Dans la quasi-totalité des incidents que nous traitons, la porte d'entrée est une identité : un mot de passe deviné, volé par phishing, ou réutilisé depuis un site piraté. La bonne nouvelle, c'est que ce chantier-là ne coûte presque rien — il demande surtout de désapprendre quelques vieilles règles.
Les règles ont changé (et c'est une bonne nouvelle)
- Long bat complexe. « chevalcorrectbatteriehorizon » résiste des siècles ; « P@ssw0rd! » tombe en secondes. Une phrase de passe de 4 à 5 mots, c'est mémorisable et robuste. Les recommandations officielles (ANSSI, NIST) vont dans ce sens depuis des années.
- La rotation forcée tous les 90 jours est morte. Elle produisait « Entreprise2024! » puis « Entreprise2025! ». On ne change plus un mot de passe que s'il est suspecté compromis — mais alors immédiatement.
- Un mot de passe = un service. La réutilisation est le vrai danger : un site de e-commerce piraté en 2023, et c'est votre messagerie pro qui tombe en 2026 (les attaquants testent tout, automatiquement).
Le gestionnaire de mots de passe : l'outil qui change tout
Personne ne peut retenir 80 mots de passe uniques — et personne n'a à le faire. Un gestionnaire d'entreprise génère, stocke et remplit des mots de passe uniques pour chaque service. Version entreprise, pas grand public, car c'est elle qui apporte : les coffres partagés par équipe (le compte du logiciel de paie accessible à la compta, pas à toute la boîte), la récupération quand quelqu'un part ou oublie, et la traçabilité des accès. Le classeur Excel « MDP.xlsx », lui, part à la corbeille — définitivement.
Le MFA : la ceinture de sécurité
Même volé, un mot de passe ne suffit plus si la double authentification est active : notification sur téléphone, code d'application ou clé physique pour les comptes critiques. À activer partout où c'est possible, en priorité sur la messagerie, le VPN et les comptes administrateurs. C'est la mesure n°1 de notre article rançongiciels, la question n°1 des assureurs, et une exigence de fait des donneurs d'ordres (voir NIS2). Un réflexe à ancrer : toute demande MFA que vous n'avez pas déclenchée se refuse — et se signale.
Les passkeys : la suite (déjà là)
Les passkeys remplacent le duo mot de passe + code par une clé cryptographique déverrouillée par votre empreinte ou votre visage. Rien à retenir, rien à hameçonner : un faux site ne peut pas vous la voler. Microsoft, Google et les grands services les acceptent déjà — activez-les là où elles existent, votre gestionnaire sait les stocker. Les mots de passe ne disparaîtront pas demain, mais la direction est claire.
Les angles morts typiques d'une PME
- Les comptes partagés (« accueil », « atelier », boîte contact) : au minimum dans un coffre partagé avec MFA, au mieux remplacés par des comptes nominatifs.
- Les départs de salariés. Une checklist de départ — comptes désactivés le jour J, mots de passe des coffres partagés régénérés, accès distants coupés. L'ancien commercial qui garde son accès CRM six mois, c'est un classique des audits… et des contentieux.
- Les équipements oubliés : box, imprimantes, caméras, NAS avec leur mot de passe d'usine « admin/admin ». Ils sont sur votre réseau, donc dans votre périmètre.
- Le navigateur comme coffre-fort. Les mots de passe enregistrés dans Chrome sur un poste partagé, sans session verrouillée, se lisent en deux clics.
Le plan de ménage en 4 étapes
- Déployez le gestionnaire d'entreprise et importez l'existant (oui, même le fameux Excel — une dernière fois).
- Activez le MFA sur messagerie, VPN, admin, banque — dans cet ordre.
- Purgez : comptes dormants, partages obsolètes, mots de passe d'usine, doublons.
- Écrivez la règle du jeu en une page (phrases de passe, un service = un mot de passe, checklist de départ) et faites une sensibilisation d'une heure — le phishing vise l'humain avant la machine, comme en télétravail.
Combien de comptes dormants dans votre entreprise ? Astorya déploie le gestionnaire, active le MFA partout et purge les comptes lors de son audit cybersécurité gratuit d'1h sur site. Appelez le 02 40 00 80 00 ou demandez à être rappelé.
En résumé
Phrases de passe longues, un mot de passe par service, gestionnaire d'entreprise, MFA partout, passkeys quand c'est possible, et une checklist de départ qui ne pardonne pas : voilà le socle. C'est l'un des chantiers au meilleur rapport protection/effort de toute la cybersécurité — et il est inclus dans notre offre cybersécurité, avec la supervision infogérance pour que ça le reste.