Gestionnaire de mots de passe : choisir et déployer le bon outil

Une TPE utilise vite des dizaines de comptes : messagerie, banque, facturation, réseaux sociaux, fournisseurs et outils métier. Mémoriser un secret différent pour chacun devient irréaliste ; réutiliser le même mot de passe transforme alors une fuite isolée en porte d’entrée vers toute l’entreprise. Un gestionnaire de mots de passe crée un coffre chiffré, génère des secrets uniques et permet de partager un accès sans envoyer sa valeur en clair. Encore faut-il choisir un modèle adapté et préparer la récupération.

1. Traitez d’abord la réutilisation des mots de passe

Le principal bénéfice d’un gestionnaire n’est pas de gagner quelques secondes à la connexion. Il permet d’utiliser un secret long et différent pour chaque service sans le retenir. Lorsqu’un fournisseur subit une fuite, un mot de passe réutilisé peut être essayé automatiquement sur votre messagerie, votre espace bancaire ou votre logiciel de facturation. La messagerie est particulièrement sensible, car elle reçoit souvent les liens de réinitialisation des autres comptes.

Faites un inventaire des accès selon leur impact : comptes capables de réinitialiser les autres, comptes financiers, données clients, communication publique, production et fournisseurs. Identifiez le propriétaire, les utilisateurs, le MFA et la méthode de récupération. Ne collectez pas les mots de passe actuels dans un tableur pour réaliser l’inventaire. Notez uniquement le service, le responsable et l’état de sécurisation.

Ce guide complète les contrôles prioritaires de cybersécurité. Cette page se concentre sur le coffre, le partage et le cycle de vie des accès ; la stratégie globale inclut aussi mises à jour, sauvegardes, droits et réponse aux incidents.

2. Comparez les outils sur huit critères vérifiables

Évaluez le chiffrement et le modèle de sécurité documenté, la disponibilité sur vos appareils, l’extension de navigateur, la génération de mots de passe, le partage par groupes, le journal d’activité, l’export et la récupération. Vérifiez aussi la localisation de l’assistance, les conditions contractuelles et le devenir des données en cas de résiliation. Un prix bas ne compense pas une récupération impossible ou un export inutilisable.

Ne choisissez pas uniquement à partir d’un classement commercial. L’outil doit correspondre à vos systèmes, à la taille de l’équipe et à la sensibilité des comptes. Un indépendant peut privilégier un coffre individuel avec une procédure d’urgence. Une équipe doit pouvoir attribuer, révoquer et auditer les accès sans transmettre un secret commun.

3. Protégez la clé du coffre sans créer un point de blocage

Le mot de passe principal doit être unique, long et mémorisable sous forme de phrase secrète. Ne le réutilisez nulle part, ne l’envoyez pas par courriel et ne le stockez pas dans le coffre qu’il ouvre. Activez le MFA avec une méthode adaptée au niveau de risque. Conservez les codes de récupération dans un emplacement distinct, protégé et accessible selon une procédure autorisée.

Prévoyez le cas où la personne principale est absente. La récupération ne doit pas dépendre d’un seul téléphone perdu, mais elle ne doit pas permettre à n’importe qui de prendre le contrôle. Définissez qui peut déclencher la procédure, quelles vérifications sont exigées et comment l’action est tracée. Testez-la avec un compte pilote avant de migrer les accès les plus critiques.

4. Migrez par vagues et changez les secrets faibles

Commencez par trois catégories : messagerie et identité, finance et administration, puis outils contenant des données clients. Lors de chaque première connexion, enregistrez l’adresse exacte du service, générez un nouveau mot de passe et vérifiez le MFA. Supprimez les anciennes copies dans les notes, navigateurs partagés et documents. Ne migrez pas cinquante comptes en une heure : vous risqueriez de perdre la trace d’un changement ou d’un propriétaire.

1. Créer les comptes administrateurs nominatifs.
2. Tester la récupération et l’export.
3. Migrer cinq services à faible risque.
4. Former les utilisateurs à reconnaître le bon domaine.
5. Migrer la messagerie et les comptes critiques.
6. Retirer les anciennes copies non sécurisées.
7. Contrôler les accès après une semaine.

