Un lundi matin, Sophie B. tombe sur le carnet posé près de l'imprimante : le mot de passe du logiciel comptable y est écrit, inchangé depuis des années, connu d'une bonne partie de l'équipe — y compris d'une collaboratrice partie l'automne dernier. Rien n'a jamais « fait faux ». Mais l'idée qu'un dossier client puisse s'ouvrir aussi facilement la met mal à l'aise. La vraie question n'est pas de trouver un mot de passe plus tordu : c'est de se doter d'une politique de mots de passe qui tienne dans la vie réelle du cabinet.
Une politique de mots de passe, à quoi ça sert vraiment
Une politique de mots de passe, en clair, c'est l'ensemble de règles simples que toute l'équipe applique pour créer, ranger et protéger ses mots de passe. Pas un règlement de dix pages : quelques principes que tout le monde comprend et suit vraiment.
Le problème qu'elle résout est très concret. Dans une petite structure, les mêmes réflexes reviennent partout : un mot de passe court et « facile à retenir », le même réutilisé sur plusieurs services, noté sur un post-it ou partagé dans un e-mail. Chacun de ces réflexes ouvre une porte.
Le mécanisme d'attaque le plus courant n'a d'ailleurs rien de sophistiqué. Quand un mot de passe fuite lors du piratage d'un site quelconque, les attaquants le réessaient automatiquement, par milliers, sur d'autres services — messagerie, banque en ligne, outils métier. On appelle ça le « bourrage d'identifiants » : réutiliser ailleurs un mot de passe volé une fois. Si vous employez le même mot de passe partout, une seule fuite suffit à faire tomber le reste.
Le mot de passe partagé et écrit sur un carnet cumule d'ailleurs deux faiblesses. D'abord, on ne sait plus qui le connaît : au fil des arrivées et des départs, la liste s'allonge sans que personne ne la tienne. Ensuite, on ne peut pas le retirer proprement à une seule personne : quand quelqu'un s'en va, soit on garde le mot de passe tel quel — et l'ancien collaborateur y a toujours accès —, soit on le change pour tout le monde, ce que personne n'a envie de faire. Résultat : le plus souvent, on ne fait rien.
Pour une fiduciaire, l'enjeu dépasse le confort. Vous détenez la comptabilité, les salaires et les données fiscales de dizaines de clients — des informations couvertes, de fait, par le secret professionnel. La nouvelle loi suisse sur la protection des données (nLPD) attend d'ailleurs de toute entreprise qu'elle prenne des mesures de sécurité « appropriées » pour les données qu'elle traite. Une gestion sérieuse des mots de passe en fait partie. Personne ne vous demande un certificat : on vous demande d'être capable de montrer que vous vous en occupez.
Ce qu'il faut retenir
La longueur compte plus que les symboles. Pendant des années, on a exigé des mots de passe truffés de majuscules, de chiffres et de caractères spéciaux, changés tous les trois mois. Résultat : des mots de passe imprononçables que personne ne retient — donc notés sur un carnet. Les recommandations de référence (le NIST américain, rejoint par l'office fédéral suisse de la cybersécurité, l'OFCS) ont changé d'avis : mieux vaut un mot de passe long et facile à mémoriser qu'un mot de passe court et compliqué. D'où l'idée de la phrase de passe — une suite de plusieurs mots, par exemple quatre mots sans lien entre eux, qui donne un mot de passe long, simple à retenir et très difficile à deviner.
On ne retient plus ses mots de passe : on les range. Avec des dizaines de services, mémoriser un mot de passe unique et long pour chacun est impossible. C'est le rôle du gestionnaire de mots de passe — un coffre-fort numérique qui crée, stocke et remplit vos mots de passe à votre place, protégé par un seul mot de passe maître. Vous n'avez plus qu'une chose à retenir ; le logiciel se charge du reste.
Le mot de passe seul ne suffit plus. Même long et unique, il peut être intercepté. La double authentification (souvent abrégée MFA) ajoute une deuxième preuve au moment de la connexion — le plus souvent un code temporaire sur votre téléphone, ou une confirmation dans une application. Même si quelqu'un connaît votre mot de passe, il lui manque ce deuxième facteur. C'est le complément le plus efficace, et souvent le plus simple, à une bonne politique de mots de passe.
Les gestes à installer cette semaine
1. Adoptez les phrases de passe pour les accès sensibles
Commencez par les comptes qui comptent : la messagerie, le logiciel comptable, l'accès administrateur. Pour chacun, remplacez le vieux mot de passe par une phrase de passe : quatre mots choisis au hasard, faciles à visualiser pour vous, sans rapport avec votre nom ou votre entreprise. Vous obtenez un accès bien plus solide, sans le casse-tête des symboles. Et vous arrêtez, dès maintenant, de réutiliser le même mot de passe d'un service à l'autre. Bonne nouvelle au passage : une phrase de passe longue et unique n'a pas besoin d'être changée tous les trois mois. On ne la change que si l'on soupçonne qu'elle a fuité — c'est aujourd'hui la recommandation, et cela vous enlève une corvée inutile.
2. Installez un gestionnaire de mots de passe
Choisissez un gestionnaire de mots de passe sérieux et installez-le pour vous d'abord, sur l'ordinateur et le téléphone. Laissez-le générer et retenir des mots de passe uniques pour chaque service. Une fois que vous êtes à l'aise, étendez-le à l'équipe : c'est le moyen le plus propre d'en finir avec les mots de passe sur post-it et les envois par e-mail. La façon dont on organise les coffres, les accès partagés et les départs se prépare — c'est justement ce qu'un déploiement structuré met en place.
3. Activez la double authentification sur l'essentiel
Activez la double authentification (MFA) au minimum sur la messagerie et sur les outils qui contiennent des données clients. Dans la plupart des services professionnels — dont la suite bureautique que vous utilisez sans doute — l'option existe déjà : il suffit de l'activer et d'enrôler les téléphones de l'équipe. Prévoyez aussi une solution de secours (un code de récupération conservé en lieu sûr) pour ne pas rester bloqué en cas de perte du téléphone. Une fois cette étape franchie, un attaquant qui aurait deviné ou volé un mot de passe se heurte à un second mur : dans l'immense majorité des cas, il s'arrête là.
Où en êtes-vous vraiment ?
Ces trois gestes réduisent déjà nettement le risque. Mais une politique de mots de passe qui tient dans la durée demande un peu plus : décider quels comptes sont critiques, partager proprement un accès sans se le glisser à l'oreille, et surtout couper les accès d'une personne qui quitte l'entreprise — le point précis qui a rendu Sophie B. mal à l'aise devant son carnet.
Cyber Passport ne certifie rien et ne vous déclare pas « conforme ». Il vous aide à faire une auto-évaluation structurée : où en êtes-vous vraiment sur les mots de passe, les accès et le reste, et par quoi commencer. C'est un point de départ honnête, que vous pourrez ensuite partager avec un client ou un auditeur qui vous poserait la question.
Pour passer des trois gestes à une politique complète — modèle de règles, déploiement du gestionnaire en équipe, coffres partagés et procédure de départ — le blueprint dédié déroule la marche à suivre, étape par étape.
