Politique de mots de passe et MFA : le modèle prêt à déployer en PME

La scène est banale et pourtant elle se rejoue chaque semaine dans les PME françaises. Le même mot de passe sert à la messagerie, à la banque en ligne et au logiciel de paie. L'ancien commercial parti il y a trois mois a toujours un accès actif. Et le compte administrateur du serveur, c'est « admin / admin2023 », noté sur un Post-it sous le clavier. Aucune de ces situations ne relève vraiment de la négligence : elles viennent simplement de l'absence d'une règle claire, écrite, appliquée par tout le monde.

Or le vol d'identifiants reste l'une des portes d'entrée les plus courantes des attaques qui touchent les entreprises de votre taille. Un mot de passe réutilisé qui fuite sur un service tiers, un e-mail de phishing bien tourné, et l'attaquant se connecte avec des identifiants parfaitement légitimes — sans rien « pirater » au sens technique. La directive européenne NIS2, transposée en droit français en 2025, attend d'ailleurs des entités concernées une véritable gestion des risques, dont l'authentification fait partie intégrante.

Bonne nouvelle : sécuriser ce point ne demande pas un gros budget, mais une politique simple et deux ou trois réflexes. Ce tutoriel vous donne un modèle prêt à l'emploi, que vous pouvez présenter à votre équipe et déployer dès demain. Chaque section correspond à une décision à prendre et à écrire noir sur blanc.

Longueur d'abord : oubliez la complexité arbitraire

Pendant vingt ans, on a imposé aux salariés des mots de passe « avec une majuscule, un chiffre et un caractère spécial ». Résultat : des « P@ssw0rd! » prévisibles, réutilisés partout, et changés tous les trois mois en ajoutant simplement un chiffre à la fin. L'ANSSI comme le NIST américain ont depuis fait évoluer leurs recommandations : ce qui compte, c'est la longueur et l'unicité, pas la complexité décorative.

Concrètement, votre politique doit poser ces règles :

• Privilégier les phrases de passe : quatre ou cinq mots sans lien évident (« cactus-tramway-orange-lundi ») sont plus longues, plus faciles à retenir et plus difficiles à casser qu'un « Xk7$b! » incompréhensible.
• Viser au moins 14 caractères pour un compte standard, davantage pour les comptes sensibles.
• Abandonner la rotation périodique systématique : ne forcer le changement qu'en cas de suspicion de compromission, comme le recommandent désormais l'ANSSI et le NIST.
• Bloquer les mots de passe connus ou déjà compromis via les options de votre annuaire (Microsoft 365, Google Workspace) lorsqu'elles existent.
• Un mot de passe unique par service : c'est la règle qui empêche l'effet domino après une fuite.

Le gestionnaire de mots de passe : le vrai prérequis

Demander à un salarié un mot de passe unique et long pour chacun de ses vingt services, sans outil, c'est le condamner au Post-it ou au fichier « codes.xlsx ». Le gestionnaire de mots de passe n'est pas un gadget : c'est la brique qui rend le reste de la politique applicable dans la vraie vie.

• Déployez un gestionnaire pour toute l'entreprise (Bitwarden, 1Password, Keeper… en version « équipe » ou « entreprise »), et non chacun le sien.
• Créez des coffres partagés par équipe pour les accès communs, plutôt que d'échanger des mots de passe par e-mail ou messagerie.
• Interdisez explicitement le stockage de mots de passe dans un navigateur non maîtrisé, un tableur ou un carnet.
• Activez le remplissage automatique : au-delà du confort, il protège du phishing, car le gestionnaire ne propose pas les identifiants sur un faux site dont le domaine diffère.

Le MFA, oui — mais pas n'importe lequel

L'authentification multifacteur (MFA) ajoute un second facteur au mot de passe. C'est l'une des mesures au meilleur rapport effort/protection qui existe. Mais tous les seconds facteurs ne se valent pas : le code reçu par SMS est le plus faible, car il peut être intercepté ou détourné par « SIM swapping » (récupération frauduleuse de votre numéro).

• Activez le MFA sur tous les accès critiques en priorité : messagerie, VPN, accès distants, comptes d'administration, outils financiers et de paie.
• Préférez une application d'authentification (TOTP) — Microsoft Authenticator, Google Authenticator, Aegis — plutôt que le SMS.
• Réservez une clé physique FIDO2 (type YubiKey) aux comptes à privilèges et aux dirigeants : c'est aujourd'hui le facteur le plus résistant au phishing.
• Générez et stockez les codes de secours hors ligne, dans un coffre, pour ne pas vous verrouiller vous-même en cas de perte du téléphone.

Comptes à privilèges, comptes partagés et départs

Le dernier volet est le plus souvent oublié, et pourtant le plus exploité. Il concerne le cycle de vie des accès : qui a des droits élevés, comment partager un accès quand on ne peut pas faire autrement, et ce qui se passe quand quelqu'un quitte l'entreprise.

• Séparez les comptes d'administration : un administrateur travaille au quotidien avec un compte standard et n'utilise son compte à privilèges que pour les tâches qui l'exigent.
• Appliquez le moindre privilège : chacun n'a que les droits nécessaires à son poste, ni plus.
• Évitez les comptes partagés ; quand c'est inévitable (un logiciel sans gestion multi-utilisateurs), passez par un coffre partagé et traçable, avec MFA — jamais un mot de passe collé en salle de réunion.
• Formalisez l'offboarding : le jour du départ, tous les accès sont désactivés, les clés MFA révoquées et les mots de passe partagés changés. Une simple checklist RH/IT suffit.

Votre plan d'action

Pour transformer ce tutoriel en réalité, voici l'ordre dans lequel avancer :

1. Rédigez la politique en une page à partir des règles ci-dessus, et faites-la valider par la direction — la responsabilisation du dirigeant est aussi une attente de NIS2.
2. Choisissez et déployez un gestionnaire de mots de passe pour toute l'entreprise, avec des coffres partagés par équipe.
3. Activez le MFA partout où c'est possible, en commençant par la messagerie et les comptes d'administration.
4. Équipez de clés FIDO2 les comptes à privilèges et les dirigeants.
5. Faites l'inventaire des comptes partagés et supprimez ceux qui ne sont pas justifiés ; sécurisez les autres dans un coffre.
6. Créez une checklist d'offboarding commune RH et IT, et appliquez-la dès le prochain départ.
7. Sensibilisez les équipes : une politique n'existe que si chacun la comprend et l'applique.

Comment Sedona peut aider

Une politique de mots de passe protège l'intérieur ; encore faut-il savoir ce qui est visible de l'extérieur. Sedona Radar mesure votre exposition sur Internet — portails d'accès exposés, configuration de la messagerie (SPF, DKIM, DMARC), services ouverts — et vous donne un score de conformité indicatif sur plusieurs référentiels, dont NIS2. Pour éprouver le facteur humain, notre simulation de phishing (GoPhish) et nos formations vérifient que la politique tient face à un e-mail piégé réaliste. Et pour ne pas repartir d'une page blanche, téléchargez notre Modèle de politique mots de passe & MFA, prêt à adapter.

Commencez simplement : téléchargez le modèle dans nos ressources, ou testez gratuitement votre exposition avec le plan Découverte de Sedona Radar.