Mettre en place un gestionnaire de mots de passe dans une PME

Demandez à vos équipes comment elles gèrent leurs mots de passe. Les réponses honnêtes sont presque toujours les mêmes : le même mot de passe partout, ou presque ; un fichier partagé pour les comptes communs ; des post-it ; des mots de passe envoyés par e-mail au nouvel arrivant. Personne n’est fier de ces habitudes, mais sans outil, il n’y a pas d’alternative praticable.

Un gestionnaire de mots de passe est cette alternative. C’est l’une des mesures de sécurité les plus efficaces au regard de son coût, avec l’authentification multifacteur, et l’une des plus faciles à faire adopter, parce qu’elle simplifie la vie au lieu de la compliquer.

Pourquoi c’est urgent

Les fuites de données sont quotidiennes : un site marchand, un forum, un service en ligne se font voler leur base de comptes, et les mots de passe qui y figurent se retrouvent dans des listes que les attaquants testent automatiquement sur d’autres services. Si le mot de passe de la boîte mail professionnelle est le même que celui d’un site compromis il y a trois ans, la messagerie est ouverte.

Une messagerie ouverte, c’est l’accès aux documents, aux contacts, et la possibilité d’envoyer des factures avec un faux RIB au nom de l’entreprise. Nous avons décrit cette chaîne dans notre revue de Microsoft 365.

Un gestionnaire de mots de passe casse la chaîne : chaque service a son propre mot de passe, long et aléatoire, que personne n’a besoin de retenir.

Ce qu’un gestionnaire fait

• Il génère des mots de passe longs et aléatoires, différents pour chaque service.
• Il les stocke dans un coffre chiffré, accessible avec un seul mot de passe principal.
• Il les remplit automatiquement dans le navigateur et sur le téléphone, ce qui évite aussi de les saisir sur un site frauduleux imitant le vrai.
• En version entreprise, il partage des coffres par équipe, et permet à un administrateur de gérer les accès sans connaître les mots de passe.
• Il signale les mots de passe faibles, réutilisés ou présents dans des fuites connues.

Choisir une offre entreprise

La version gratuite pour particuliers ne suffit pas : il vous faut le partage par équipe et l’administration. Les critères qui comptent :

• Coffres partagés par service ou par projet, avec des droits différenciés (lecture, modification).
• Administration : création et suppression des comptes, récupération d’accès si un salarié oublie son mot de passe principal, journal des accès.
• Compatibilité avec vos navigateurs, Windows et Mac, iPhone et Android.
• Authentification forte sur le mot de passe principal.
• Hébergement des données : en Europe de préférence, ou sur vos propres serveurs pour les solutions qui le permettent.
• Transparence : un éditeur qui publie des audits de sécurité, voire son code (certains gestionnaires sont open source).
• Prix par utilisateur et par mois, modeste au regard de ce qu’il protège.

Les offres connues du marché se valent sur l’essentiel ; le choix se fait sur l’hébergement, le prix et l’ergonomie, à tester sur quelques personnes.

Déployer en quatre étapes

1. Les comptes partagés d’abord. Boîte contact, compte sur le site du fournisseur d’électricité, accès à la banque en ligne, réseaux sociaux de l’entreprise : ces mots de passe circulent aujourd’hui par e-mail ou dans un fichier. Mettez-les dans un coffre partagé, changez-les, et supprimez le fichier. C’est un gain immédiat et visible.

2. Une équipe pilote. Cinq ou dix personnes, volontaires, pendant deux semaines. Elles installent l’extension et l’application, importent leurs mots de passe existants, et remontent ce qui gêne. Vous ajusterez la configuration avant d’élargir.

3. Le déploiement par équipe. Une démonstration de vingt minutes par équipe, avec installation en direct, vaut mieux qu’une note de service. Montrez le remplissage automatique sur le téléphone : c’est ce qui convainc.

4. Le ménage. Une fois l’outil en place, demandez à chacun de remplacer progressivement ses mots de passe réutilisés, en commençant par ceux que l’outil signale comme faibles ou compromis. Fixez un objectif : plus aucun mot de passe réutilisé sur les services critiques d’ici trois mois.

Les règles qui vont avec

• Le mot de passe principal est long (une phrase de plusieurs mots), unique, jamais noté ni partagé, et protégé par une authentification forte.
• Les mots de passe des comptes partagés sont changés au départ de toute personne qui y avait accès ; l’outil rend l’opération simple.
• Les accès au gestionnaire sont retirés le jour du départ, dans la procédure de sortie, avec la messagerie et les autres outils.
• Aucun mot de passe ne transite plus par e-mail ni messagerie instantanée ; on partage un accès dans le coffre.

Ces règles trouvent leur place dans la charte informatique, aux côtés de celles que nous avons proposées pour la charte d’usage de l’IA.

Ce que cela change

Au bout de quelques mois, les équipes ne reviennent pas en arrière : plus de mot de passe oublié, plus de « tu peux me donner le code de… », plus d’inquiétude au départ d’un collègue. Et l’entreprise a fermé l’une des principales portes d’entrée des attaques, pour un coût de quelques euros par personne et par mois.

Le gestionnaire de mots de passe fait partie des mesures que nous passons en revue avec les dirigeants qui veulent sécuriser leur entreprise sans projet lourd, avec l’authentification forte, la sauvegarde testée et la sensibilisation au phishing. Parlons-en.