Un identifiant valide ouvre plus de portes qu’une faille technique. La plupart des intrusions constatées dans les petites structures reposent sur un compte dont le secret circulait déjà, restait trop simple, ou servait sur plusieurs services à la fois. Le couple mot de passe et double authentification forme la première ligne de défense d’une organisation, bien avant tout équipement spécialisé. Ces deux protections ne se remplacent pas : la première contrôle ce que l’on sait, la seconde ajoute ce que l’on possède.
Le sujet paraît rebattu, il reste pourtant le premier facteur d’incident. Les recommandations ont sensiblement évolué : la complexité obligatoire et le renouvellement forcé tous les trois mois, longtemps présentés comme des règles d’or, produisent en pratique des secrets plus faibles et plus prévisibles. Les repères actuels privilégient trois choses simples, la longueur, l’unicité et l’outillage.
Mot de passe et double authentification : deux protections complémentaires
Un mot de passe seul protège contre une intrusion opportuniste, jamais contre un secret déjà connu de l’attaquant. Or les listes d’identifiants issues de fuites anciennes circulent largement et sont testées automatiquement sur des dizaines de services. Le second facteur casse ce mécanisme : même exact, le mot de passe ne suffit plus à ouvrir la session.
C’est aussi ce qui limite l’effet d’une campagne de hameçonnage réussie. Un collaborateur qui a saisi ses identifiants sur une page imitée offre une clé désormais incomplète. Savoir reconnaître un message frauduleux reste la protection amont ; le second facteur, lui, agit quand cette vigilance a été prise en défaut. Les deux couches se conçoivent ensemble, pas en alternative.
Ce qui fait réellement la solidité d’un mot de passe
Le facteur déterminant n’est pas la présence de caractères exotiques, c’est la longueur. Chaque caractère ajouté multiplie le nombre de combinaisons à parcourir, quand une substitution convenue, remplacer un a par un arobase par exemple, n’apporte presque rien face à un outil de cassage qui connaît ces habitudes depuis longtemps. Un secret court et tarabiscoté résiste moins bien qu’un secret long et simple à retenir.
D’où l’intérêt de la phrase de passe : sept mots au moins, sans lien logique entre eux, assemblés en une suite qu’aucun dictionnaire ne contient, produisent un secret long, mémorisable et robuste. La condition tient à l’absence de sens : une citation connue, un vers célèbre ou un slogan publicitaire figurent dans les listes utilisées par les outils d’attaque.
Deuxième principe : chaque secret doit rester unique par service. La réutilisation transforme la compromission d’un site marchand secondaire en compromission de la messagerie professionnelle, puis de tout ce qui s’y rattache. C’est le mécanisme le plus fréquent et le plus évitable.
Quelle longueur viser en pratique ? Douze caractères mêlant majuscules, minuscules, chiffres et symboles constituent un plancher pour un compte ordinaire, quatorze dès que la politique renonce aux symboles, quinze à vingt pour un accès sensible, et davantage encore pour la phrase qui ouvre le coffre-fort. Les politiques internes gagnent à exprimer cette exigence en nombre de caractères plutôt qu’en catégories obligatoires, car imposer une majuscule, un chiffre et un symbole conduit invariablement aux mêmes schémas : majuscule en tête, chiffre et point d’exclamation en fin. Un attaquant les teste en priorité. Autoriser les espaces et les phrases entières rapporte beaucoup plus que multiplier les contraintes de composition.
Troisième principe, moins intuitif : le renouvellement systématique tous les quatre-vingt-dix jours a été abandonné pour les comptes ordinaires par les référentiels de référence. Il pousse aux variantes incrémentales, faciles à deviner. Le changement se justifie sur événement, en cas de suspicion, de départ ou d’apparition dans une fuite connue, pas au rythme du calendrier. Seuls les comptes à privilèges conservent un renouvellement périodique.
Le gestionnaire, pièce centrale du dispositif
Retenir plusieurs dizaines de secrets longs et distincts n’est pas humainement réaliste. Le gestionnaire de mots de passe résout cette contradiction : il agit comme un coffre-fort chiffré dont une seule phrase de passe ouvre l’accès. L’utilisateur ne mémorise plus qu’un secret, à condition qu’il soit exemplaire.
Ce choix apporte un bénéfice indirect souvent sous-estimé. Le remplissage automatique ne fonctionne que sur le domaine exact enregistré : face à une page d’imitation, le gestionnaire reste muet, ce qui constitue un signal d’alerte silencieux mais très fiable.
Deux objections reviennent régulièrement. La première porte sur le risque de tout perdre en cas de compromission du coffre : elle se traite par une phrase d’ouverture exemplaire, un second facteur sur le gestionnaire lui-même et une sauvegarde chiffrée conservée à part. La seconde porte sur la dépendance à un éditeur : elle se traite en vérifiant que l’outil permet d’exporter l’intégralité des données dans un format lisible, ce qui garantit la réversibilité. Comparé au carnet posé sous le clavier ou au fichier partagé sans protection, l’arbitrage reste largement favorable.
