de vol d'appareil : hors des lieux habituels, changer le mot de passe du compte impose Face ID ou Touch ID sans repli possible sur le code, puis un délai de sécurité d'une heure avant une seconde authentification biométrique. Si ce compte à rebours s'affiche, ce n'est pas une panne.

Les quatre portes, de la plus rapide à la plus lente

Sans appareil connecté, le point d'entrée est iforgot.apple.com depuis n'importe quel navigateur, ou l'app Assistance Apple sur l'iPhone d'un proche (rubrique Mots de passe et sécurité, puis Réinitialiser le mot de passe, en précisant qu'il s'agit d'un autre compte). Le site demande l'adresse e-mail du compte, puis le numéro de téléphone de confiance, et propose ensuite la voie la plus rapide parmi celles que vous avez préparées à l'avance.

La récupération de compte est la porte par défaut quand les trois autres sont fermées. Apple ne s'engage sur aucun délai : un SMS au numéro de confiance donne une date estimée, et l'avancement se consulte sur iforgot.apple.com avec la même adresse. Une seule erreur à éviter pendant l'attente : utiliser un appareil déjà connecté au compte avec l'ancien mot de passe, ce qui peut annuler la demande.

Précision sur le contact de récupération, souvent mal compris : il n'a accès à rien. Il ouvre Réglages sur son propre appareil, va dans Connexion et sécurité, Récupération de compte, et vous lit un code que vous saisissez de votre côté. Il doit avoir au moins 13 ans (l'âge varie selon les pays), un appareil sous iOS 15 ou macOS 12 minimum, et l'authentification à deux facteurs sur son compte.

Porte	Ce qu'il faut avoir	Délai
Appareil de confiance	Un iPhone, iPad ou Mac connecté au compte et son code de verrouillage	Une minute
Contact de récupération	Un proche désigné à l'avance, qui lit un code depuis son propre appareil	Le temps de l'appeler
Clé de secours	La chaîne de 28 caractères générée dans Récupération de compte, plus le numéro de confiance	Immédiat
Récupération de compte	Un numéro de téléphone joignable ; Apple vérifie l'historique d'usage du compte	Plusieurs jours, sans engagement d'Apple

Compte verrouillé, protection avancée, clients mail : les cas qui coincent

« Ce compte Apple a été verrouillé pour des raisons de sécurité » n'est pas un oubli. Le message apparaît après une série de tentatives ratées, les vôtres ou celles de quelqu'un qui teste des mots de passe sur votre adresse. Le déverrouillage passe par iforgot.apple.com avec les mêmes moyens que ci-dessus, et il vaut mieux changer le mot de passe dans la foulée puisque quelqu'un s'y intéresse.

Si la protection avancée des données est activée, la donne change. Sauvegardes, photos, notes et la plupart des données iCloud sont alors chiffrées de bout en bout, et Apple n'en détient plus la clé. Perdre le mot de passe et tous les appareils de confiance, sans contact de récupération ni clé de secours, signifie perdre les données pour de bon. C'est pourquoi l'activation de cette protection exige d'abord l'un des deux.

Dernier cas, fréquent chez ceux qui lisent leur boîte @icloud.com dans Thunderbird, Outlook ou un serveur de messagerie personnel : l'authentification échoue alors que le mot de passe est bon. Un compte protégé par la double authentification refuse le mot de passe principal en IMAP et en SMTP. Il faut un mot de passe pour application, chaîne de 16 caractères au format xxxx-xxxx-xxxx-xxxx, à générer sur account.apple.com dans Connexion et sécurité, Mots de passe pour application. Chaque client reçoit le sien, et un changement du mot de passe principal les révoque tous : après une réinitialisation, c'est la première chose à refaire.

• IMAP entrant : imap.mail.me.com, port 993, SSL/TLS, identifiant = la partie avant le @ de l'adresse (ou l'adresse complète si le client refuse).
• SMTP sortant : smtp.mail.me.com, port 587, STARTTLS, authentification obligatoire avec le même identifiant.
• Mot de passe dans les deux cas : le mot de passe pour application, jamais celui du compte Apple.

Ne plus repasser par là

Le vrai gain consiste à préparer les portes de secours avant d'en avoir besoin. Deux réglages, dix minutes, dans Réglages, votre nom, Connexion et sécurité, Récupération de compte : ajouter un contact de récupération et, si vous acceptez de conserver une chaîne de 28 caractères hors ligne, générer une clé de secours. Attention à la seconde : une fois la clé activée, Apple ne peut plus réinitialiser le compte à votre place ; la clé ou un appareil de confiance deviennent les seules voies.

Ajoutez aussi un second numéro de téléphone de confiance, celui d'un proche ou un fixe. Un seul numéro, sur une SIM perdue en même temps que le téléphone, est le scénario classique qui mène à la récupération de compte à rallonge.

Méfiez-vous enfin de l'e-mail qui arrive pile au moment où vous cherchez. Apple ne demande jamais de confirmer un mot de passe via un lien reçu par courriel, et les adresses légitimes pour cette procédure sont iforgot.apple.com et account.apple.com (l'ancienne appleid.apple.com y redirige). Un domaine du type apple-id-secure.com ou icloud-verification.net, une URL raccourcie, une pièce jointe : fermez et tapez l'adresse à la main. Le mécanisme est détaillé dans la fiche sur les attaques par mot de passe.

Questions fréquentes

Réinitialiser le mot de passe efface-t-il mes données iCloud ?

Non. Le changement ne touche ni les photos, ni les sauvegardes, ni les contacts. Vous devrez seulement vous reconnecter sur chaque appareil et régénérer les mots de passe pour application des clients mail. Seul un compte sous protection avancée des données, sans aucun moyen de récupération, expose à une perte, parce qu'Apple ne détient pas la clé de déchiffrement.

Combien de temps dure la récupération de compte ?

Apple ne publie aucun délai fixe. Le SMS envoyé au numéro de confiance indique une date estimée, en général en jours. Le délai peut se raccourcir si un code envoyé à l'adresse e-mail principale ou les données d'une carte bancaire enregistrée permettent de confirmer l'identité, et la demande peut être annulée si le compte est utilisé entre-temps avec l'ancien mot de passe.

Je connais le mot de passe, mais Thunderbird ou Outlook le refuse : pourquoi ?

Parce qu'un compte avec double authentification n'accepte pas le mot de passe principal en IMAP/SMTP. Générez un mot de passe pour application sur account.apple.com et utilisez-le dans le client, avec imap.mail.me.com sur le port 993 et smtp.mail.me.com sur le port 587.

Peut-on retrouver l’ancien mot de passe au lieu d’en créer un nouveau ?

Non. Apple ne le stocke pas en clair et aucune procédure ne l'affiche. En revanche, s'il a été enregistré quelque part (trousseau iCloud d'un autre appareil, gestionnaire tiers, navigateur), regardez-y avant de réinitialiser : un changement révoque tous les mots de passe pour application et réclame une reconnexion sur chaque appareil.

Un message « compte Apple verrouillé » est-il toujours légitime ?

Sur l'écran d'un appareil ou sur iforgot.apple.com, oui. Par e-mail ou SMS, presque jamais : c'est le prétexte le plus utilisé par les campagnes de phishing visant les comptes Apple. Ne cliquez pas, ouvrez Réglages ou tapez iforgot.apple.com vous-même. Si le compte est réellement verrouillé, vous le verrez là.

Testez vos connaissances

À lire aussi

authentification deux facteurs · attaques par mot de passe · client email · cloud