« Vous pouvez me filer le mot de passe du compte de l'agence ? » Cette question, je l'ai reçue trois fois le même mois. Trois fois, j'ai ouvert un fichier Excel partagé où une trentaine de lignes exposaient les accès de la boîte. Le pire ? Personne ne trouvait ça anormal. C'est à ce moment-là que j'ai compris qu'un mot de passe d'entreprise n'est pas un mot de passe personnel un peu plus gros : c'est un point d'entrée dans un système où une seule fuite peut remonter toute la chaîne.
Depuis, j'ai refait la politique d'accès de deux structures. J'ai fait des erreurs. J'ai vu ce qui tient et ce qui s'écroule au premier lundi matin. Voici ce que je ferais si je devais sécuriser les mots de passe d'une entreprise aujourd'hui, sans budget mirobolant et sans discours moralisateur.
Points clés à retenir
- Un mot de passe long et unique vaut mieux qu'un mot de passe compliqué et réutilisé.
- Le renouvellement forcé tous les 90 jours est une fausse bonne idée : il pousse à faire pire.
- Un gestionnaire de mots de passe d'équipe règle 80 % du problème en une journée.
- La double authentification doit être la règle par défaut, pas l'exception qu'on active à la main.
- Les comptes partagés et les comptes techniques sont les vrais trous dans la raquette.
- Sans procédure de départ d'un salarié, tout le reste est décoratif.
Sécuriser les mots de passe en entreprise : ce qui compte vraiment
Quand j'ai commencé à m'intéresser sérieusement au sujet, je croyais qu'il fallait des mots de passe « complexes ». Majuscule, minuscule, chiffre, symbole, point d'exclamation à la fin. Je passais des heures à les inventer, et tout le monde finissait par noter le sien sur un post-it collé sous le clavier. Résultat net : zéro sécurité gagnée.
La vraie logique est inverse. Ce qui protège, c'est la longueur et l'unicité. Un mot de passe de 20 caractères qu'on ne réutilise nulle part est plus solide qu'une formule de 9 caractères bourrée de symboles qu'on remet sur tous les services. Pourquoi ? Parce qu'une attaque par force brute craque la seconde option plus vite, et parce que la réutilisation transforme une fuite mineure (un forum oublié) en effraction majeure (votre boîte mail pro).
Pourquoi privilégier la longueur plutôt que la complexité
La CNIL, dans sa recommandation sur les mots de passe, a tranché un débat vieux comme le web : elle demande un minimum de 12 caractères, et recommande fortement de monter plus haut quand le service le permet. Et surtout, elle a validé une idée que les admins système défendaient depuis des années : arrêter d'imposer une expiration périodique du mot de passe. Fini le « changez tous les 90 jours ». La raison est simple : quand on force les gens à changer souvent, ils changent le mois dans le mot de passe. Janvier2026, Février2026, Mars2026.
Le problème, c'est que cette recommandation circule mal. Beaucoup d'outils de gestion internes imposent encore une rotation trimestrielle, souvent héritée d'une ancienne règle copiée-collée. Si vous êtes dans ce cas, c'est une des premières choses à faire sauter. Oui, il faudra négocier avec le service informatique. Non, ce n'est pas une bataille perdue d'avance.
Comment verrouiller concrètement les mots de passe ?
Verrouiller ne veut pas dire « serrer la vis à tout le monde ». Ça veut dire mettre en place quatre garde-fous qui ne dépendent pas de la bonne volonté de chacun :
- Un gestionnaire de mots de passe déployé à l'échelle de l'équipe, avec un coffre par service.
- La double authentification activée par défaut sur la messagerie, le VPN, la paie, la compta. Pas en option.
- Un blocage après plusieurs tentatives échouées et une alerte pour l'admin.
- Une vraie procédure de révocation immédiate quand quelqu'un part. Le compte ne doit pas survivre à la personne.
Avouons-le, la partie la plus difficile est la dernière. J'ai vu une boîte où l'accès au serveur restait au nom d'un ancien stagiaire parti dix-huit mois plus tôt. Personne ne s'en souvenait. Ça, c'est le genre de détail qui ne coûte rien tant que personne ne cherche à entrer.
Le gestionnaire de mots de passe : le meilleur rapport effort/résultat
Si vous ne devez faire qu'une chose cette semaine, faites celle-ci. Un gestionnaire de mots de passe d'équipe transforme une organisation qui s'échange des accès par chat en un système où chaque mot de passe est long, unique, et où personne ne connaît la valeur réelle sauf le coffre.
Comment choisir un gestionnaire de mots de passe sécurisé
La question qu'on me pose le plus souvent c'est : « un gestionnaire de mots de passe gratuit, ça suffit ? » Honnêtement, ça dépend de la taille. Pour une équipe de deux à cinq personnes, certains outils gratuits font l'affaire. Au-delà, il faut une solution qui gère les rôles, les coffres partagés et un journal d'audit. Voici un comparatif rapide des approches, sans citer de marques :
| Approche | Points forts | Limites | Pour qui |
|---|---|---|---|
| Fichier Excel partagé | Gratuit, tout le monde sait l'utiliser | Aucune trace d'accès, aucune protection, une fuite = tout tombe | Personne. Jamais. |
| Gestionnaire gratuit individuel | Rapide à installer, zéro budget | Pas de coffres d'équipe, pas d'audit | Très petites équipes |
| Gestionnaire d'équipe payant | Rôles, audit, partage contrôlé, récupération d'accès | Coût par siège, migration à prévoir | PME et au-delà |
| Gestionnaire open source auto-hébergé | Contrôle total des données, pas d'abonnement | Il faut administrer le serveur, et le sécuriser aussi | Équipes avec un vrai profil technique |
Mon avis tranché : pour une PME sans équipe info dédiée, le payant se justifie. Le coût par siège est dérisoire comparé au temps perdu à gérer les accès à la main.
