Guide : mettre en place une politique de mots de passe robuste

En bref

• Depuis 2022, la CNIL ne recommande plus le renouvellement périodique des mots de passe pour les comptes utilisateurs courants. Beaucoup de politiques d'entreprise appliquent encore une règle abandonnée.
• Trois formats sont considérés comme robustes : 12 caractères avec quatre catégories, 14 caractères sans caractère spécial, ou une phrase de passe d'au moins 7 mots.
• Ce qui compte davantage que la complexité : l'unicité par service, un gestionnaire de mots de passe, et l'authentification multifacteur.
• 26 % des TPE-PME françaises ont déployé la double authentification. C'est le principal gisement de sécurité encore disponible.

Pourquoi ce sujet mérite d'être repris à zéro

Le mot de passe est la mesure de sécurité la plus ancienne et la plus mal appliquée. Non par négligence : parce que les règles ont changé, et que les politiques d'entreprise ont rarement suivi.

Les recommandations en vigueur jusqu'au début des années 2020 (complexité maximale, changement tous les 90 jours) sont aujourd'hui considérées comme contre-productives par la CNIL comme par la plupart des autorités. Elles produisent des comportements prévisibles et affaiblissants : Printemps2026! devient Été2026!, le même mot de passe est réutilisé sur dix services, et les post-it réapparaissent sous les claviers.

Cet article part des recommandations actuellement en vigueur, et non de celles qu'on a longtemps répétées.

Ce que visent réellement les attaques sur mots de passe

Comprendre la menace aide à comprendre la contre-mesure. L'ANSSI en distingue quatre formes dans son guide pour les TPE/PME :

• la force brute, qui teste un très grand nombre de combinaisons ;
• l'attaque par dictionnaire, qui teste les mots de passe les plus courants ;
• l'ingénierie sociale, qui teste des informations personnelles glanées sur les réseaux sociaux : prénoms des proches, nom de l'animal, date de naissance ;
• le rejeu d'identifiants déjà fuités ailleurs, souvent via la base mal sécurisée d'un fournisseur.

Ce dernier point est décisif et détermine tout le reste. La longueur de votre mot de passe est sans effet s'il a fuité chez un tiers et que vous l'utilisez aussi au bureau. L'unicité par service protège contre une attaque que la complexité ne prévient pas.

Il faut y ajouter le vol direct par hameçonnage. Chez Cybermalveillance.gouv.fr, le piratage de compte est la première menace visant les entreprises en 2025, avec 21 % des demandes d'assistance et une progression de 52 % sur un an.

Ce qu'est un mot de passe robuste aujourd'hui

La règle de la CNIL

La délibération n° 2022-100 du 21 juillet 2022 a remplacé la recommandation de 2017. Pour un compte utilisateur classique (avec un mécanisme limitant le nombre de tentatives), elle considère trois formats comme équivalents en robustesse :

• 12 caractères minimum comprenant majuscules, minuscules, chiffres et caractères spéciaux (parmi une liste d'au moins 37) ;
• 14 caractères minimum comprenant majuscules, minuscules et chiffres, sans caractère spécial obligatoire ;
• une phrase de passe d'au moins 7 mots choisis aléatoirement.

Le fait que ces trois formats se valent est instructif : la longueur compense la complexité. Une phrase comme cheval-agrafe-lampe-radis-bleu-quatorze-porte est plus robuste et bien plus mémorisable que Tr0ub4dor&3. La condition est que les mots soient tirés au hasard : une citation connue ou une phrase de votre cru n'offre pas la même garantie.

La règle de l'ANSSI

L'ANSSI propose une approche complémentaire, indexée sur la criticité du service : au moins 9 caractères pour un service peu critique (dont la compromission ne donnerait accès à aucune information personnelle ou financière et n'affecterait pas l'activité) et au moins 15 caractères pour un service critique.

Les deux référentiels convergent sur l'essentiel : de la longueur, aucun élément personnel, et un mot de passe différent par service. Pour une PME, la règle opérationnelle la plus simple à faire appliquer est « 14 caractères minimum, ou une phrase de passe, et jamais deux fois le même ».

Ce qu'il faut cesser d'exiger

La CNIL est explicite : elle ne recommande plus la modification périodique des mots de passe pour les utilisateurs courants et recommande de s'abstenir de l'imposer. La raison est comportementale : les utilisateurs modifient leur mot de passe de façon prévisible (un chiffre incrémenté, une saison remplacée), ce qui n'apporte quasiment aucun gain de sécurité tout en dégradant l'expérience et en poussant à la réutilisation.

Deux exceptions demeurent :

• les comptes d'administration, pour lesquels le renouvellement périodique reste recommandé, et pour lesquels la CNIL considère qu'une authentification plus robuste qu'un simple mot de passe est souvent nécessaire ;
• tout mot de passe suspecté d'être compromis, qui doit être changé immédiatement.

Si votre politique impose encore un changement trimestriel à tous les salariés, vous appliquez une règle que l'autorité de contrôle a explicitement abandonnée, au prix d'un agacement quotidien et d'une sécurité moindre.

