Gestion des mots de passe
le guide pratique pour une petite entreprise
Ce qui a changé dans les bonnes pratiques, pourquoi le gestionnaire est la pièce centrale, et comment cadrer tout ça en équipe.
Bien gérer ses mots de passe, c’est en avoir un différent et long pour chaque service, sans chercher à les mémoriser. La méthode fiable repose sur un gestionnaire de mots de passe, qui les range dans un coffre chiffré, complété par une double authentification sur les comptes importants. En entreprise, on y ajoute des règles de partage et de départ des collaborateurs.
- Un mot de passe unique par service : c’est la seule protection contre l’effet domino en cas de fuite.
- La longueur avant la complexité : une phrase de passe longue vaut mieux qu’une suite de symboles.
- Un gestionnaire de mots de passe : il retient et remplit tout à votre place, vous ne gardez qu’un mot de passe maître.
- La double authentification : elle protège même si le mot de passe est volé.
Gérer ses mots de passe, ça veut dire quoi exactement
Le vrai problème n’est pas de créer un mot de passe solide. C’est d’en gérer des dizaines, parfois des centaines, sans jamais réutiliser le même et sans les oublier. Une petite entreprise cumule vite les accès : messagerie, banque en ligne, logiciel de comptabilité, réseaux sociaux, boutique, outils métier, comptes fournisseurs. Chacun demande un identifiant et un mot de passe.
Face à cette accumulation, les réflexes humains sont toujours les mêmes. On réutilise le même mot de passe partout. On note tout dans un fichier Excel ou sur un carnet. On glisse un post-it sous le clavier. On envoie un accès par mail ou par message à un collègue. Chacune de ces habitudes crée une faille, et une seule suffit.
C’est là que se joue la différence entre avoir un bon mot de passe et gérer ses mots de passe. Le premier protège un compte. Le second protège l’ensemble de votre activité, parce qu’une fuite sur un site sans importance ne doit jamais ouvrir la porte de votre banque.
Ce n’est pas un mot de passe trop court qui vous expose le plus, c’est le mot de passe unique réutilisé partout, le tableur non protégé et le post-it. Une seule de ces habitudes suffit à faire tomber le reste.
Les bonnes pratiques ont changé
ce qu’il faut arrêter et ce qu’il faut faire
Beaucoup de conseils encore répétés aujourd’hui datent d’une époque révolue. Les autorités de référence, dont l’ANSSI et la CNIL en France, ont fait évoluer leur doctrine. Deux idées reçues méritent d’être abandonnées.
D’abord, l’obligation de changer son mot de passe tous les trois mois. Cette rotation forcée poussait surtout les utilisateurs à des variations mécaniques et faciles à deviner, du type Motdepasse1, Motdepasse2. On la réserve désormais aux cas particuliers, notamment en cas de soupçon de compromission, plutôt que de l’imposer à tout le monde en permanence.
Ensuite, la fameuse recette majuscule plus chiffre plus caractère spécial. Elle donne des mots de passe difficiles à retenir pour un humain, mais pas si difficiles à casser pour une machine. Ce qui compte vraiment, c’est la robustesse d’ensemble, et la longueur y contribue bien plus que les symboles.
Longueur et phrase de passe plutôt que caractères exotiques
Un mot de passe long résiste bien mieux qu’un mot de passe court et compliqué. Les recommandations actuelles de l’ANSSI raisonnent d’ailleurs en niveau de robustesse global plutôt qu’en une seule règle magique : la longueur du secret compte, mais elle se combine avec d’autres mesures, comme le blocage du compte après plusieurs échecs. En pratique, on vise un mot de passe nettement plus long que les vieux minimums de huit caractères, et davantage encore pour les comptes à privilèges comme les comptes administrateurs.
L’astuce la plus simple pour y arriver sans se rendre fou, c’est la phrase de passe : plusieurs mots assemblés, éventuellement sans lien logique entre eux, qui forment une chaîne longue et facile à mémoriser. Quelques mots choisis au hasard valent mieux qu’une suite de symboles imprononçable.
Un mot de passe unique par service
La règle non négociable tient en une phrase : un mot de passe différent pour chaque compte. C’est la seule protection contre l’effet domino. Quand un site subit une fuite de données, les identifiants volés sont testés automatiquement sur des milliers d’autres services. Si vous avez réutilisé le même mot de passe, la brèche se propage. Si chaque accès a le sien, le problème reste confiné.
Cette règle a l’air impossible à tenir de tête. Elle l’est. C’est précisément pour cela que l’outil suivant existe.
Le gestionnaire de mots de passe, la pièce centrale
Un gestionnaire de mots de passe est un coffre-fort numérique. Il stocke tous vos identifiants sous une forme chiffrée, et vous n’avez plus qu’un seul mot de passe à retenir : le mot de passe maître, qui ouvre le coffre.
Concrètement, le logiciel génère pour vous des mots de passe longs et uniques, les enregistre, puis les remplit automatiquement au moment de la connexion. Vous n’avez plus besoin de les connaître, ni même de les voir. Vous vous souvenez d’une seule chose, et l’outil gère le reste.
La crainte revient souvent : mettre tous ses mots de passe au même endroit, n’est-ce pas risqué ? En pratique, c’est l’inverse. Le contenu du coffre est chiffré, donc illisible sans le mot de passe maître, y compris pour l’éditeur du logiciel dans les solutions sérieuses. Deux précautions comptent vraiment : le mot de passe maître doit être solide et unique, car c’est la clé de tout, et il faut l’associer à une seconde vérification, dont on parle plus bas.
