Le carnet de mots de passe de votre entreprise est un problème

Dans beaucoup de TPE et PME françaises, les mots de passe vivent dans un carnet posé près de la caisse, sur un post-it collé à l’écran, ou dans un fichier Excel nommé « MDP.xlsx » rangé sur le serveur partagé. Personne n’a décidé que ce serait le système officiel : il s’est installé tout seul, parce qu’il fallait bien noter les accès quelque part et que tout le monde devait pouvoir les retrouver.

Ce système a une qualité : il fonctionne au quotidien. C’est précisément ce qui le rend dangereux. Tant que rien ne se passe, personne ne voit de raison d’en changer. Le jour où quelque chose se passe — un départ en mauvais termes, un ordinateur volé, une boîte mail compromise — il est trop tard pour improviser.

Il n’est pas nécessaire d’imaginer une attaque sophistiquée pour comprendre le risque. Les incidents les plus courants relèvent de situations parfaitement banales, que n’importe quelle entreprise peut reconnaître chez elle.

Premier scénario : le même mot de passe partout. La messagerie, la banque en ligne, le logiciel de facturation, le site fournisseur partagent le même sésame, souvent construit sur le nom de l’entreprise. Quand l’un de ces services subit une fuite de données — cela arrive régulièrement, y compris à de grands acteurs — ce mot de passe se retrouve dans des listes que des attaquants testent automatiquement sur des centaines d’autres services. Un seul maillon cède, toute la chaîne suit.

Deuxième scénario : le fichier Excel qui circule. Il est envoyé par mail « pour dépanner », copié sur une clé USB, synchronisé sur un ordinateur personnel. Chaque copie est une porte de plus, et vous ignorez combien il en existe.

Troisième scénario : le départ d’un salarié. Il connaissait les accès à la messagerie, aux réseaux sociaux, au back-office du site. Que le départ soit serein ou conflictuel, la question est la même : qu’est-ce qui a été changé après son départ ? Dans beaucoup d’entreprises, la réponse honnête est « rien », parce que changer vingt mots de passe notés dans un carnet représente une après-midi de travail que personne ne prend.

Un particulier peut, à la rigueur, se débrouiller avec quelques mots de passe bien choisis. Une entreprise, non, car elle doit résoudre un problème supplémentaire : plusieurs personnes doivent accéder aux mêmes comptes, et cette liste de personnes change avec le temps.

Le carnet et le fichier Excel répondent au partage de la pire des façons : tout le monde voit tout, pour toujours. Il n’y a ni périmètre — la personne qui gère les réseaux sociaux voit aussi les accès bancaires — ni réversibilité : une fois qu’un mot de passe a été lu, il est connu, et seul son changement effectif retire l’accès.

C’est ce double défaut, périmètre et réversibilité, qu’un gestionnaire de mots de passe d’équipe vient corriger. Pas d’abord la robustesse des mots de passe : l’organisation de leur partage.

Un gestionnaire de mots de passe d’équipe est un coffre-fort chiffré, accessible par chaque collaborateur avec son propre compte, et organisé en coffres partagés. Trois mécanismes font la différence avec le carnet.

Le marché compte plusieurs gestionnaires sérieux, et il n’existe pas de choix unique valable pour toutes les entreprises. Plutôt qu’une marque, retenez des critères. Un bon outil pour une TPE ou une PME doit proposer une offre « équipe » ou « business » — et non une simple version familiale détournée —, des coffres partagés avec des droits par personne ou par groupe, un journal des accès, et la double authentification pour ouvrir le coffre lui-même.

Vérifiez aussi trois points souvent négligés : la possibilité d’exporter vos données pour ne pas être prisonnier de l’outil, l’existence d’une procédure de récupération si l’administrateur perd son accès, et la qualité de l’application sur les appareils que votre équipe utilise vraiment — un outil pénible sur téléphone sera contourné, et le post-it reviendra.

Enfin, méfiez-vous du réflexe « le navigateur retient déjà mes mots de passe ». Il dépanne un individu, mais n’offre ni coffres partagés, ni révocation centralisée : il ne répond pas au problème d’entreprise décrit plus haut.

C’est l’objection la plus fréquente, et elle mérite une réponse honnête : oui, concentrer ses mots de passe crée un point sensible. Les gestionnaires sérieux le savent et sont conçus en conséquence : le contenu du coffre est chiffré sur votre appareil, avec une clé dérivée de votre mot de passe principal, que l’éditeur lui-même ne connaît pas. Même en cas d’intrusion chez l’éditeur, l’attaquant récupère des coffres chiffrés, pas vos mots de passe.

Il faut donc comparer les risques réels : d’un côté, un coffre chiffré protégé par un mot de passe principal robuste et une double authentification ; de l’autre, un fichier Excel lisible par quiconque met la main dessus. Le risque zéro n’existe dans aucun des deux cas, mais ils ne jouent pas dans la même catégorie.

La contrepartie à assumer : le mot de passe principal devient critique. Il doit être long, unique, et une procédure de secours doit exister — c’est le seul mot de passe qu’il reste à protéger sérieusement, au lieu de cinquante.

L’erreur classique consiste à imposer l’outil un lundi matin et à interdire le carnet le jour même. La transition qui fonctionne est progressive : commencez par les accès critiques — banque, messagerie, outils métier —, créez les coffres par équipe, puis migrez le reste au fil de l’eau, en renouvelant chaque mot de passe au moment de son entrée dans le coffre plutôt qu’en une seule journée épuisante.

Prévoyez un moment court pour former l’équipe : installer l’application, retrouver un accès, en créer un nouveau au bon endroit. C’est l’affaire d’une heure, et c’est elle qui décide si l’outil sera adopté ou contourné. Et formalisez deux règles simples : tout nouvel accès entre dans le coffre dès sa création, et tout départ déclenche la désactivation du compte puis le renouvellement des accès listés par l’outil.

Choisir l’outil, structurer les coffres, migrer les accès existants et brancher la routine des arrivées et des départs : rien de tout cela n’est hors de portée d’une TPE ou d’une PME, mais c’est le genre de chantier qui reste éternellement « à faire » quand personne n’en porte la responsabilité.

C’est un des sujets que nous traitons dans le cadre de notre offre d’infogérance : nous mettons en place le gestionnaire, nous organisons les coffres avec vous, et nous gérons les accès dans la durée, y compris lors des départs. Pour en savoir plus, rendez-vous sur omnipro-solutions.com/omnitech/infogerance.