Comment déployer un gestionnaire de mots de passe en entreprise en 5 étapes

Douze caractères, une majuscule, un chiffre, un point d’exclamation : voilà le mot de passe qui rassure tout le monde en réunion. Puis quelqu’un demande sur combien de services exactement celui-là est utilisé, et le silence s’installe. C’est là que le sujet devient intéressant, parce que la faiblesse d’une PME n’est presque jamais la complexité de ses mots de passe. C’est le nombre de fois où le même a été recyclé, et le nombre de fuites dans lesquelles il traîne déjà.

Ce tutoriel décrit la mise en place d’un gestionnaire de mots de passe dans une entreprise, en cinq étapes : mesurer ce que valent les mots de passe actuellement en circulation, vérifier ceux qui ont déjà fuité, partir du gestionnaire déjà présent sur les postes en connaissant sa limite, arbitrer entre coffre local et service en ligne, puis comprendre ce qui protège réellement le coffre avant d’y déposer les accès de l’entreprise. À la fin, on sait quoi installer, sur quels critères, et quelles règles internes doivent accompagner l’outil.

Étape 1 : mesurer ce que valent les mots de passe en circulation

Première surprise quand on ouvre le sujet dans une PME : le niveau réel est plus bas que ce que tout le monde imagine. Le mot de passe le plus utilisé reste « 123456 ». En entreprise, c’est « password ». Et en France, « mot de passe » figure aussi en bonne place, aux côtés de son équivalent anglais. Avant de choisir un outil, il faut donc établir un état des lieux honnête.

1. Listez les comptes réellement utilisés au quotidien : messagerie, banque, hébergeur, nom de domaine, outil de facturation, CRM, réseaux sociaux, accès fournisseurs.
2. Pour chacun, notez deux informations : la longueur du mot de passe et le fait qu’il serve, ou non, ailleurs.
3. Situez chaque mot de passe dans le tableau ci-dessous, en lisant la colonne qui correspond à son alphabet réel, et non à celui que vous croyez utiliser.
4. Marquez d’office comme « à changer » tout mot de passe de moins de douze caractères, ainsi que tout mot de passe partagé entre deux services.

La lecture du tableau règle un vieux débat interne. Six caractères mêlant chiffres, majuscules, minuscules et symboles, ce qui correspond à la politique de beaucoup d’entreprises, tiennent 12 heures. Les mêmes ingrédients sur douze caractères demandent 164 millions d’années. Ce n’est pas le caractère spécial qui fait la différence, c’est la longueur. Les valeurs correspondent à une attaque menée avec douze cartes graphiques RTX 4090 sur des empreintes bcrypt, d’après le tableau publié par Hive Systems : un ordre de grandeur, pas une garantie, et ce matériel ne fera que progresser.

Un dernier point mérite d’être posé dès cette étape : les attaquants n’ont pas toujours besoin de casser quoi que ce soit. L’ingénierie sociale coûte moins cher. Un sondage qui promet de faire gagner quelque chose, un appel au service client en se faisant passer pour vous, et l’accès au compte est recréé pour quelqu’un d’autre. Des comptes très en vue, tenus par des gens dont la technique est le métier, ont été perdus exactement de cette manière : une fois la main sur les SMS d’un téléphone, il suffit de demander un code de vérification pour se connecter. Les failles exploitées sont humaines avant d’être techniques, ce qui rejoint directement notre méthode pour reconnaître un email de phishing.

Étape 2 : vérifier ce qui a déjà fuité

Toute l’étape précédente s’effondre dans un cas précis : si le mot de passe figure déjà dans une base de données ayant fuité. Là, le temps de cassage devient immédiat, quel que soit le nombre de caractères, quels que soient les symboles. Et le danger ne vient pas seulement d’attaquants qui viseraient votre entreprise : il vient aussi de plateformes mal sécurisées, chez qui vous aviez simplement un compte.

1. Rendez-vous sur haveibeenpwned.com, un service réputé et sécurisé, et saisissez les adresses professionnelles de l’entreprise, en commençant par les boîtes partagées du type contact ou facturation.
2. Lisez la liste des fuites remontées pour chaque adresse : elle indique dans quelles bases le couple adresse et mot de passe a circulé.
3. Passez ensuite sur la rubrique Pwned Passwords, qui teste un mot de passe seul, sans l’associer à une adresse.
4. Traitez le résultat sans négociation : tout mot de passe qui remonte est à changer partout où il a servi, et non uniquement sur le service concerné par la fuite.

La capture ci-dessous montre le verdict typique. Le mot de passe testé apparaît 99 219 fois dans des fuites connues. Il est peut-être long, il contient peut-être des symboles : cela n’a plus aucune importance, il figure dans les listes que les attaques automatisées essaient en priorité. C’est aussi ce qui rend la réutilisation si coûteuse, puisqu’une seule fuite ouvre alors autant de portes que de services concernés. Pour aller plus loin sur la surveillance en continu, notre guide détaille comment vérifier des identifiants compromis sur le dark web.

Étape 3 : partir du gestionnaire déjà installé, et connaître sa limite

Bonne nouvelle avant d’acheter quoi que ce soit : vos équipes utilisent déjà un gestionnaire de mots de passe, souvent sans le savoir. Tous les navigateurs modernes en embarquent un, Firefox, Chrome ou Opera. Sur iPhone, c’est le trousseau d’Apple. Sur Android, ce sera Samsung Pass chez Samsung, le gestionnaire de Google ailleurs, ou celui du constructeur.

