Gestionnaire de mots de passe : sécuriser les accès de l'entreprise

La salariée qui gérait votre compte Instagram vient de partir, et personne ne connaît le mot de passe. Le prestataire qui a créé le site ne répond plus, et l'accès à l'hébergement figurait sur un post-it introuvable. Un gestionnaire de mots de passe évite ces impasses : il range les accès de l'entreprise dans un coffre chiffré, que vous contrôlez et que vous partagez avec méthode.

Un coffre-fort pour tous vos accès

Un gestionnaire de mots de passe est un logiciel qui conserve vos identifiants dans un coffre chiffré, c'est-à-dire illisible sans votre mot de passe maître. Avec la plupart des outils reconnus, même leur éditeur ne peut pas lire ce contenu. L'outil fonctionne sur ordinateur et sur téléphone, souvent avec une extension pour le navigateur, et synchronise les données entre vos appareils.

Au quotidien, il rend trois services :

• il crée des mots de passe longs et aléatoires, différents pour chaque compte ;
• il les remplit à votre place, uniquement sur l'adresse du vrai site ;
• il conserve aussi les codes de secours, les réponses aux questions de sécurité et des notes confidentielles, comme la clé du wifi.

Ce remplissage automatique sert de signal d'alarme : si l'outil ne propose rien sur une page de connexion, regardez l'adresse avant de taper quoi que ce soit. Les pièges les plus courants sont décrits dans l'article sur le phishing qui vise les petites entreprises.

Commencer par l'inventaire des accès

Avant d'installer quoi que ce soit, dressez la liste des comptes de l'entreprise. Pour une petite structure, on retrouve souvent :

• la messagerie professionnelle, qui permet de réinitialiser tout le reste ;
• le bureau d'enregistrement du nom de domaine et l'hébergement ;
• l'administration du site et de la boutique en ligne ;
• le compte Google lié à la fiche d'établissement et aux statistiques ;
• les réseaux sociaux et l'outil de gestion professionnelle de Meta ;
• les logiciels de réservation, de caisse, de paiement et de facturation ;
• les espaces en ligne des fournisseurs et des administrations.

Pour chaque compte, notez l'adresse e-mail de rattachement et la personne qui le détient. Un compte ouvert avec l'adresse personnelle d'un ancien salarié, ou avec celle de votre prestataire, est à récupérer en priorité.

Choisir son outil

Trois familles de solutions

• Le gestionnaire intégré au navigateur ou au téléphone, comme ceux de Google ou d'Apple : gratuit et simple, mais lié à un compte personnel et moins pratique pour une équipe aux appareils variés.
• Les services en ligne spécialisés, comme Bitwarden, 1Password, Dashlane ou Proton Pass : synchronisation, coffres partagés et console d'administration pour les équipes, avec une version gratuite ou une période d'essai selon l'éditeur.
• Les logiciels locaux, comme KeePassXC : le coffre est un fichier conservé sur vos appareils. Vous maîtrisez tout, y compris la synchronisation et les sauvegardes, à organiser vous-même.

Les critères qui comptent

Pour une petite entreprise, regardez surtout le partage par coffre, la gestion des droits, la compatibilité avec tous vos appareils, la double authentification, les solutions de récupération et la possibilité d'exporter vos données si vous changez d'outil. Faites ensuite un essai avec la personne la moins à l'aise de l'équipe : si elle l'adopte, les autres suivront.

Partager sans perdre le contrôle

Créez des coffres partagés par usage : « Réseaux sociaux » pour la personne chargée de la communication, « Caisse et réservations » pour le responsable de salle, tandis que le domaine et l'hébergement restent dans un coffre réservé à la direction. Chacun voit ce dont il a besoin, rien de plus.

Quand un service permet d'inviter un utilisateur avec son propre compte, préférez cette solution au partage d'un mot de passe. C'est le cas de WordPress, de l'outil professionnel de Meta et de la fiche Google, comme l'explique l'article sur les accès à la fiche Google. Ne transmettez jamais un identifiant par SMS, par e-mail ou par messagerie instantanée ; certains gestionnaires proposent un lien de partage temporaire, bien plus sûr.

Au départ d'un salarié, retirez-le des coffres partagés, puis changez les mots de passe qu'il pouvait consulter : la liste des coffres auxquels il avait accès vous indique lesquels.

Prévoir l'oubli, la perte et l'imprévu

Le mot de passe maître est la seule clé du coffre. Choisissez une phrase de passe, une suite de plusieurs mots facile à retenir pour vous et difficile à deviner, que vous n'utilisez nulle part ailleurs. Activez la double authentification sur le gestionnaire lui-même, en suivant les conseils de l'article sur la double authentification, et gardez ses codes de secours hors du coffre : rangés à l'intérieur, ils ne vous serviraient à rien le jour où vous en auriez besoin.

En cas d'oubli du mot de passe maître, beaucoup d'éditeurs ne peuvent pas récupérer votre coffre, justement parce qu'ils n'y ont pas accès. Si l'outil fournit un kit de récupération à l'inscription, imprimez-le et rangez-le en lieu sûr, par exemple dans un tiroir fermé à clé ou sous enveloppe scellée chez une personne de confiance.

Pensez enfin à la continuité de l'activité. Si vous êtes indisponible plusieurs semaines, quelqu'un doit pouvoir renouveler le domaine ou modifier le site. Certains outils proposent un accès d'urgence : une personne désignée demande l'accès, qui lui est accordé après un délai si vous ne vous y opposez pas. À défaut, nommez un second administrateur pour le coffre de l'entreprise.

Pour démarrer cette semaine

1. Dressez l'inventaire de vos comptes et repérez ceux qui dépendent d'une adresse personnelle ou d'un ancien collaborateur.
2. Choisissez un outil, créez votre phrase de passe, activez la double authentification et imprimez le kit de récupération s'il existe.
3. Transférez d'abord les accès les plus sensibles (messagerie, domaine, hébergement), en remplaçant au passage les mots de passe faibles ou réutilisés.
4. Si vous faites créer un site, exigez que le domaine et l'hébergement soient ouverts à votre nom, et posez la question dès votre demande de devis.