Gestion des mots de passe

Pourquoi la gestion des mots de passe est un vrai enjeu

Une grande part des intrusions informatiques n’exploite pas une faille sophistiquée. Elles réutilisent un mot de passe faible, deviné ou volé ailleurs. C’est le point aveugle de la sécurité : le maillon fragile n’est pas la technologie, c’est l’habitude.

Le mécanisme est connu. Un service se fait pirater, une liste d’identifiants circule, et les attaquants testent ces couples e-mail / mot de passe sur d’autres sites. Si le même mot de passe sert partout, une seule fuite ouvre l’ensemble des comptes. On appelle cela le bourrage d’identifiants (credential stuffing), et il fonctionne parce que la réutilisation reste répandue.

La gestion des mots de passe ne consiste donc pas à multiplier les règles, mais à réduire ce risque précis. Deux principes en couvrent l’essentiel : chaque compte a un mot de passe différent, et les comptes sensibles disposent d’une seconde barrière. Le reste en découle.

Ce qui fait un bon mot de passe aujourd’hui

L’idée reçue la plus tenace concerne la complexité. Pendant des années, on a imposé des majuscules, des chiffres et des caractères spéciaux. Le résultat a surtout produit des mots de passe difficiles à retenir et faciles à deviner, du type « Motdepasse2024 ! ». Ce qui compte réellement, c’est la longueur et l’unicité.

Un mot de passe long résiste mieux, car le nombre de combinaisons à tester croît de façon exponentielle avec chaque caractère. D’où l’intérêt de la phrase de passe : quatre ou cinq mots sans lien logique, faciles à mémoriser pour un humain, très coûteux à casser pour une machine. « girafe-cactus-vélo-lampe » vaut mieux qu’un « P@ss1 » réputé complexe.

L’unicité, elle, est non négociable. Un mot de passe long mais réutilisé partout reste vulnérable à la première fuite. C’est précisément là qu’un outil devient nécessaire : mémoriser des dizaines de mots de passe uniques et longs dépasse les capacités de n’importe qui.

Le gestionnaire de mots de passe

à quoi il sert vraiment

Un gestionnaire de mots de passe est un coffre-fort numérique chiffré. On y accède avec un seul mot de passe maître, et lui seul est à retenir. L’outil génère des mots de passe uniques et longs pour chaque service, les stocke de façon chiffrée, et les remplit automatiquement au moment de la connexion.

Le bénéfice est double. La sécurité progresse, puisque chaque compte devient distinct et robuste sans effort de mémoire. Et l’usage se simplifie, ce qui compte : une mesure de sécurité contraignante finit par être contournée. Un gestionnaire lève ce compromis.

Il faut en connaître les limites. Le mot de passe maître devient le point unique de défaillance : il doit être long, unique, et idéalement protégé par une double authentification. Et aucun gestionnaire ne protège d’un appareil déjà compromis. L’outil réduit le risque, il ne l’annule pas.

La double authentification, le vrai filet de sécurité

L’authentification à deux facteurs (2FA, ou MFA pour plusieurs facteurs) ajoute une seconde preuve d’identité en plus du mot de passe. Même volé, celui-ci ne suffit plus : il manque le deuxième facteur, généralement détenu physiquement par l’utilisateur. Tous les seconds facteurs ne se valent pas, comme le résume la comparaison ci-dessous.

Le principe reste le même quel que soit le moyen : deux barrières indépendantes valent mieux qu’une. Sur les comptes qui comptent — messagerie principale, banque, outils professionnels — l’activer change réellement le niveau de protection.

Gérer les mots de passe en entreprise

En entreprise, le problème change d’échelle. Il ne s’agit plus seulement de comptes personnels, mais d’accès partagés, de comptes à privilèges et de collaborateurs qui arrivent et partent. La rigueur individuelle ne suffit plus : il faut une organisation.

Le partage de mots de passe est un cas fréquent et mal traité. Envoyer un identifiant par e-mail ou messagerie instantanée laisse une trace durable et incontrôlée. Prenons un cas courant : un prestataire reçoit par message l’accès à un outil, le contrat se termine, et l’accès reste ouvert des mois, oublié dans une conversation. Un gestionnaire d’équipe évite cela : il permet de partager un accès sans révéler le mot de passe en clair et de le révoquer d’un geste. C’est aussi ce qui règle la question des départs : quand un collaborateur quitte l’entreprise, ses accès doivent être coupés immédiatement.

Les comptes à privilèges — administration, serveurs, outils critiques — méritent un traitement à part : accès restreint aux personnes qui en ont besoin, double authentification systématique, et journalisation des connexions. Une politique de mots de passe écrite, connue et appliquée vaut mieux qu’une somme de bonnes intentions individuelles. L’ANSSI publie sur ce point des recommandations qui font référence, notamment sur la longueur minimale et le stockage sécurisé.

Les erreurs les plus courantes

Trois erreurs reviennent presque toujours. La première, la plus grave, est la réutilisation d’un même mot de passe sur plusieurs services : elle transforme chaque fuite en risque généralisé.

La deuxième est de noter ses mots de passe en clair : pense-bête sur l’écran, fichier texte, carnet accessible. Le gestionnaire existe précisément pour éviter cela. La troisième, plus surprenante, est la rotation systématique. Imposer un changement de mot de passe tous les mois pousse les utilisateurs à de petites variations prévisibles et n’apporte rien en l’absence de compromission. Les recommandations actuelles y ont renoncé : on ne change un mot de passe que s’il y a une raison de le faire, comme une fuite avérée.

À l’inverse, les réflexes utiles tiennent en peu de mots : un mot de passe unique et long par compte, un gestionnaire pour les retenir, une double authentification sur les comptes sensibles. Le reste relève de l’ajustement, pas du principe.