Gestionnaire de mots de passe en entreprise : le guide
Un gestionnaire de mots de passe stocke les identifiants d’une entreprise dans un coffre chiffré, accessible par un secret unique et un second facteur. Il remplace le tableur partagé et les mots de passe réutilisés d’un service à l’autre. Son déploiement tient en trois semaines dans une PME, à condition de traiter les comptes partagés en premier.
Le problème réel : la réutilisation, pas la complexité
La menace principale ne vient pas de mots de passe trop courts. Elle vient de leur réutilisation entre plusieurs services.
Le mécanisme est simple. Un prestataire subit une fuite de données, les identifiants circulent, un attaquant les rejoue automatiquement sur des dizaines d’autres services. Le compte de messagerie professionnelle tombe parce que le même mot de passe servait sur un forum inscrit six ans plus tôt.
Cette attaque, appelée bourrage d’identifiants, ne demande aucune compétence technique particulière. Elle explique une part importante des compromissions de comptes en entreprise, et aucune règle de complexité ne la contre : un mot de passe de vingt caractères réutilisé reste vulnérable dès qu’il fuit une seule fois.
Le gestionnaire de mots de passe attaque le problème à la racine, en rendant possible un secret différent par service sans effort de mémorisation.
Ce que dit la doctrine française
La CNIL a revu sa position en 2022 avec la délibération n° 2022-100 du 21 juillet, qui abroge le texte de 2017. Le changement de raisonnement mérite d’être compris.
L’ancienne approche imposait une longueur minimale et des catégories de caractères. La nouvelle raisonne en entropie, mesure de l’imprévisibilité du secret, avec une cible de 80 bits quand aucune mesure complémentaire n’accompagne le mot de passe.
Cette cible se traduit concrètement de deux façons :
- Douze caractères au minimum, mélangeant majuscules, minuscules, chiffres et caractères spéciaux
- Une phrase de passe composée de mots sans lien entre eux, plus longue mais nettement plus facile à retenir
L’entropie diminue dès que le secret devient prévisible. Un mot du dictionnaire suivi d’une année et d’un point d’exclamation coche toutes les cases de complexité tout en restant deviné en quelques secondes par un outil d’attaque moderne.
La CNIL admet des exigences allégées lorsque des mesures complémentaires existent : blocage après plusieurs échecs, détection des connexions inhabituelles, ou second facteur d’authentification. Notre article sur l’authentification multifacteur détaille cette dernière brique.
Les fonctions qui comptent vraiment
Le marché propose des dizaines d’outils aux fiches produit interchangeables. Quatre critères séparent réellement les offres.
Le chiffrement de bout en bout
Le contenu du coffre chiffré se verrouille sur le poste de l’utilisateur, avant tout envoi vers le serveur de l’éditeur. Cette architecture, dite à connaissance nulle, signifie que l’éditeur ne peut pas lire vos secrets, même sous contrainte judiciaire ou après un vol de sa base.
Cette caractéristique se vérifie dans la documentation technique, pas dans l’argumentaire commercial. Un éditeur capable de réinitialiser votre mot de passe maître et de vous rendre vos données ne pratique pas le chiffrement de bout en bout.
Le partage granulaire
Une PME partage des accès : compte bancaire professionnel, réseaux sociaux, portails fournisseurs, hébergeur. Le coffre doit permettre de créer des collections par service ou par projet, avec des droits distincts en lecture et en modification.
Le partage par simple envoi du secret dans une conversation reste la pratique la plus répandue, et la plus difficile à révoquer.
La journalisation des accès
Savoir qui a consulté quel secret, et quand, change la donne lors d’un incident. Cette traçabilité des accès figure aussi parmi les mesures attendues au titre de la sécurité des traitements dans le RGPD.
La récupération d’urgence
Que se passe-t-il si l’administrateur qui détient les clés quitte l’entreprise du jour au lendemain, ou se trouve hospitalisé ? Les outils sérieux proposent un mécanisme de récupération à plusieurs personnes, à préparer avant d’en avoir besoin.
Le déploiement, service par service
Une bascule générale imposée en une journée échoue presque toujours. La progression par lots donne de meilleurs résultats.
La première semaine traite les comptes partagés critiques : banque, messagerie, hébergement du site, outil de facturation, comptes administrateurs. Ces secrets changent à cette occasion, puisque leur ancienne valeur circule déjà par courriel ou par messagerie instantanée.