À quoi ressemble un mot de passe réellement sécurisé ?
Un mot de passe solide aujourd'hui ressemble à une phrase qu'on peut retenir : quatre ou cinq mots sans lien apparent, séparés par un caractère, et une longueur qui dépasse la vingtaine. Quelque chose comme un assemblage de mots sans rapport logique entre eux est bien meilleur qu'un mot court avec des substitutions du genre « P@ssw0rd! ». Mais le vrai secret, avec un gestionnaire, c'est de ne pas avoir à le retenir : l'outil le génère et le stocke. Vous ne tapez plus jamais le mot de passe d'un service tiers — vous tapez celui du coffre, qui est long, et le reste suit.
Comment sécuriser les données d'une entreprise au-delà des mots de passe
Le mot de passe n'est qu'une serrure. Si les murs sont en carton, la meilleure serrure du monde ne sert à rien. Dans les deux structures que j'ai accompagnées, le vrai danger ne venait pas d'un mot de passe faible mais d'un compte avec trop de droits. Un salarié du support qui pouvait lire la comptabilité. Une boîte mail partagée où tout le monde avait accès à tout.
Trois principes, très simples, couvrent l'essentiel :
- Le moindre privilège : chacun accède à ce dont il a besoin pour son travail, ni plus.
- La séparation des comptes : un compte par personne, jamais un compte générique partagé par cinq.
- La revue régulière des accès : une fois par trimestre, on sort la liste et on barre. Une heure de travail, un filet de sécurité.
J'ajouterais un quatrième point, moins technique : la sensibilisation. Pas un e-learning annuel de quarante minutes que tout le monde clique en accéléré. Une fois par mois, un scénario concret envoyé sur le chat de l'équipe : « vous recevez ce message, comment réagissez-vous ? ». C'est tout. Mais ça marche bien mieux que n'importe quelle plaquette.
Quels sont les 10 conseils pour protéger son identité numérique ?
Cette liste, je la donne aux équipes qui démarrent. Elle mélange hygiène personnelle et cadre collectif, parce qu'on ne peut pas séparer les deux : un salarié qui protège sa vie numérique protège aussi celle de l'entreprise.
- Un mot de passe différent par service, sans exception.
- Un gestionnaire de mots de passe pour ne plus jamais réutiliser.
- La double authentification partout où elle existe.
- Une adresse mail pro distincte de votre adresse perso.
- Ne jamais cliquer sur un lien de connexion non sollicité — passer par l'URL connue.
- Vérifier régulièrement les appareils connectés à vos comptes.
- Mettre à jour les appareils et les logiciels au plus vite.
- Ne pas partager d'accès par message, jamais.
- Révoquer un ancien appareil dès que vous changez de téléphone.
- Signaler toute tentative suspecte, même si elle paraît bénigne.
Le point 4 est celui qu'on oublie le plus. Une adresse perso utilisée pour des démarches pro brouille tout : en cas de fuite, l'attaquant connaît vos deux univers.
Est-il obligatoire d'avoir une PSSI ?
La PSSI — la politique de sécurité des systèmes d'information — n'est pas un texte exigé pour toutes les entreprises par un texte unique et universel. Mais dans les faits, plusieurs obligations convergent vers elle : la protection des données personnelles (le RGPD impose de mettre en œuvre des mesures adaptées), les exigences imposées aux sous-traitants dans de nombreux contrats, les marchés publics qui la demandent noir sur blanc, et les obligations propres à certains secteurs régulés. Autrement dit : même quand elle n'est pas « obligatoire » au sens strict, elle devient rapidement exigible en pratique.
Une PSSI, ce n'est pas un document de cent pages. Pour une PME, une dizaine de pages suffit : ce qu'on protège, comment on y accède, qui fait quoi en cas d'incident, combien de temps on garde les données. J'ai vu une PSSI de trois pages sauver une négociation client qui exigeait « une preuve de démarche sécurité ». La preuve, c'était simplement ce document signé et appliqué.
Ce qui se joue vraiment
La question n'est pas « quel est le mot de passe le plus fort ? ». Elle est : si l'un de vos accès fuite demain, que se passe-t-il ? Est-ce qu'une personne malveillante peut entrer, ou est-ce que le système la bloque ? Est-ce que la fuite reste locale, ou est-ce qu'elle remonte à toute l'organisation ?
C'est ça, la vraie sécurité des mots de passe en entreprise : pas une devinette à inventer, mais une chaîne d'obstacles qu'on empile délibérément. Et la bonne nouvelle, c'est que la plupart de ces obstacles se posent en une après-midi de travail.