Les imports automatiques depuis un navigateur peuvent accélérer la migration, mais ils transportent aussi des doublons et d’anciens secrets. Nettoyez les entrées, nommez clairement les comptes et associez chaque accès à un propriétaire. Pour protéger les données derrière ces comptes, reliez ce chantier à votre guide de protection des données clients.

5. Partagez un accès sans partager le mot de passe en clair

Créez des collections par fonction : comptabilité, communication, production ou administration. Attribuez les droits au groupe et non personne par personne lorsque l’outil le permet. Un collaborateur doit voir seulement les accès nécessaires à son travail. Évitez le coffre unique visible de toute l’équipe, qui rend les retraits difficiles et augmente l’impact d’une erreur.

Lorsque plusieurs personnes utilisent un service, préférez des comptes nominatifs si le fournisseur les propose. Le gestionnaire ne doit pas servir à contourner une licence ou à rendre les actions intraçables. Si un identifiant commun est inévitable, limitez le groupe, activez les journaux disponibles et changez le secret après un départ ou un doute. Une procédure de préparation des arrivées doit inclure l’attribution de ces groupes.

6. Ajoutez le MFA aux comptes qui ouvrent les autres

Un gestionnaire ne remplace pas l’authentification multifacteur. Activez-la d’abord sur le coffre, la messagerie, les administrateurs cloud, les comptes financiers et les réseaux sociaux. Une application d’authentification ou une clé physique résiste généralement mieux à certaines attaques qu’un code SMS, mais le choix dépend des options du service et de votre capacité de récupération.

Évitez de conserver le mot de passe et son unique second facteur sur un seul appareil sans solution de secours. Documentez l’emplacement des codes de récupération et le processus de remplacement d’un téléphone. Ne multipliez pas les facteurs sans former les utilisateurs : face à une demande inattendue, ils doivent savoir refuser, vérifier le domaine et contacter le référent.

7. Fermez les accès le jour d’un départ ou d’un changement de rôle

Une checklist de départ doit désactiver les comptes nominatifs, retirer la personne des groupes partagés, récupérer les équipements et changer les secrets communs auxquels elle avait accès. Transférez la propriété des documents et automatismes avant de supprimer un compte. Notez l’heure, l’opérateur et le résultat du contrôle.

Appliquez la même discipline aux prestataires temporaires. Donnez un accès limité dans le temps, avec une finalité précise, puis révisez-le à la date prévue. Un audit trimestriel des utilisateurs, groupes et administrateurs suffit souvent à repérer les accès oubliés. Les droits doivent suivre la fonction réelle, pas l’ancienneté ou la confiance informelle.

8. Mesurez l’adoption et la capacité de récupération

Suivez quelques indicateurs compréhensibles : part des comptes critiques enregistrés, part protégée par MFA, nombre de secrets réutilisés détectés, comptes sans propriétaire et date du dernier test de récupération. Ne transformez pas le journal d’activité en surveillance permanente des salariés. Utilisez-le pour détecter une anomalie, prouver une révocation ou améliorer la procédure.

Une fois par semestre, simulez la perte du téléphone principal et le départ d’un administrateur. Vérifiez que l’entreprise peut récupérer ses accès sans contourner la sécurité. Exportez selon la procédure prévue, contrôlez que le fichier est exploitable, puis détruisez la copie de test de manière adaptée. Le résultat attendu est double : aucun mot de passe critique partagé en clair et aucune activité essentielle bloquée par une seule personne.

Sources officielles et primaires : Cybermalveillance.gouv.fr — créer et gérer des mots de passe robustes ; CNIL — recommandations relatives aux mots de passe ; CNIL — utiliser l’authentification multifacteur. Consultées le 2 août 2026. Les exemples et méthodes doivent être adaptés à votre situation, à vos contrats et aux règles à jour.

En résumé

Un gestionnaire de mots de passe utile à une TPE génère des secrets uniques, organise les partages et permet de révoquer un accès sans envoyer sa valeur. Le choix doit couvrir chiffrement, MFA, récupération, export et administration. Une migration progressive, des comptes nominatifs et des tests réguliers rendent le dispositif réellement utilisable.