Politique de mots de passe en entreprise : la méthode

Une politique de mots de passe tient en quatre décisions : un niveau de robustesse par type de compte, un coffre-fort d’équipe, un second facteur sur les accès critiques, une procédure de départ appliquée le jour même. Le reste, changement trimestriel en tête, consomme plus de temps qu’il ne réduit de risque.

Le sujet a quitté le rayon du confort. Le rapport d’activité 2025 de Cybermalveillance.gouv.fr recense plus de 500 000 victimes accompagnées, en hausse de 20 % sur un an, dont 6 % d’entreprises, très majoritairement des PME, un volume professionnel en progression de 73 %. Hameçonnage et piratage de compte arrivent en tête des menaces visant les professionnels. Derrière ces deux mots se trouve presque toujours un identifiant réutilisé, deviné ou récupéré dans une fuite ancienne.

Le seuil de robustesse ne se compte plus en caractères

La recommandation adoptée par la CNIL le 21 juillet 2022, qui abroge celle de 2017, a changé l’unité de mesure. Elle ne prescrit plus une longueur assortie d’une liste de types de caractères : elle fixe un niveau d’entropie, autrement dit la quantité de hasard contenue dans le secret. Le seuil de référence atteint 80 bits quand le mot de passe protège seul l’accès.

Ce déplacement change la conversation interne. La question cesse d’être « combien de caractères ? » pour devenir « qu’est-ce qui protège ce compte à côté du mot de passe ? ». Trois situations, trois exigences distinctes.

Une messagerie professionnelle hébergée chez un fournisseur qui limite les tentatives relève de la deuxième ligne. Une interface d’administration publiée sur Internet sans aucune temporisation relève de la première, et personne ne s’en aperçoit avant l’incident. La grille se lit donc à l’envers de l’habitude : inventoriez d’abord les protections réellement actives, la longueur exigée en découle.

Un troisième réflexe manque souvent au tableau : la façon dont les secrets sont conservés côté serveur. La CNIL exige un stockage par fonction cryptographique non réversible, avec sel ou clé, en citant des algorithmes conçus pour résister au calcul massif. Quand vous faites développer un espace client ou un extranet, ce hachage salé figure au cahier des charges, au même titre que le reste de la sécurité du poste de travail.

Longueur d’abord, caractères spéciaux ensuite

Le mot de passe complexe et court a fait son temps. Un secret de huit signes bourré de symboles se casse plus vite qu’une phrase de passe de quatre mots sans rapport entre eux, et se retient infiniment moins bien. L’ANSSI, dans son guide d’octobre 2021 consacré à l’authentification multifacteur et aux mots de passe, recommande justement les phrases de passe : plus longues, donc plus résistantes, et mémorisables sans effort.

La règle de composition héritée des années 2000 produit un effet pervers documenté. Contrainte d’insérer une majuscule, un chiffre et un symbole, une personne applique presque toujours la même recette : majuscule en tête, chiffre et point d’exclamation en fin. Les outils d’attaque connaissent ces motifs et les testent en premier. La complexité imposée déplace la prévisibilité, elle ne la supprime pas.

Trois exigences remplacent utilement l’ancienne liste de cases à cocher :

• Une longueur minimale élevée, sans obligation de type de caractères
• Un filtre contre les secrets déjà connus, issus de fuites publiques ou de dictionnaires
• Un refus des termes liés au contexte : nom de l’entreprise, du service, du logiciel, de la ville

Ce dernier point coûte peu et rend beaucoup. Un attaquant qui cible votre société commence par les mots qu’il lit sur votre site vitrine. Le nom commercial suivi de l’année en cours figure dans toutes les listes d’essai, avant même le premier mot du dictionnaire.

Le changement trimestriel a été abandonné

La consigne du renouvellement tous les trois mois reste appliquée dans beaucoup de PME, souvent parce qu’un ancien prestataire l’avait paramétrée. Les deux autorités françaises de référence l’ont pourtant retirée de leurs recommandations. La CNIL, dans sa délibération du 21 juillet 2022, ne demande plus de modification périodique pour les utilisateurs standards. L’ANSSI avait ouvert la voie l’année précédente.

La raison tient à l’observation du terrain. Contraint de changer quatre fois par an, un salarié ne réinvente pas : il incrémente. Le même mot de base traverse les trimestres avec un chiffre qui monte, ou glisse vers un pense-bête sous le clavier. La mesure censée renforcer la sécurité dégrade la qualité moyenne des secrets et alourdit le support technique.

Deux exceptions subsistent, à écrire noir sur blanc. Les comptes d’administration gardent un rythme de renouvellement, parce qu’une compromission y ouvre l’accès à tout le reste. Et n’importe quel compte change immédiatement dès qu’un doute apparaît : fuite annoncée par un fournisseur, poste perdu, message de connexion inhabituel. Le déclencheur devient l’événement, plus le calendrier.

Le coffre-fort d’équipe rend la politique applicable

Une exigence de longueur sans outil de stockage produit mécaniquement des post-it. Un gestionnaire de mots de passe résout le problème d’ergonomie qui fait échouer toutes les politiques trop ambitieuses : personne ne retient trente secrets longs et différents.