La deuxième semaine ouvre les coffres individuels, avec une session de prise en main de trente minutes par équipe. L’extension de navigateur et l’application mobile s’installent pendant cette session, pas après.
La troisième semaine traite les cas particuliers : comptes techniques utilisés par des scripts, accès prestataires, appareils partagés en atelier ou en boutique.
Trois décisions se prennent avant de commencer :
- Le sort du tableau existant, à supprimer une fois la migration vérifiée, jamais à conserver au cas où
- La politique de renouvellement, désormais déclenchée par un incident plutôt que par un calendrier fixe
- Le traitement des comptes personnels des salariés, autorisés ou non dans l’outil de l’entreprise
Les cinq erreurs qui annulent le bénéfice
Un déploiement réussi techniquement se vide de son intérêt si l’usage dérive. Cinq travers reviennent régulièrement.
Le mot de passe maître trop faible, souvent choisi le jour de l’installation dans la précipitation. Ce secret protège tous les autres : il mérite la phrase de passe la plus longue de l’entreprise.
L’absence de second facteur sur le coffre lui-même, alors que le second facteur est activé sur des services bien moins critiques.
L’export de secours enregistré en clair sur le bureau ou dans un dossier partagé, qui reconstitue le tableur d’avant avec un faux sentiment de sécurité.
Le partage d’un compte unique entre plusieurs personnes, qui détruit la traçabilité : l’outil enregistre un accès, sans savoir qui se trouvait derrière.
L’oubli du changement de secret lors d’un départ, enfin. Retirer un salarié du groupe ne modifie pas les mots de passe qu’il a déjà lus. Notre article sur les bonnes pratiques de cybersécurité replace ces gestes dans une routine plus large.
Hébergement, licences et budget réel
Deux modèles cohabitent sur le marché, avec des implications différentes pour une PME.
Le service en ligne facturé par utilisateur reste le choix majoritaire. L’éditeur héberge la base chiffrée, gère la disponibilité et les mises à jour. Le budget se calcule par tête et par mois, avec une marche tarifaire entre l’offre grand public et l’offre professionnelle qui apporte les groupes, la journalisation et la gestion des départs.
L’installation sur un serveur maîtrisé par l’entreprise séduit les structures soumises à des exigences contractuelles fortes. Elle transfère la charge de maintenance, de sauvegarde et de supervision aux équipes internes, ce qui suppose des compétences disponibles dans la durée.
Trois postes de coût échappent souvent au calcul initial :
- Le temps de migration des secrets existants, rarement automatisable au-delà d’un import brut
- L’accompagnement des utilisateurs les moins à l’aise, qui conditionne l’adoption réelle
- La revue annuelle des accès, à inscrire dans le plan de charge du responsable informatique
Le rapport bénéfice sur coût se juge face au scénario évité. Une messagerie professionnelle compromise mobilise plusieurs jours de travail, oblige à prévenir les correspondants et peut déclencher une notification à l’autorité de contrôle si des données personnelles sont concernées. Notre article sur la protection des données en entreprise rappelle ces obligations de notification.
Le choix se documente ensuite dans la politique de sécurité, avec la liste des outils autorisés. Un salarié qui installe son propre gestionnaire faute d’outil officiel crée une zone grise, hors de portée de toute revue d’accès.
Ce que le coffre ne protège pas
Un gestionnaire de mots de passe réduit une famille de risques, pas toutes. Trois angles morts subsistent.
L’hameçonnage garde son efficacité, avec une nuance favorable : l’extension de navigateur ne propose pas de remplissage automatique sur un domaine qu’elle ne reconnaît pas, ce qui constitue un signal d’alerte utile. Notre guide sur le phishing et les rançongiciels détaille les autres réflexes.
Le poste compromis par un logiciel espion reste vulnérable : un secret saisi ou affiché sur une machine infectée est lisible, quelle que soit la qualité du coffre.
Les fuites côté fournisseur, enfin, échappent totalement à votre contrôle. Le coffre limite alors les dégâts au seul service concerné, ce qui reste son apport principal.
La sécurité des accès s’inscrit dans une démarche plus large de gouvernance, abordée dans notre article sur la sécurité informatique et son budget.
Prochaine étape concrète : lister cette semaine les cinq comptes dont la compromission arrêterait l’activité, vérifier si leur mot de passe sert ailleurs, et commencer la migration par ceux-là.