C’est un très bon point de départ, et infiniment préférable au tableur partagé ou au carnet posé sous le clavier. Mais la limite arrive vite, et elle est structurelle : les mots de passe ne sont pas synchronisés entre toutes les plateformes et tous les services. Prenez quelqu’un qui travaille sur Mac avec un navigateur absent d’Android. S’il enregistre ou met à jour un mot de passe dans ce navigateur, la modification n’apparaîtra pas sur son téléphone. Dans une PME où cohabitent Windows, macOS, Android et iOS, ce décalage devient une source quotidienne de mots de passe perdus, donc de mots de passe simplifiés.

Étape 4 : arbitrer entre coffre local et service en ligne

Deux familles d’outils existent, et le choix se joue moins sur la sécurité que sur celui qui va s’occuper de la logistique. Un gestionnaire local, KeePass étant le plus connu, conserve la base de données sur le poste. Rien ne part ailleurs, vous maîtrisez tout ; en contrepartie, c’est à vous de synchroniser cette base pour la retrouver sur un téléphone, exercice parfois pénible. Les services en ligne, Proton, Dashlane ou Bitwarden pour ne citer que ceux-là, s’en chargent à votre place. On gagne en confort ce qu’on perd en maîtrise.

Faut-il payer ? Test Achats, l’équivalent belge de l’UFC Que Choisir, a retenu trois gestionnaires : 1Password et Sticky Password, payants, et Bitwarden, gratuit. La sécurité n’est pas ce qui les sépare. La différence porte sur les fonctionnalités, et notamment sur le partage de mots de passe entre plusieurs personnes, qui est précisément ce dont une équipe a besoin quand trois salariés se connectent au même compte fournisseur.

1. Recensez les systèmes d’exploitation et navigateurs réellement utilisés dans l’entreprise, y compris sur les téléphones personnels servant au travail.
2. Tranchez entre local et en ligne selon la personne qui assumera la synchronisation : sans quelqu’un pour s’en occuper, le coffre local finit inutilisé.
3. Vérifiez la présence du partage entre collaborateurs si plusieurs personnes doivent accéder aux mêmes comptes, et n’organisez plus ce partage par email ou messagerie.
4. Prenez la version gratuite si aucune fonction payante ne vous manque : elle protège aussi bien.

Reste l’objection honnête : les sociétés qui éditent ces outils ne sont pas irréprochables, et le risque zéro n’existe pas. Il faut simplement comparer au scénario qu’on remplace. Un mot de passe déjà fuité, un mot de passe faible, ou pire, le même mot de passe partout : face à cela, les chercheurs en sécurité considèrent que le gestionnaire réduit le risque. Et il se complète naturellement d’un second facteur d’authentification, comme le détaille notre tutoriel pour déployer le MFA en entreprise.

Étape 5 : comprendre ce qui protège le coffre avant d’y déposer les accès

Confier tous ses accès à un seul outil demande de savoir ce qui se passe à l’intérieur. Deux notions suffisent : le hachage et la dérivation de clé.

Le hachage transforme un mot en une empreinte de longueur fixe. Le même mot passé dans le même algorithme donnera toujours la même empreinte ; ajoutez une seule lettre, et l’empreinte obtenue est totalement différente. C’est justement cette régularité qui pose problème : si une base de données fuite, même chiffrée, il reste possible de remonter au mot de passe d’origine en comparant les empreintes.

D’où la dérivation de clé. On prend l’empreinte du mot de passe, on la hache à nouveau, puis on recommence : plus de 100 000 fois. La manœuvre est volontairement répétitive, car produire une empreinte est extrêmement rapide alors que revenir en arrière est très difficile. Multipliée par cent mille, cette asymétrie rend le retour en arrière hors de portée. C’est ce qui arrive à vos mots de passe dans un gestionnaire.

Le coffre lui-même s’ouvre avec une clé, et c’est ici que le master password entre en scène. Combiné à une clé privée générée sur votre machine, il sert à dériver une master key, qui produit une private key, qui produit enfin la clé du coffre. Conséquence pratique : le master password n’est jamais envoyé au coffre. Le gestionnaire, en ligne ou local, n’y a jamais accès. Personne ne pourra donc vous le redonner en cas d’oubli, ce qui doit figurer noir sur blanc dans la procédure interne remise aux équipes.

Erreurs fréquentes au moment du déploiement

Ce sont presque toujours les mêmes réflexes qui font échouer une mise en place, ou qui vident l’outil de son intérêt une fois installé.

• Réutiliser le même mot de passe sur plusieurs services. Une seule fuite chez un prestataire suffit alors à ouvrir tous les autres comptes, y compris ceux qui n’ont jamais été attaqués.
• Croire qu’un mot de passe complexe compense une fuite. Une fois l’empreinte dans une base publique, la complexité ne joue plus aucun rôle : la vérification s’impose avant toute discussion sur la politique interne.
• S’en remettre uniquement au gestionnaire du navigateur. Il rend service, mais il laisse les mots de passe derrière, appareil par appareil, dès qu’on change de système.
• Oublier le master password. Il n’est stocké nulle part ailleurs que dans votre tête, par construction. Aucune procédure de récupération ne le retrouvera.
• Répondre aux sondages et aux appels du « service client ». Un questionnaire anodin qui promet un cadeau, un appel un peu insistant, et les informations livrées servent ensuite à se faire passer pour vous.
• Publier trop d’informations personnelles. Un profil laissé public alimente l’ingénierie sociale. La photo de billet d’avion en est l’exemple type : le code-barres contient le numéro de siège, le téléphone, l’adresse email, le nom et le prénom complets, de quoi remonter au numéro de réservation et annuler le vol avant le départ.
• Continuer à s’échanger les mots de passe par email ou messagerie. Si l’outil choisi propose le partage, c’est la fonction à activer en premier, sinon les anciennes habitudes reviennent en quelques semaines.