La gestion des mots de passe ne fait l’objet d’aucune politique écrite dans la majorité des PME, alors qu’elle conditionne l’accès à la messagerie, aux comptes bancaires et aux dossiers clients. Un identifiant réutilisé sur plusieurs services suffit à transformer une fuite mineure en incident majeur. La CNIL situe la compromission d’identifiants parmi les causes les plus fréquentes des violations de données qui lui sont signalées.
En bref
Une gestion des mots de passe fiable repose sur trois règles : un identifiant unique par service, un coffre-fort numérique pour les centraliser, et l’authentification multifacteur sur les comptes sensibles (messagerie, banque, outils métier). Sans ces règles, un seul mot de passe volé donne accès à la quasi-totalité du système d’information d’une PME.
La CNIL et l’ANSSI recommandent d’abandonner le changement de mot de passe imposé sans motif et de privilégier un gestionnaire de mots de passe couplé à une authentification à plusieurs facteurs sur les accès critiques.
L’angle mort numéro un des audits de sécurité en PME
Dans la plupart des PME, les identifiants circulent par carnet partagé, fichier tableur ou post-it collé sur l’écran. Cette absence de méthode n’est pas un oubli isolé : elle traverse les équipes commerciales, comptables et techniques de la même manière, quel que soit l’effectif. Un audit de sécurité relève presque systématiquement cette lacune avant même d’examiner les pare-feux ou les sauvegardes.
Le sujet reste sous-estimé parce qu’il paraît secondaire face aux ransomwares ou au phishing. Ces deux menaces s’appuient pourtant très souvent sur un identifiant faible ou réutilisé pour prendre pied dans le système d’information. Un point d’entrée mal protégé rend inutile le reste des mesures de sécurité, aussi solides soient-elles par ailleurs.
La réutilisation des identifiants, l’erreur qui coûte le plus cher
La même combinaison identifiant-mot de passe circule fréquemment entre la messagerie professionnelle, un outil SaaS grand public et parfois un compte personnel. Dès qu’un de ces trois services subit une fuite, les attaquants testent automatiquement le même couple sur des dizaines d’autres plateformes : cette technique, connue sous le nom de credential stuffing, ne nécessite aucune compétence technique avancée côté attaquant.
Deux autres pratiques aggravent le risque : des identifiants trop courts ou prévisibles (nom de l’entreprise suivi d’une année), et le partage d’un même compte administrateur entre plusieurs salariés sans traçabilité. Dans ce second cas, il devient impossible de savoir qui a modifié quoi en cas d’incident, ce qui complique aussi bien l’investigation que la déclaration réglementaire si des données personnelles sont concernées.
Ce que recommandent la CNIL et l’ANSSI
La CNIL a publié en 2022 une recommandation fondée sur la notion d’entropie plutôt que sur une longueur imposée arbitrairement : elle distingue trois niveaux d’exigence selon le contexte d’usage du compte. L’ANSSI, de son côté, recommande d’adapter la robustesse d’un identifiant à la sensibilité du service concerné et de privilégier un coffre-fort pour les gérer sans erreur humaine.
| Contexte du compte | Exigence recommandée | Source |
|---|---|---|
| Compte simple, sans donnée sensible | Entropie minimale de 80 bits (mot de passe long ou phrase de passe) | CNIL |
| Compte avec restriction d’accès (messagerie, ERP) | Entropie minimale de 50 bits, verrouillage après essais échoués | CNIL |
| Accès critique (banque, administrateur système) | Authentification multifacteur avec facteur de possession | ANSSI |
| Ensemble des comptes professionnels | Un identifiant unique par service, stocké dans un coffre-fort | ANSSI |
Les deux autorités convergent sur un point souvent ignoré en PME : imposer un renouvellement périodique sans raison précise pousse les utilisateurs à choisir des variantes prévisibles, ce qui affaiblit la sécurité au lieu de la renforcer. Un changement ne se justifie qu’en cas de suspicion de compromission.
