Sécurité des mots de passe en entreprise

Pourquoi les mots de passe restent le maillon faible

La plupart des intrusions ne commencent pas par un exploit sophistiqué, mais par un compte compromis : mot de passe deviné, réutilisé sur un site piraté, ou soutiré par un e-mail de phishing. Dans une PME, un seul compte de messagerie compromis suffit pour détourner un virement, usurper l'identité d'un dirigeant ou déployer un ransomware.

Le problème n'est pas la négligence des équipes : c'est qu'on demande à des humains de mémoriser des dizaines de secrets uniques et complexes. Sans outils ni règles claires, ils font ce que ferait tout le monde : le même mot de passe partout, avec une majuscule et « 2024 » à la fin.

Le gestionnaire de mots de passe : l'outil qui change tout

Un gestionnaire de mots de passe (Bitwarden, 1Password, KeePass, etc.) génère et stocke un mot de passe unique et aléatoire pour chaque service. L'utilisateur ne retient plus qu'un seul secret : le mot de passe maître.

En entreprise, choisissez une offre professionnelle pour bénéficier de :

• coffres partagés par équipe (les identifiants du site web ne se transmettent plus par e-mail ou Post-it) ;
• gestion des départs : quand un collaborateur quitte l'entreprise, on révoque son accès sans courir après les mots de passe qu'il connaissait ;
• audit intégré : détection des mots de passe faibles, réutilisés ou présents dans des fuites connues.

Comptez de l'ordre de 3 à 8 € par utilisateur et par mois : l'un des meilleurs investissements sécurité qui soient.

La MFA : indispensable, pas optionnelle

Même un excellent mot de passe peut fuiter. La double authentification (MFA) ajoute une preuve supplémentaire — code d'application, notification, clé physique — et bloque ainsi la quasi-totalité des piratages de comptes.

Ordre de déploiement recommandé : comptes administrateurs d'abord, puis messagerie (la clé de tout le reste : c'est elle qui reçoit les liens « mot de passe oublié »), puis VPN et accès distants — un point détaillé dans le guide du télétravail sécurisé —, enfin les applications métier. Préférez l'application d'authentification ou la clé de sécurité au SMS. La MFA est incluse dans Microsoft 365 et Google Workspace : l'activer ne coûte rien.

Phrases de passe et politique interne

La robustesse vient de la longueur

Les recommandations actuelles (ANSSI, CNIL) privilégient la longueur sur la complexité artificielle. Une phrase de passe de 4 à 5 mots sans lien entre eux — « tulipe caverne 72 marteau ! » — est à la fois plus résistante et plus facile à retenir que « P@ssw0rd1 ». Visez au minimum 12 à 16 caractères pour les comptes importants, et davantage pour le mot de passe maître du gestionnaire.

Une politique réaliste tient en quelques règles

• un mot de passe unique par service, généré par le gestionnaire ;
• MFA obligatoire sur la messagerie, les accès distants et les comptes à privilèges ;
• pas d'expiration systématique : forcer un changement tous les 90 jours pousse aux variantes prévisibles. On change un mot de passe quand il y a suspicion de compromission ;
• comptes nominatifs : pas de compte « accueil » partagé sans traçabilité ;
• procédure de départ : désactivation des comptes le jour même, rotation des secrets partagés.

Formalisez ces règles dans la charte informatique et faites-les vivre par une sensibilisation courte et régulière — un volet à inclure dans toute démarche de cybersécurité, qu'elle soit menée en interne ou avec un prestataire.

Les erreurs courantes qui coûtent cher

• Le fichier Excel « mots de passe.xlsx » sur le serveur partagé : la première chose qu'un attaquant cherche — et trouve.
• Le même mot de passe pro et perso : quand un site grand public fuite, vos comptes d'entreprise tombent avec.
• Les comptes administrateurs sans MFA : le sésame absolu laissé sans serrure.
• Les mots de passe dans les navigateurs non gérés : pratiques, mais aspirés en quelques secondes par les malwares voleurs d'identifiants.
• Les comptes d'anciens salariés jamais désactivés : des portes d'entrée oubliées, régulièrement exploitées.

Un audit des comptes et des accès permet de repérer rapidement ces situations et de les corriger par ordre de priorité.

Comptes administrateurs : ce qu'il faut exiger de votre prestataire

Le prestataire informatique détient en général les accès les plus puissants de votre système d'information. C'est aussi une cible : des attaquants visent les prestataires pour atteindre leurs clients. Points à vérifier :

1. Des comptes administrateurs nominatifs pour chaque technicien, distincts de leurs comptes de travail courants ; pas de compte « admin » partagé.
2. La MFA obligatoire sur tous les accès du prestataire : console d'administration, outil de prise en main à distance, portail cloud.
3. Un coffre-fort d'identifiants dont vous gardez l'accès : les mots de passe de vos équipements et services vous appartiennent et doivent vous être remis à la demande (clause de réversibilité du contrat d'infogérance).
4. Un compte administrateur de secours sous votre seul contrôle, conservé hors ligne, pour reprendre la main en cas de litige ou de défaillance du prestataire.
5. La révocation des accès au départ d'un technicien ou en fin de contrat, et la traçabilité des connexions.

Les références officielles

Deux documents font autorité en France et sont gratuits : la recommandation de la CNIL relative aux mots de passe et autres secrets partagés (mise à jour en 2022, sur cnil.fr) et les Recommandations relatives à l'authentification multifacteur et aux mots de passe de l'ANSSI (sur cyber.gouv.fr). cybermalveillance.gouv.fr propose une fiche grand public plus courte, pratique à diffuser aux équipes.