Pendant vingt ans, on a répété la même consigne : un mot de passe doit être compliqué, contenir une majuscule, un chiffre, un symbole, et changer tous les trois mois. Cette consigne est aujourd’hui considérée comme dépassée, et par ceux-là mêmes qui l’avaient écrite.
Les recommandations actuelles, notamment la publication de référence du NIST sur l’authentification (SP 800-63B), disent presque l’inverse. Elles sont plus simples à appliquer, et elles protègent mieux. Voici ce qui a changé, et ce que cela implique concrètement pour une PME.
Faut-il un mot de passe long ou un mot de passe complexe ?
Un mot de passe résiste à une attaque automatisée en proportion du nombre de combinaisons qu’un attaquant doit essayer. Or chaque caractère supplémentaire multiplie ce nombre, alors qu’un symbole ajouté à un mot court ne fait que le décaler un peu.
Comparez Kx7#pQ! et chaise nuage tourbillon lampe. Le premier semble
sérieux, il est court et vous ne le retiendrez pas. Le second est une phrase de
passe : quatre mots sans lien entre eux, très longue, immédiatement mémorisable.
C’est le second qui résiste le mieux.
Deux conditions comptent. Les mots doivent être choisis au hasard, pas former une expression connue ni une phrase qui a du sens pour vous. Et la phrase ne doit contenir aucune information vous concernant : prénom des enfants, nom du chien, date de naissance, nom de l’entreprise. Ces éléments figurent souvent en clair sur les réseaux sociaux et dans les listes que les attaquants essaient d’abord.
Ouvrez un livre au hasard quatre fois, prenez un mot par page, assemblez-les avec des espaces. Vous obtenez une phrase de passe longue, imprévisible et retenable en deux répétitions. Réservez cette méthode aux deux ou trois mots de passe que vous devez vraiment connaître par cœur : votre session d'ordinateur et le mot de passe principal de votre gestionnaire. Tous les autres seront générés par la machine.
Notre testeur de mot de passe permet de comparer les deux approches. Il fonctionne entièrement dans votre navigateur : rien n’est transmis, rien n’est enregistré.
Les règles imposées produisent l’effet inverse
Exiger une majuscule, un chiffre et un symbole paraît prudent. En pratique,
cette règle produit des mots de passe étonnamment uniformes. La majuscule est
placée au début, le chiffre et le symbole à la fin, et on obtient la famille
Motdepasse2026!, Bienvenue2026!, Entreprise2026!. Les outils d’attaque
connaissent parfaitement ces schémas et les testent en premier.
La règle a un second effet, plus dommageable encore : elle rend les mots de passe pénibles à retenir, donc les gens les notent. Sur un carnet, dans un fichier, sur une étiquette collée sous le clavier. La contrainte destinée à renforcer la sécurité finit par la dégrader.
Le changement périodique forcé souffre du même défaut. Obligé de changer tous
les trois mois, un collaborateur ne réinvente pas son mot de passe, il le fait
dériver. Fribourg2026-1 devient Fribourg2026-2. Un attaquant qui a obtenu
l’ancien devine le nouveau sans effort.
| Sujet | Ancienne règle | Recommandation actuelle |
|---|---|---|
| Longueur | 8 caractères | Le plus long possible, viser une phrase |
| Composition | Majuscule, chiffre, symbole imposés | Aucune règle imposée, liberté totale |
| Changement | Tous les 60 à 90 jours | Uniquement en cas de fuite ou de doute |
| Unicité | Rarement mentionnée | Point le plus important de tous |
| Vérification | Aucune | Contrôle contre les listes de mots de passe fuités |
Le vrai danger, c’est la réutilisation
Voici le point que la plupart des dirigeants sous-estiment. La force d’un mot de passe compte beaucoup moins que le nombre d’endroits où il est employé.
Le mécanisme est simple. Un site marchand quelconque se fait pirater et sa base d’identifiants se retrouve en circulation. Des programmes rejouent alors automatiquement chaque couple adresse et mot de passe sur des centaines de services : messageries professionnelles, banques en ligne, outils métier, accès distants. On appelle cela le bourrage d’identifiants. L’attaquant n’a rien cassé chez vous, il s’est simplement connecté.
La solidité de votre mot de passe professionnel dépend du site le moins bien protégé où vous l'avez saisi. Un forum, une boutique en ligne, un service abandonné depuis des années : si l'un d'eux fuite, votre messagerie d'entreprise tombe avec lui. L'unicité par service n'est pas un raffinement, c'est la mesure principale.
C’est souvent ainsi que commence une compromission de messagerie professionnelle, qui débouche à son tour sur des demandes de virement adressées à votre comptabilité. Pour savoir si vos adresses figurent déjà dans des fuites connues, utilisez notre vérificateur de mot de passe fuité. Le risque augmente encore lorsque ces identifiants sont saisis depuis un ordinateur personnel ou un réseau wifi public, une situation traitée dans notre article sur le télétravail et les appareils mobiles.
