Mots de passe : un gestionnaire pour toute l'équipe

Le jour où une salariée quitte l’entreprise, quelqu’un pose la question qui fâche : « à quoi avait-elle accès ? » Sans gestionnaire de mots de passe, la réponse se reconstitue de mémoire, en fouillant la messagerie, un tableur partagé et des fils de discussion. Avec un gestionnaire d’équipe, elle tient en un écran.

Ce guide de notre rubrique Infrastructure et cloud explique ce qu’un gestionnaire de mots de passe change pour une équipe de 20 à 500 personnes, comment en choisir un sans parti pris de fournisseur, et par où commencer.

Pourquoi les mots de passe d’équipe finissent partout

Parce qu’un accès partagé doit circuler, et que le chemin le plus court gagne. Le compte de l’hébergeur passe par un message, celui du réseau social de l’entreprise par une note collée sur l’écran de l’accueil, l’accès administrateur de la boutique par un tableur « Accès » que tout le monde a fini par ouvrir. Personne n’a choisi ce système : il s’est installé tout seul.

Le résultat se voit le jour où il faut agir vite. Un compte suspect, un départ, un prestataire qui change : on ne sait plus qui connaît quoi, et changer un mot de passe partagé casse le travail de tous ceux qui l’utilisaient sans qu’on le sache.

L’ANSSI, l’agence française de cybersécurité, a tranché la question dans ses recommandations sur l’authentification et les mots de passe :

La CNIL va dans le même sens : sa recommandation de 2022 sur les mots de passe range le gestionnaire de mots de passe parmi les bonnes pratiques de création et de renouvellement.

Ce qu’un gestionnaire change, du premier au dernier jour

Le bénéfice le plus visible n’est pas technique : c’est le temps gagné aux moments où une équipe bouge.

L’arrivée : un groupe plutôt qu’une liste

On ne donne plus les accès un par un : on range la personne dans son groupe (commercial, comptabilité, marketing), et elle hérite de ce dont son poste a besoin. Le jour où un outil s’ajoute au rôle, tout le groupe le reçoit.

Le départ : la question qui fâche a une réponse

Le gestionnaire dit quels mots de passe la personne pouvait lire. Retirer son accès au coffre ne suffit pas, car ce qu’elle a vu, elle peut le connaître encore : les accès sensibles qu’elle consultait se changent, et le gestionnaire dit lesquels. C’est la même logique que pour un prestataire qui s’en va.

Le quotidien : enfin des mots de passe longs et uniques

Personne ne retient quarante mots de passe différents de vingt caractères. Un gestionnaire, si : il les génère, les remplit et les garde. C’est ce qui rend tenables les règles actuelles. Le NIST, l’institut américain de normalisation dont le guide sert de référence bien au-delà des États-Unis, a revu les siennes dans la version 4 de son guide sur l’authentification :

• un mot de passe utilisé seul doit compter au moins 15 caractères ;
• on ne force plus le changement à date fixe, seulement quand un compte est compromis ;
• chaque nouveau mot de passe est comparé à une liste de mots de passe courants ou déjà compromis ;
• les services doivent accepter les gestionnaires de mots de passe et le remplissage automatique.

Comment choisir : hébergé par l’éditeur ou installé chez vous

Les deux familles existent, avec des produits sérieux de chaque côté. Les gestionnaires hébergés par leur éditeur (1Password, Bitwarden, Dashlane, Keeper, Proton Pass, entre autres) s’ouvrent en une journée. D’autres s’installent aussi sur votre propre serveur : Bitwarden publie la procédure pour l’héberger sur un serveur Linux, et des solutions libres comme Passbolt ou Vaultwarden suivent la même voie.

Quel que soit le choix, quatre critères départagent :

• le chiffrement se fait sur l’appareil, avant l’envoi au serveur : l’éditeur ou l’hébergeur ne doit pas pouvoir lire le coffre ;
• le partage par groupes et par dossiers, et un journal qui dit qui a consulté quoi ;
• la connexion par l’annuaire de l’entreprise quand vous en avez un, pour qu’un compte désactivé ferme aussi le coffre ;
• un accès d’urgence : la procédure qui permet de récupérer les accès critiques si la seule personne qui les détenait est absente.

Installer le coffre chez soi n’a de sens que si quelqu’un le tient à jour, le sauvegarde et le surveille : c’est un service critique, puisqu’il ouvre tous les autres. Notre article sur les outils à sortir du SaaS en premier aide à placer le gestionnaire dans cet ordre de priorité.

Ce que nous avons appris en rangeant nos propres accès

Ces deux cas mêlent mots de passe humains et clés techniques. La distinction compte : le gestionnaire d’équipe sert aux personnes, tandis que les clés d’API utilisées par des programmes et des agents IA relèvent d’un coffre de secrets, que nous détaillons dans notre article sur le coffre-fort de secrets. Le risque propre à ces clés, celui d’une facture qui s’emballe, fait l’objet d’un article à part : clés d’API volées, le risque oublié des projets IA.

Par où commencer

1. 01Faites l’inventaire des accès partagés

   Hébergeur, nom de domaine, banque en ligne, réseaux sociaux, boutique, outils métier. Notez qui s’en sert.

2. 02Choisissez le gestionnaire

   Selon les quatre critères, et posez la double authentification sur le coffre.

3. 03Créez les groupes par rôle

   Puis rangez chaque accès dans le dossier du groupe qui en a besoin.

4. 04Changez au passage les mots de passe qui ont circulé

   Par messagerie ou tableur, puis supprimez ces copies.

5. 05Écrivez la procédure de départ

   Retirer du groupe, puis changer les accès sensibles que le gestionnaire désigne.

Le gestionnaire fait partie du socle d’infrastructure commun à vos projets, avec les comptes nominatifs, les sauvegardes et la supervision. Le reste de la rubrique couvre les décisions voisines : les cinq postes qui gonflent une facture cloud, serveur dédié, VPS ou cloud, Kubernetes et les PME, la supervision, le plan de reprise après sinistre, NIS2 en France, les sauvegardes d’un serveur à soi, n8n auto-hébergé en production, le coût d’une sortie du SaaS sur trois ans, la migration cloud sans tout casser, la dépendance au cloud américain, le matériel pour faire tourner un modèle d’IA chez soi, Postgres géré ou à soi et le choix d’une messagerie d’entreprise.

Pour installer le gestionnaire sur votre serveur avec vos autres outils, sauvegardes et supervision comprises, voyez notre offre de sortie du SaaS. Pour un simple cadrage, décrivez-nous votre équipe.

Questions fréquentes

Sources

1. ANSSI, recommandations relatives à l’authentification multifacteur et aux mots de passe, octobre 2021 (nouvel onglet)messervices.cyber.gouv.fr
2. CNIL, mots de passe : une nouvelle recommandation, octobre 2022 (nouvel onglet)cnil.fr
3. NIST SP 800-63B-4, Authentication and Authenticator Management (nouvel onglet)pages.nist.gov
4. Bitwarden, Install and Deploy: Linux (nouvel onglet)bitwarden.com