Mots de passe, gestionnaire et double authentification en entreprise
Le même mot de passe pour la messagerie, le logiciel de facturation et le compte bancaire, noté sur un post-it collé sous le clavier : la scène est courante, et c’est exactement ce que cherchent les attaquants. Un seul mot de passe dérobé, et ce sont toutes les portes qui s’ouvrent. Remettre de l’ordre dans les accès de l’entreprise est l’une des mesures les plus efficaces, et elle ne demande pas de compétences techniques.
Pourquoi les mots de passe tombent
Un mot de passe peut être compromis de plusieurs façons :
- par fuite : un site sur lequel vous avez un compte se fait pirater, et les identifiants circulent ensuite en ligne ;
- par hameçonnage : un faux message vous invite à vous connecter sur une page imitant un service connu (voir notre article sur l’hameçonnage et la fraude au faux RIB) ;
- par devinette : des robots testent automatiquement les combinaisons les plus courantes, les prénoms, les dates, les noms d’entreprise ;
- par réutilisation : un identifiant récupéré sur un site est essayé partout ailleurs.
Contre la réutilisation, une seule parade : un mot de passe différent pour chaque service. C’est là qu’intervient le gestionnaire.
Un bon mot de passe aujourd’hui
La longueur compte davantage que la complexité apparente. Une phrase de passe composée de plusieurs mots sans lien entre eux, éventuellement séparés par des signes, est à la fois robuste et mémorisable. À l’inverse, un mot de passe court truffé de chiffres et de symboles reste fragile et s’oublie facilement.
| À faire | À éviter |
|---|---|
| Plusieurs mots sans lien logique, assez longs | Prénom, date de naissance, nom de l’entreprise |
| Un mot de passe unique par service | Le même mot de passe décliné (« Bureau1 », « Bureau2 ») |
| Changer immédiatement en cas de fuite ou de doute | Le noter sur un papier visible ou dans un fichier non protégé |
| Le stocker dans un gestionnaire | Le partager par e-mail ou messagerie instantanée |
La CNIL publie sur cnil.fr des recommandations sur les mots de passe, et l’ANSSI en traite également dans ses guides : ils sont une bonne référence si vous rédigez une règle interne.
Le gestionnaire de mots de passe
Un gestionnaire est un coffre-fort numérique : il stocke tous vos identifiants de façon chiffrée, derrière un seul mot de passe maître. Il peut générer des mots de passe longs et aléatoires et les remplir automatiquement sur les bons sites, ce qui offre un bonus discret : sur une fausse page d’hameçonnage, l’adresse ne correspond pas, et le remplissage ne se déclenche pas.
Les critères pour une entreprise
Si vous en choisissez un pour l’équipe, vérifiez :
- le partage contrôlé : pouvoir partager un accès (le compte du fournisseur d’énergie, la boutique en ligne) sans révéler le mot de passe en clair ;
- la gestion des départs : retirer d’un clic les accès d’un salarié qui quitte l’entreprise ;
- la double authentification sur le coffre lui-même ;
- la procédure de récupération si le mot de passe maître est perdu ;
- l’export de vos données, si vous changez d’outil un jour.
Le mot de passe maître est le seul à retenir : il doit être long, unique, et ne servir nulle part ailleurs.
La double authentification
La double authentification (on parle aussi d’authentification à deux facteurs ou multifacteur) ajoute une seconde preuve au mot de passe : un code à usage unique, une validation sur une application du téléphone, une clé physique. Même si le mot de passe est volé, l’attaquant reste bloqué sans ce second élément.
Les méthodes ne se valent pas toutes :
- Clé de sécurité physique : la plus résistante, y compris à l’hameçonnage.
- Application d’authentification sur le téléphone, qui génère des codes ou demande une validation.
- Code par SMS : mieux que rien, mais plus exposé (détournement de ligne, interception).
Attention aux validations par notification : si une demande de connexion arrive alors que vous n’avez rien demandé, refusez-la et changez votre mot de passe. Des attaquants inondent parfois leurs cibles de demandes en espérant un clic par lassitude.
Par où commencer
Activez la double authentification d’abord là où l’enjeu est le plus fort :
- la messagerie, qui permet de réinitialiser tous les autres comptes ;
- la banque en ligne et les outils de paiement ;
- les logiciels de gestion contenant des données clients (facturation, CRM, comptabilité) ;
- l’hébergement du site et le nom de domaine, dont la perte peut couper le site et les e-mails (voir nom de domaine, hébergement et e-mail pro) ;
- les comptes administrateurs de tous les outils.
Prévoyez les codes de secours fournis lors de l’activation et conservez-les en lieu sûr : ils évitent de rester bloqué si le téléphone est perdu.
Organiser les accès dans l’équipe
Quelques règles simples complètent le dispositif :
- un compte nominatif par personne, plutôt qu’un identifiant commun que tout le monde connaît ;
- des droits limités à ce dont chacun a besoin ;
- un compte administrateur séparé du compte de travail quotidien ;
- une procédure de départ : liste des accès à fermer et des mots de passe partagés à changer ;
- un inventaire des comptes de l’entreprise, avec le nom de la personne responsable de chacun.
Ces règles font partie du socle décrit dans notre article sur les mesures de cybersécurité essentielles. Elles prennent une après-midi à mettre en place et ferment l’une des portes d’entrée les plus utilisées.
Cet article peut contenir des liens partenaires. Ils n'influencent jamais ce que nous écrivons.