Octobre est le mois européen de la cybersécurité, l'occasion de parler d'un sujet que tout le monde connaît mais que peu de structures traitent vraiment : les mots de passe en entreprise. Dans un commerce, une association ou une PME, les accès se multiplient : messagerie, banque en ligne, logiciel de caisse, réseaux sociaux, site internet, fournisseurs… Et trop souvent, un même mot de passe sert partout, noté sur un post-it près de l'ordinateur. Bonne nouvelle : quelques règles simples suffisent à réduire fortement les risques.
Pourquoi les mots de passe restent la première porte d'entrée
La majorité des piratages ne reposent pas sur des techniques sophistiquées. Ils exploitent des mots de passe faibles, réutilisés ou dérobés lors d'une fuite de données sur un autre site. Concrètement, si le mot de passe de votre compte sur une boutique en ligne fuite, et que vous utilisez le même pour votre messagerie professionnelle, les pirates essaieront automatiquement cette combinaison partout.
Les conséquences pour une petite entreprise peuvent être lourdes : page Facebook détournée, site internet défiguré, messagerie utilisée pour envoyer des arnaques à vos clients, voire fraude au virement.
Les règles d'un bon mot de passe
Privilégier la longueur
Un mot de passe long est plus difficile à deviner qu'un mot de passe court et compliqué. La CNIL recommande au minimum 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux. Une bonne astuce consiste à utiliser une phrase de passe : plusieurs mots sans lien entre eux, faciles à retenir pour vous mais impossibles à deviner.
Un mot de passe différent pour chaque service
C'est la règle la plus importante, et la plus souvent ignorée. Chaque compte doit avoir son propre mot de passe. Ainsi, une fuite sur un service ne compromet pas tous les autres.
Éviter les informations personnelles
Le nom de l'entreprise suivi de l'année, la date de naissance d'un enfant, le nom du chien : ces informations se trouvent facilement sur les réseaux sociaux. Bannissez-les.
Le gestionnaire de mots de passe : votre meilleur allié
Retenir des dizaines de mots de passe longs et uniques est impossible. C'est là qu'intervient le gestionnaire de mots de passe. Il s'agit d'un coffre-fort numérique qui :
- génère des mots de passe solides automatiquement ;
- les mémorise et les remplit pour vous ;
- se synchronise entre ordinateur et téléphone ;
- permet, dans les versions professionnelles, de partager certains accès avec vos collaborateurs sans les révéler en clair.
Vous n'avez plus qu'un seul mot de passe à retenir : celui du coffre-fort, qui doit être particulièrement robuste. Il existe des solutions gratuites, dont certaines recommandées par l'ANSSI, et des offres payantes adaptées aux équipes.
Activer la double authentification partout où c'est possible
La double authentification (ou authentification à deux facteurs) ajoute une seconde vérification après le mot de passe : un code reçu par SMS, une notification sur votre téléphone, une application dédiée ou une clé physique. Même si un pirate obtient votre mot de passe, il ne peut pas se connecter sans ce second élément.
Activez-la en priorité sur :
- votre messagerie professionnelle ;
- vos comptes Facebook, Instagram et le gestionnaire de publicités Meta ;
- votre compte Google (qui gère souvent la fiche d'établissement) ;
- l'administration de votre site internet ;
- vos services bancaires, si ce n'est pas déjà imposé.
Une application d'authentification est plus sûre que le SMS, mais le SMS reste bien mieux que rien.
Gérer les accès de l'équipe
Dans une petite structure, on a vite tendance à tout partager. Pourtant, quelques réflexes évitent bien des problèmes.
Des comptes nominatifs plutôt qu'un compte partagé
Quand c'est possible, chaque personne doit avoir son propre accès. Sur les réseaux sociaux, par exemple, Meta permet d'ajouter des collaborateurs avec des rôles différents, sans partager l'identifiant principal. Même chose pour WordPress, Google Business Profile ou la plupart des logiciels professionnels.
Retirer les accès au départ d'un collaborateur
Un salarié qui quitte l'entreprise, un stagiaire en fin de mission, un ancien prestataire : pensez à retirer leurs droits le jour même. Tenez une liste simple des outils et des personnes qui y ont accès, c'est un vrai gain de temps.
Garder la propriété de vos comptes
Vos comptes de réseaux sociaux, votre nom de domaine, votre fiche Google doivent appartenir à l'entreprise, pas à une personne. Si votre agence ou votre neveu a créé la page Facebook avec son compte personnel, faites-vous ajouter comme administrateur principal.
Que faire en cas de piratage ?
Si vous pensez qu'un compte a été compromis :
- Changez immédiatement le mot de passe, depuis un appareil sain.
- Déconnectez toutes les sessions actives (l'option existe sur la plupart des services).
- Activez la double authentification si ce n'était pas fait.
- Prévenez vos contacts si des messages frauduleux ont pu être envoyés.
- Consultez le site officiel cybermalveillance.gouv.fr, qui propose un accompagnement et une liste de prestataires.
Questions fréquentes
Faut-il changer ses mots de passe tous les trois mois ?
Ce n'est plus la recommandation principale. Il vaut mieux un mot de passe long et unique, changé en cas de doute ou de fuite, qu'un mot de passe faible modifié régulièrement.
Est-ce risqué d'enregistrer ses mots de passe dans le navigateur ?
C'est mieux que le post-it ou le même mot de passe partout, mais un gestionnaire dédié offre plus de sécurité et de fonctionnalités de partage, surtout en équipe.
Comment savoir si mon adresse e-mail a fuité ?
Des services en ligne reconnus permettent de vérifier si une adresse apparaît dans des fuites de données connues. Si c'est le cas, changez les mots de passe des comptes concernés.
La sécurité, ça se construit aussi dans vos outils
Chez Milady, la sécurité fait partie de chaque projet : sites maintenus à jour, accès séparés, double authentification sur les outils que nous gérons pour vous. Si vous souhaitez faire le point sur vos accès ou sécuriser votre site, parlons-en. Et pour aller plus loin, relisez notre article sur le phishing et les sites d'hameçonnage.