La version d’entreprise apporte quatre choses qu’un fichier chiffré partagé ne fournira jamais :

• L’attribution des secrets par groupe, avec des droits distincts en lecture et en modification
• La révocation immédiate d’un accès sans avoir à changer tous les mots de passe concernés
• Un journal des consultations, utile pour tracer qui détenait quoi au moment d’un incident
• Une procédure de récupération documentée, testée avant d’en avoir besoin

Ce dernier point mérite une répétition annuelle. Un coffre-fort dont la clé maîtresse repose sur une seule tête crée un point de rupture aussi grave que l’absence de sauvegarde des données. Prévoyez un dépositaire de secours, un mécanisme d’urgence, et vérifiez qu’il fonctionne une fois par an.

Les comptes génériques à faire disparaître

Presque toutes les petites structures traînent une poignée de comptes génériques : une adresse de facturation utilisée par trois personnes, un accès administrateur au site partagé entre le dirigeant et l’agence, un compte bancaire secondaire connu de deux salariés. Ces comptes rendent le journal d’audit illisible et la révocation impossible.

La bascule vers des accès nominatifs reste plus simple qu’elle n’en a l’air sur la majorité des services professionnels, qui facturent souvent au poste mais autorisent des rôles distincts. Là où le service n’offre qu’un seul identifiant, le compte vit dans le coffre-fort, partagé au groupe concerné, jamais recopié ailleurs. La même discipline s’applique aux outils collaboratifs de l’équipe, dont les droits d’accès méritent une revue au moins annuelle.

Où poser le second facteur en premier

L’authentification multifacteur ferme la porte que le mot de passe seul laisse entrouverte. Son intérêt se mesure à la valeur du compte protégé : le rapport DBIR 2025 de Verizon relève que 88 % des attaques visant les applications web reposaient sur des identifiants volés. Un secret dérobé perd l’essentiel de son utilité dès qu’un second facteur l’accompagne.

L’ordre de déploiement compte autant que le choix de la technologie. Commencez par les comptes qui commandent les autres.

Le choix du canal mérite attention. L’ANSSI déconseille le SMS pour recevoir un facteur d’authentification : un numéro se détourne, un message s’intercepte. Une application génératrice de codes fonctionne hors réseau. Une clé physique va plus loin en vérifiant l’adresse du site avant de répondre, ce qui neutralise le hameçonnage même quand la victime saisit son mot de passe sur une copie parfaite. Sur les accès d’administration du réseau de l’entreprise, cette résistance justifie seule l’investissement.

Prévoyez toujours les codes de secours au moment de l’activation, rangés dans le coffre-fort ou hors ligne. Un second facteur perdu sans plan de repli bloque le compte aussi efficacement qu’un attaquant.

Arrivées, départs, changements de poste

La politique la plus solide se démonte en une semaine si personne ne retire les accès des partants. Le sujet ne relève pas de la technique mais de la coordination entre la direction, les ressources humaines et la personne qui administre les outils.

Trois moments demandent une procédure écrite. À l’arrivée, les accès s’ouvrent selon le rôle, jamais par recopie du profil d’un collègue, méthode qui propage des droits obsolètes de génération en génération. Au changement de poste, les anciens accès se ferment le jour où les nouveaux s’ouvrent, sans période de cumul silencieux. Au départ, la fermeture intervient à l’heure du départ effectif, coffre-fort compris, avec rotation des secrets partagés que la personne connaissait.

L’enjeu se chiffre. Toujours selon Cybermalveillance.gouv.fr, 16 % des entreprises ont subi au moins un incident de sécurité en 2025, avec des conséquences concrètes : interruption d’activité dans 29 % des cas, vol de données dans 22 %, atteinte à l’image dans 15 %. Une interruption de quelques jours pèse lourd pour une structure de dix personnes.

Ce que votre politique de mots de passe doit tenir sur une page

Un document de quinze pages ne sera pas lu. Une page affichée dans l’espace partagé et remise à chaque arrivée produit un effet réel. Elle répond à six questions, sans jargon :

• Quelle longueur minimale, et pour quelles catégories de comptes
• Quel gestionnaire, où le récupérer, qui donne les accès
• Quels comptes exigent un second facteur, et lequel
• Que faire en cas de doute sur une compromission, et qui prévenir
• Qui ouvre et qui ferme les accès, dans quel délai
• Ce qui reste interdit : partage par messagerie, réutilisation entre vie professionnelle et vie personnelle

Cette page se relit une fois par an, en même temps que la revue des droits. Conservez-la dans le même circuit documentaire que vos autres procédures internes, avec une date et un responsable identifiés, comme n’importe quelle pièce issue de la dématérialisation de vos documents.

Les erreurs qui annulent l’effort

Cinq écueils reviennent d’une PME à l’autre :

• Transmettre un mot de passe par messagerie ou par message instantané, où il reste indexé pour des années
• Réutiliser un secret professionnel sur un service personnel, ce qui relie deux univers de fuites
• Laisser le compte d’administration servir d’usage quotidien, au lieu de le réserver aux opérations qui l’exigent
• Oublier les accès techniques hérités : boîtiers réseau, imprimantes, caméras, tous livrés avec un identifiant par défaut
• Considérer la politique comme appliquée sans jamais vérifier, alors que le rapport 2025 de Cybermalveillance.gouv.fr note que près de neuf PME sur dix se disent équipées quand une seule sur deux s’estime prête face à une attaque

Le dernier écueil résume les autres. L’écart entre le sentiment de protection et la réalité se comble par une vérification concrète, pas par un document supplémentaire.

Prochaine étape : listez les cinq comptes dont la perte arrêterait votre activité demain matin, activez un second facteur sur chacun cette semaine, puis rangez leurs secrets dans un coffre-fort partagé. Le reste de la politique se construira autour de ce socle, et non l’inverse.