En équipe, l’outil règle également la question du partage. Les comptes techniques, les accès mutualisés à un service ou à une messagerie de contact se partagent par coffre commun, avec des droits explicites, plutôt que par message ou par tableur. Le jour où quelqu’un quitte la structure, la révocation devient une opération traçable au lieu d’une chasse aux fichiers oubliés.
Comparer les facteurs : ce que vaut chaque méthode
Tous les seconds facteurs n’offrent pas le même niveau de garantie, et le choix dépend autant du risque que de la réalité du terrain.
| Méthode | Résistance au hameçonnage | Contraintes | Usage recommandé |
|---|---|---|---|
| Code par SMS | Faible | Réseau requis, numéro détournable | Mieux que rien, à remplacer |
| Application génératrice de codes | Moyenne | Sauvegarde à prévoir, code relayable | Socle pour la majorité des comptes |
| Notification poussée à valider | Moyenne | Risque de validation machinale | Comptes courants, avec vigilance |
| Clé matérielle dédiée | Très élevée | Achat, gestion des pertes | Administrateurs, direction, finance |
| Codes de secours imprimés | Variable | Doivent rester hors ligne | Filet de sécurité uniquement |
| Empreinte sur l’appareil | Sans objet | Liée au matériel | Déverrouillage local du coffre |
Le point faible connu reste le SMS : il dépend d’un réseau qu’on ne maîtrise pas et d’un numéro qu’un fraudeur peut se faire réattribuer par ingénierie sociale auprès d’un opérateur. Il conserve néanmoins une utilité de transition, car un facteur imparfait vaut mieux qu’un compte protégé par le seul mot de passe.
À l’autre extrémité, la clé physique offre la meilleure résistance, parce qu’elle vérifie l’adresse du site avant de répondre. Une page d’imitation, même parfaite visuellement, n’obtient rien. Son coût la réserve souvent aux comptes les plus sensibles, ce qui suffit à couvrir l’essentiel du risque.
Déployer sans bloquer l’organisation
Un déploiement réussi commence par les comptes à privilèges : administration du système d’information, messagerie de direction, accès bancaires, outils de paie, accès distants. Ces comptes concentrent l’impact d’une compromission et représentent une population réduite, donc facile à accompagner. Le reste de l’organisation suit ensuite, par vagues, avec un support disponible pendant les premiers jours.
La question des secours doit être réglée avant la mise en service, jamais après. Perte de téléphone, changement d’appareil, salarié en déplacement : sans procédure prévue, le service d’assistance improvise, et l’improvisation crée précisément la faille que l’on cherchait à fermer. Les codes de secours générés à l’inscription se conservent hors ligne, dans un endroit physique contrôlé, et se régénèrent après chaque usage.
Le départ d’un collaborateur mérite le même soin. La désactivation des comptes, la révocation des seconds facteurs enregistrés et la reprise des accès partagés se font le jour même, selon une liste écrite. Cette rigueur relève aussi des obligations de base d’une organisation en matière de protection des données, puisqu’un accès résiduel constitue un traitement sans base légale.
Les erreurs qui annulent l’effort
Certaines pratiques réduisent à néant un dispositif par ailleurs correct. La plus répandue consiste à envoyer un mot de passe par message, puis à ne jamais le changer : il subsiste alors dans des archives consultables pendant des années. Vient ensuite le mélange des usages personnels et professionnels, qui relie deux univers dont l’un échappe totalement à l’organisation.
Les questions secrètes constituent un autre angle mort. Nom de jeune fille, ville de naissance, premier animal : ces réponses figurent souvent sur des profils publics. Quand un service les impose, mieux vaut y inscrire une chaîne aléatoire conservée dans le coffre plutôt qu’une réponse véridique.
Les comptes de service posent un problème voisin. Créés pour faire dialoguer deux applications, ils échappent souvent à toute revue, conservent des droits étendus et portent un secret défini une seule fois, parfois documenté dans un fichier d’installation. Une revue annuelle des comptes actifs, de leurs droits et de leur dernière utilisation coûte une demi-journée et supprime régulièrement des accès dont plus personne ne connaissait l’existence. Même logique pour les accès accordés à un prestataire pendant une mission : ils doivent porter une date de fin dès leur création, faute de quoi ils survivent au contrat.
Reste la validation machinale des notifications. Un utilisateur sollicité en pleine réunion approuve parfois une demande qu’il n’a pas déclenchée. La parade tient en une consigne unique : une demande d’authentification non sollicitée se refuse et se signale, toujours. C’est l’un des rares gestes qui coûte quelques secondes et évite une intrusion complète.
Un dispositif de mot de passe et double authentification bien posé se remarque à sa discrétion. Les utilisateurs saisissent rarement leurs secrets, le coffre travaille pour eux, le second facteur n’intervient qu’aux moments qui comptent, et la structure sait exactement quoi faire le jour où un compte doit être coupé.