Les attaquants n'ont souvent pas besoin de « pirater » quoi que ce soit : ils se connectent. Mots de passe réutilisés sur plusieurs sites, identifiants dérobés par phishing, listes de mots de passe issues de fuites de données et testées automatiquement sur votre messagerie… Le vol d'identifiants reste l'une des portes d'entrée les plus fréquentes dans les entreprises.
La réponse tient en trois mesures, peu coûteuses et rapides à déployer. Séparément, elles aident. Ensemble, elles changent la donne.
1. Le mot de passe : la longueur avant la complexité
Les recommandations ont évolué. Les règles d'hier — huit caractères, une majuscule, un chiffre, un symbole, changement tous les 90 jours — produisaient des mots de passe difficiles à retenir et faciles à deviner, du type Dakar2025!. Les recommandations actuelles, notamment celles du NIST (SP 800-63B), privilégient :
- La longueur : au moins 12 à 15 caractères. Une phrase de passe de quatre ou cinq mots sans lien entre eux est à la fois robuste et mémorisable.
- L'unicité : un mot de passe différent pour chaque service. C'est la règle la plus importante.
- Le contrôle contre les fuites : refuser les mots de passe connus pour avoir fuité ou trop courants.
- Pas de renouvellement forcé sans raison : on change le mot de passe en cas de soupçon de compromission, plutôt qu'à date fixe.
2. La MFA : un mot de passe volé ne suffit plus
L'authentification multifacteur combine ce que vous savez (le mot de passe) avec ce que vous possédez (téléphone, clé de sécurité) ou ce que vous êtes (biométrie). Même si le mot de passe fuit, l'attaquant bute sur le second facteur.
Toutes les MFA ne se valent pas :
| Méthode | Niveau de protection | Commentaire |
|---|---|---|
| Clé de sécurité FIDO2 / passkey | Très élevé | Résiste au phishing : la clé ne répond qu'au vrai site |
| Application avec validation par numéro | Élevé | Bon compromis pour la majorité des utilisateurs |
| Code à usage unique (application TOTP) | Bon | Peut être intercepté par une fausse page de connexion |
| Code par SMS | Correct | Mieux que rien, mais exposé au détournement de carte SIM |
Par où commencer ? La messagerie, l'accès à distance (VPN), les comptes administrateurs, les applications financières et les consoles cloud. Ce sont les accès que les attaquants visent en premier.
3. Le gestionnaire : rendre la bonne pratique facile
Demander à un collaborateur de retenir quarante mots de passe longs et différents, c'est l'inviter à les écrire sur un post-it ou à les réutiliser. Le gestionnaire de mots de passe résout ce dilemme : un seul mot de passe maître (protégé par MFA), et l'outil génère, stocke et remplit tous les autres.
- Choisissez une solution d'entreprise, avec administration centralisée et coffres partagés par équipe.
- Bannissez les tableurs de mots de passe et les partages par email ou messagerie instantanée.
- Prévoyez la récupération d'accès et la révocation au départ d'un collaborateur.
- Pour les comptes à privilèges, une solution dédiée (gestion des accès à privilèges) apporte rotation automatique et traçabilité.
Un déploiement en 30 jours
Semaine 1 : politique et communication
Rédiger une politique courte, expliquer le « pourquoi » à la direction puis aux équipes.
Semaine 2 : comptes à privilèges
MFA forte et gestionnaire pour les administrateurs et la direction en priorité.
Semaine 3 : messagerie et accès distant
Activer la MFA pour tous, avec un accompagnement au poste pour les moins à l'aise.
Semaine 4 : gestionnaire pour tous et contrôle
Déployer le gestionnaire, puis vérifier le taux d'adoption et les comptes restant sans MFA.
En résumé
- Des mots de passe longs et uniques valent mieux que des règles de complexité.
- La MFA rend un mot de passe volé inutilisable — privilégiez les méthodes résistantes au phishing.
- Le gestionnaire de mots de passe rend la bonne pratique simple pour tous.
- Commencez par les comptes à privilèges, la messagerie et l'accès distant.
Besoin d'un regard expert sur votre situation ?
Nos ingénieurs évaluent votre environnement et vous proposent un plan d'action concret, avec une preuve de concept gratuite et sans engagement.
Intégrateur cybersécurité et infrastructures IT à Dakar, partenaire ManageEngine, Palo Alto Networks, Cloudflare et Veeam. Nos articles s'appuient sur ce que nous observons chaque jour sur le terrain, chez nos clients publics et privés.