Note terrain Lead4you
Sur les audits techniques que nous menons avant un accompagnement conseil IT, le compte administrateur du site web ou du CRM est presque toujours partagé entre plusieurs personnes, sans rotation ni journal des connexions. Quand une personne quitte l’entreprise, ce compte reste actif des mois, parfois des années. La correction la moins coûteuse n’est pas l’achat d’un nouvel outil : c’est la création d’un compte nominatif par utilisateur et la révocation immédiate à chaque départ, deux actions qui prennent moins d’une heure une fois le coffre-fort en place.
Mettre en place une gestion des mots de passe fiable en 5 étapes
Structurer cette pratique ne demande pas un projet informatique de plusieurs mois. Cinq actions concrètes suffisent à réduire l’essentiel du risque, quel que soit l’effectif de l’équipe.
- Cartographier les accès. Lister tous les comptes utilisés par l’entreprise (messagerie, banque, CRM, hébergement, réseaux sociaux) et identifier qui y a accès aujourd’hui.
- Déployer un coffre-fort numérique. Centraliser les identifiants dans un gestionnaire dédié, plutôt que dans un fichier partagé ou un navigateur non protégé par un mot de passe maître.
- Activer l’authentification multifacteur. La rendre obligatoire sur les comptes à privilège élevé : messagerie de direction, banque en ligne, hébergement, administration du site.
- Nominaliser les comptes partagés. Remplacer les identifiants génériques par des comptes individuels traçables, avec des droits ajustés au poste de chacun.
- Formaliser la procédure de départ. Prévoir la révocation des accès dès la fin d’un contrat, avant même le dernier jour de présence si le poste le justifie.
Checklist rapide
- Un identifiant unique par service, jamais réutilisé ailleurs
- Un coffre-fort de mots de passe déployé sur les postes de l’équipe
- L’authentification multifacteur active sur les comptes à privilège élevé
- Aucun compte administrateur partagé sans traçabilité
- Une procédure écrite de révocation des accès au départ d’un salarié
- Pas de renouvellement imposé sans motif de compromission
Ce que coûte réellement un identifiant compromis
Selon la CNIL, la compromission d’identifiants figure parmi les causes majeures des violations de données notifiées en France depuis 2021. Le coût ne se limite pas à l’incident technique : il inclut le temps de remédiation, la notification éventuelle à la CNIL en cas de données personnelles concernées, et l’impact sur la relation client si l’incident devient visible. Ces conséquences dépassent largement le prix d’un coffre-fort professionnel, dont les offres se comptent en euros par utilisateur et par mois.
Un point mérite d’être précisé pour les cabinets de santé qui utilisent des logiciels métier comme Cabilio : la protection des accès administrateur et des postes de secrétariat relève ici strictement de l’organisation informatique, pas d’un enjeu médical. Restreindre qui peut se connecter, avec quel niveau de droit, fait partie des bases d’une conformité opérationnelle sereine.
Demander un diagnostic technique de vos accès
À lire ensuite
Sources et repères utiles
FAQ
Qu’est-ce qu’une bonne gestion des mots de passe pour une PME ?
C’est une organisation où chaque service utilise un identifiant unique, centralisé dans un coffre-fort numérique, avec l’authentification multifacteur activée sur les comptes sensibles. Elle inclut aussi une procédure claire de révocation des accès au départ d’un salarié.
Faut-il encore imposer un changement de mot de passe régulier ?
Non, sauf en cas de suspicion de compromission. La CNIL et l’ANSSI déconseillent le renouvellement automatique sans motif : il pousse les utilisateurs vers des variantes prévisibles qui affaiblissent la sécurité réelle des comptes.
Un gestionnaire de mots de passe gratuit suffit-il pour une PME ?
Les versions gratuites conviennent à un usage individuel, mais elles manquent souvent de fonctions de partage sécurisé, d’audit des accès et de gestion des départs d’équipe. Les offres professionnelles, facturées par utilisateur, couvrent ces besoins pour un coût limité.
Comment savoir si des identifiants de l’entreprise ont déjà fuité ?
Un audit technique permet de vérifier si des adresses professionnelles apparaissent dans des bases de données compromises connues, et d’identifier les comptes à risque avant qu’un incident ne survienne.
L’authentification multifacteur ralentit-elle le travail des équipes ?
L’ajout d’un second facteur prend quelques secondes à la connexion, une fois l’appareil enregistré. Ce délai reste négligeable comparé au temps de remédiation nécessaire après une compromission de compte.