Si je ne pouvais installer qu’un seul logiciel avant de rendre un poste de travail à son propriétaire, ce serait celui-là. Pas le tableur, pas la messagerie : un coffre-fort de mots de passe. En douze ans à équiper des associations, des artisans et des petits cabinets, c’est l’absence la plus banale et la plus dangereuse que je croise, poste après poste.
Le problème qu’on ne voit pas venir
Une structure de trois personnes gère en réalité des dizaines de comptes : banque en ligne, hébergeur du site, messagerie, plateforme de facturation, réseaux sociaux professionnels, espace client de l’assurance, fournisseur d’accès. Sans outil dédié, le réflexe naturel est de réutiliser trois ou quatre mots de passe partout, avec de petites variantes. C’est exactement le scénario qui transforme une fuite de données sur un service tiers, sans aucun rapport avec l’activité de la structure, en accès complet à la messagerie professionnelle ou au compte bancaire.
Un coffre-fort de mots de passe résout ce problème d’une manière presque paresseuse : il génère un mot de passe long et différent pour chaque service, le retient à la place de l’utilisateur, et le ressaisit automatiquement au bon endroit. L’utilisateur n’a plus qu’un seul mot de passe à retenir, celui du coffre lui-même — à condition qu’il soit costaud.
La phrase de passe, plus simple qu’elle n’y paraît
Le mot de passe du coffre est le seul qui reste à mémoriser, et c’est là que beaucoup de gens se compliquent la vie en essayant de retenir une suite de caractères illisible. La solution la plus robuste et la plus facile à retenir s’appelle une phrase de passe : plusieurs mots sans lien logique entre eux, mis bout à bout, plutôt qu’un mot unique truffé de symboles. Une phrase de quatre ou cinq mots choisis au hasard est à la fois plus longue, donc plus difficile à casser, et plus facile à retenir qu’un mélange de lettres et de chiffres impossible à mémoriser sans le noter sur un post-it collé à l’écran.
La double authentification, la deuxième serrure
Le coffre-fort ne suffit pas seul. La double authentification — un code temporaire généré par une application, en plus du mot de passe — doit être activée sur tous les comptes qui le proposent, en priorité la messagerie professionnelle, l’hébergeur du site et l’accès bancaire. Même si un mot de passe finit par fuiter, ce second facteur bloque l’essentiel des tentatives d’accès frauduleux. C’est la mesure qui offre le meilleur rapport entre l’effort de mise en place, minime, et le risque qu’elle écarte.
Pratiques, risques évités, effort demandé
- Un coffre-fort de mots de passe pour toute l’équipe : évite la réutilisation du même mot de passe partout, pour un effort faible une fois l’outil installé.
- Une phrase de passe unique pour le coffre : évite un mot de passe maître trop simple ou noté sur papier, pour un effort faible, à choisir une seule fois.
- Double authentification sur la messagerie et l’hébergeur : évite un accès frauduleux même en cas de mot de passe volé, pour un effort modéré de quelques minutes par compte.
- Mot de passe généré et différent par service : évite l’effet domino d’une fuite de données isolée, pour un effort nul, le coffre s’en charge.
- Révision des accès quand quelqu’un quitte la structure : évite des comptes actifs oubliés par un ancien collaborateur, pour un effort modéré, à planifier une fois par an.
Un outil, pas une contrainte
La résistance la plus courante que je rencontre au comptoir n’est pas technique, elle est humaine : « on n’a pas le temps » ou « on n’a rien à cacher ». Un coffre-fort de mots de passe ne protège pas des secrets, il protège la continuité de l’activité. Perdre l’accès à sa messagerie professionnelle ou à l’hébergement du site pendant plusieurs jours, le temps de prouver son identité auprès d’un support technique, coûte largement plus cher que les dix minutes nécessaires pour installer l’outil et former l’équipe.
L’ANSSI, l’agence nationale chargée de la sécurité des systèmes d’information, publie des recommandations gratuites et accessibles sur ce sujet, pensées pour des structures qui n’ont pas de service informatique dédié. C’est une lecture utile avant de choisir un outil, plus fiable que la publicité du premier éditeur venu. Et pour l’équipe qui travaille depuis un même poste partagé, le coffre-fort a un avantage supplémentaire : chacun garde ses propres accès, sans jamais avoir à écrire un mot de passe sur un post-it collé à l’écran.