Quel gestionnaire choisir selon sa situation
Il n’existe pas de meilleur gestionnaire dans l’absolu, seulement celui qui correspond à votre contexte. Trois critères concrets guident le choix : où sont stockées les données, le besoin de partager des accès à plusieurs, et le niveau d’exigence en matière de souveraineté.
Simplicité avant tout
Pour une personne seule ou une poignée d’utilisateurs, le test décisif est concret : le coffre se synchronise-t-il tout seul entre l’ordinateur et le téléphone, et le remplissage automatique fonctionne-t-il bien sur mobile ? Certaines solutions offrent une version gratuite suffisante, d’autres ont resserré la leur.
Partager sans montrer
Dès qu’on est plusieurs, il faut donner un accès sans jamais communiquer le mot de passe en clair, gérer les droits par personne et couper un accès en un clic. Une solution open source auditée comme Bitwarden coche ces cases, avec la possibilité de l’héberger sur ses propres serveurs.
Contrôle et certification
Pour les organisations les plus exigeantes, KeePass et sa variante KeePassXC sont gratuits, libres et bénéficient d’une certification de sécurité de l’ANSSI. En contrepartie, leur mise en place demande un peu plus de rigueur technique, par exemple pour partager la base de façon fiable.
Le bon choix dépend de l’équilibre que vous cherchez entre confort, contrôle et budget, plus que d’un classement. Une petite structure a rarement besoin de la solution la plus sophistiquée : elle a besoin de celle que toute l’équipe utilisera vraiment.
L’authentification à plusieurs facteurs, le complément indispensable
Un mot de passe, même excellent, reste une information qui peut être volée, hameçonnée ou interceptée. L’authentification à plusieurs facteurs, souvent abrégée MFA ou 2FA, ajoute une seconde preuve d’identité au moment de la connexion. Même si votre mot de passe tombe entre de mauvaises mains, il ne suffit plus à ouvrir le compte. Cette seconde preuve prend plusieurs formes, qui n’offrent pas le même niveau de protection.
| Moyen | Niveau de sécurité | Quand l’utiliser |
|---|---|---|
| Application d’authentification | Bon | Choix par défaut, bon équilibre sécurité / simplicité |
| Clé de sécurité physique | Très élevé | Comptes les plus sensibles (admin, banque) |
| Code par SMS | Limité | En dernier recours, mieux que rien |
L’ordre de priorité est simple. Activez la double authentification d’abord sur les comptes qui font le plus mal en cas de piratage : messagerie professionnelle, banque, outils d’administration et, bien sûr, le gestionnaire de mots de passe lui-même.
Mettre en place une gestion des mots de passe dans une petite entreprise
Passer de l’individuel au collectif change la nature du problème. Quelques principes suffisent à poser une politique saine, sans usine à gaz.
-
Un gestionnaire pour toute l’équipe
Un seul outil, adopté par tout le monde. C’est lui qui devient le canal de partage des accès, jamais le mail ni la messagerie instantanée.
-
Un mot de passe long et unique par service
Laissez le gestionnaire générer les mots de passe. Personne n’a plus à les inventer ni à les connaître, ce qui supprime d’un coup la réutilisation.
-
La double authentification sur les accès importants
Messagerie, banque, comptes administrateurs et gestionnaire lui-même : ces accès méritent une seconde vérification systématique.
-
Des règles claires pour le partage et les départs
Prévoyez à l’avance qui a accès à quoi, et la reprise ou la révocation des accès quand un collaborateur s’en va. Un ancien compte actif reste une porte ouverte.
Les comptes administrateurs méritent un traitement à part : mots de passe plus longs, double authentification systématique, et un usage réservé aux tâches qui l’exigent réellement. On évite de se connecter au quotidien avec un compte qui a tous les pouvoirs.
Préparez enfin la réaction en cas de fuite. Si un service que vous utilisez signale une compromission, changez immédiatement le mot de passe concerné et, surtout, tout autre compte où il aurait été réutilisé. Avec des mots de passe uniques, cette réaction se limite à un seul compte au lieu de virer au sauvetage général : c’est tout l’intérêt d’avoir fait le travail en amont.
Est-ce vraiment sûr de mettre tous ses mots de passe dans un gestionnaire ?
Oui, à condition d’utiliser une solution sérieuse et un mot de passe maître solide. Le coffre est chiffré et reste illisible sans ce mot de passe maître. Le risque est bien plus grand du côté des habitudes qu’il remplace : tableur non protégé, post-it, mot de passe unique réutilisé partout.
Faut-il encore changer ses mots de passe tous les trois mois ?
Non, ce n’est plus recommandé de façon systématique. Les autorités comme l’ANSSI ont abandonné la rotation périodique imposée, qui poussait à des variations faibles. On change un mot de passe quand il y a un doute de compromission, ou lorsqu’un service signale une fuite.
Quel gestionnaire de mots de passe est reconnu en France ?
KeePass, dans ses variantes, bénéficie d’une certification de sécurité de l’ANSSI, ce qui en fait une référence pour les structures exigeantes sur la souveraineté. Bitwarden, open source et auditable, est aussi très utilisé, notamment pour sa possibilité d’auto-hébergement et son partage en équipe.
Comment partager un accès sans donner le mot de passe en clair ?
En passant par le gestionnaire. Les versions professionnelles permettent de partager un identifiant avec une personne ou une équipe sans que le mot de passe soit visible, et de retirer cet accès d’un clic, par exemple lors du départ d’un salarié.
La sécurité des accès ne se gagne pas en un grand chantier, mais en une habitude installée une fois pour toutes. Le jour où le gestionnaire fait le travail à votre place, vous n’y pensez même plus.