Un gestionnaire de mots de passe, est-ce trop risqué ?
Personne ne peut retenir quarante phrases de passe différentes. Un gestionnaire de mots de passe est un coffre chiffré qui les mémorise à votre place, les génère au hasard et les remplit automatiquement dans les formulaires. Vous ne retenez plus qu’un seul mot de passe : celui qui ouvre le coffre.
L’objection revient systématiquement, et elle est justifiée : mettre tous ses mots de passe au même endroit, n’est-ce pas créer un point de défaillance unique ? Techniquement, oui. Mais la comparaison honnête ne se fait pas avec une mémoire infaillible, elle se fait avec la situation réelle : trois mots de passe recyclés sur trente services, un tableur nommé « accès » sur un disque partagé, et des identifiants échangés par courriel.
Le gestionnaire concentre le risque, mais il le concentre dans un endroit conçu pour le supporter : contenu chiffré sur votre appareil, éditeur incapable de lire vos données, accès protégé par une seconde vérification. Trois précautions rendent ce choix raisonnable.
- Une phrase de passe principale longue, utilisée nulle part ailleurs.
- L’authentification à deux facteurs activée sur le coffre, sans exception.
- Une clé de récupération imprimée et rangée physiquement, hors du système.
Un remplissage automatique apporte d’ailleurs un bénéfice inattendu : le gestionnaire ne propose vos identifiants que sur le domaine exact auquel ils sont associés. Sur un site d’hameçonnage imitant votre banque, le champ reste vide. Ce silence est un signal d’alerte utile, comme l’explique notre article sur le phishing.
Comment gérer les mots de passe partagés d’une PME ?
Toute PME a ses comptes collectifs : l’accès au site internet, le compte du réseau social, le portail du fournisseur, la boîte info@. Ils circulent en général par message, se retrouvent dans un document partagé, et personne ne sait plus qui les connaît. Quand un collaborateur part, ils restent inchangés.
Trois étapes suffisent à assainir la situation.
Supprimer le partage quand c’est possible. Beaucoup de services proposent des comptes individuels avec des rôles et des droits distincts. C’est toujours préférable : chaque action est attribuable, et le départ d’une personne se traite en désactivant son accès, sans déranger les autres.
Partager par le coffre quand ce n’est pas possible. Les gestionnaires professionnels proposent des dossiers d’équipe. Le mot de passe est mis à disposition sans être révélé, l’accès s’accorde et se retire en un clic, et vous disposez de la liste des personnes concernées.
Traiter les départs comme un événement de sécurité. Le jour où quelqu’un quitte l’entreprise, ses accès individuels sont désactivés et les mots de passe partagés qu’il connaissait sont renouvelés. C’est aussi le moment où l’on découvre en général l’ampleur du problème. Le miroir de cette liste se joue à l’embauche : c’est le meilleur moment pour installer les bons réflexes, comme l’explique notre article sur l’arrivée d’un nouveau collaborateur.
Même parfait, un mot de passe peut être volé par hameçonnage. L'authentification à deux facteurs, qui demande une confirmation sur votre téléphone, bloque l'immense majorité des connexions frauduleuses. Activez-la en priorité sur la messagerie, la banque en ligne, les accès à distance et le gestionnaire lui-même. Ces quatre comptes commandent tous les autres.
Là où le travail dépasse ce qu’on fait seul
Choisir un gestionnaire, l’installer et former l’équipe est parfaitement à la portée d’une PME. Comptez une demi-journée, et le résultat écarte déjà la majorité des attaques automatisées. Ne vous privez pas de ce gain sous prétexte que le reste est imparfait.
La difficulté est ailleurs. Elle commence quand il faut reprendre l’existant. Combien de comptes votre entreprise possède-t-elle réellement ? Personne ne le sait exactement, et c’est normal. Il y a les services souscrits par un collaborateur parti depuis trois ans, les accès ouverts par un prestataire lors d’un projet terminé, les comptes techniques créés à l’installation d’un logiciel et jamais touchés depuis, les boîtes de messagerie secondaires, les accès aux portails administratifs.
Ce sont ces comptes oubliés qui posent problème, précisément parce qu’ils sont oubliés. Ils ne figurent dans aucune procédure, personne ne surveille leurs connexions, et ils conservent souvent des mots de passe anciens, faibles et réutilisés. Un gestionnaire déployé sur les vingt comptes dont on se souvient laisse intacts les quarante autres.
Dresser cet inventaire, déterminer qui accède à quoi, fermer ce qui ne sert plus et vérifier que les droits accordés correspondent aux fonctions réelles est un travail méthodique. Peu de PME le mènent à bout sans aide, non par négligence, mais parce qu’il demande de savoir où chercher. Les mesures décrites ici constituent un socle solide, elles ne remplacent pas cet examen de votre situation.
Pour situer votre niveau global, le check-up cyber consacre plusieurs questions aux accès. Les autres priorités sont regroupées dans les 10 mesures essentielles et dans le pilier Bonnes pratiques.