Construire la politique de votre entreprise

1. Le gestionnaire de mots de passe, brique fondatrice

Demander des mots de passe longs, uniques et non mémorisables sans donner l'outil pour les gérer, c'est demander l'impossible. Un gestionnaire (appelé aussi coffre-fort de mots de passe) génère, stocke et remplit automatiquement les identifiants derrière un seul mot de passe maître.

46 % des TPE-PME en ont déployé un, selon le baromètre de la maturité cyber, en progression de 8 points. L'ANSSI recommande de privilégier une solution certifiée par ses soins. Trois points de vigilance à l'usage :

• le mot de passe maître doit être une phrase de passe longue, unique, jamais réutilisée, et protégée par MFA ;
• prévoyez une procédure de récupération : que se passe-t-il si la personne qui détient les accès partagés quitte l'entreprise du jour au lendemain ?
• utilisez les coffres partagés par équipe plutôt que la transmission de secrets par courriel ou messagerie instantanée.

2. L'authentification multifacteur, la mesure au meilleur rendement

L'authentification multifacteur rend un mot de passe volé largement inexploitable. Le baromètre TPE-PME montre que 26 % seulement des petites entreprises l'ont déployée : c'est le plus grand écart entre l'efficacité d'une mesure et son adoption.

Tous les seconds facteurs ne se valent pas. Par ordre de robustesse croissante :

1. SMS : mieux que rien, mais vulnérable à l'échange de carte SIM, une technique que l'ANSSI a observée en 2025.
2. Application d'authentification (codes temporaires) : bon compromis, gratuit, à privilégier par défaut.
3. Clé de sécurité physique (FIDO2) : la seule qui résiste réellement à l'hameçonnage, car elle vérifie le domaine du site. Recommandée pour les comptes d'administration et les dirigeants.

Ordre de déploiement conseillé : messagerie professionnelle, accès bancaires, accès distants (VPN), comptes d'administration, puis applications métier contenant des données personnelles.

Une réserve honnête : la MFA se contourne. La fatigue MFA (l'envoi de demandes de validation en rafale jusqu'à acceptation par lassitude) et le faux support informatique figurent parmi les techniques documentées par l'ANSSI en 2025. D'où une règle à transmettre explicitement : une demande de validation que vous n'avez pas déclenchée signifie que votre mot de passe est déjà compromis. Refusez, et signalez.

3. Les mesures côté serveur

Si vous exploitez vos propres applications ou un annuaire d'entreprise, quatre réglages relèvent de votre responsabilité :

• Limiter les tentatives : blocage temporaire ou permanent après plusieurs échecs, mesure explicitement recommandée par l'ANSSI. C'est ce qui rend la force brute inopérante et justifie le seuil de 12 caractères de la CNIL.
• Stocker correctement : jamais en clair, jamais avec un simple MD5 ou SHA-1. La CNIL renvoie vers des fonctions spécialisées comme scrypt ou Argon2.
• Désactiver les comptes anonymes ou invités et les comptes par défaut des équipements. L'ANSSI relève régulièrement des interfaces d'administration exposées sur Internet avec un mot de passe constructeur inchangé.
• Ne pas brider inutilement : autorisez les mots de passe longs (la CNIL évoque jusqu'à 50 caractères) et tous les caractères. Une limite à 12 caractères ou l'interdiction des espaces empêche mécaniquement l'usage de phrases de passe.

4. Le cycle de vie des comptes

La meilleure politique de mots de passe ne compense pas un compte oublié. Trois automatismes à instaurer :

• désactivation des comptes le jour du départ d'un salarié ou de la fin d'un contrat de prestation ;
• revue annuelle des accès, l'inventaire fait toujours apparaître des comptes fantômes ;
• proscription des comptes partagés. Un compte « compta » utilisé par quatre personnes rend impossible toute traçabilité et tout changement propre en cas de départ.

5. Écrire, expliquer, outiller

51 % des TPE-PME déclarent disposer d'une politique de mots de passe. Pour qu'elle soit appliquée, elle doit être courte (une page), justifiée (expliquer pourquoi l'unicité prime sur la complexité change l'adhésion) et accompagnée de l'outil qui la rend praticable. Une règle sans gestionnaire de mots de passe sera contournée.

Un modèle de politique en dix lignes

1. Minimum 14 caractères, ou une phrase de passe d'au moins 7 mots tirés au hasard.
2. Un mot de passe différent par service. Aucune exception, jamais entre usage personnel et professionnel.
3. Aucun élément personnel (prénoms, dates, nom de l'entreprise).
4. Gestionnaire de mots de passe obligatoire, fourni par l'entreprise.
5. MFA activée sur messagerie, accès distants, banque et comptes d'administration ; application d'authentification ou clé physique plutôt que SMS.
6. Pas de renouvellement périodique pour les comptes courants ; renouvellement périodique pour les comptes d'administration.
7. Changement immédiat en cas de suspicion de compromission, sans crainte de sanction pour la personne qui la signale.
8. Aucun partage de mot de passe par courriel, messagerie ou téléphone ; usage des coffres partagés.
9. Comptes nominatifs uniquement ; désactivation le jour du départ.
10. Un mot de passe demandé au téléphone est une tentative d'attaque. On raccroche et on signale.

Questions fréquentes

Un gestionnaire de mots de passe n'est-il pas un point unique de défaillance ?

C'est l'objection classique. Le risque existe, mais il se compare à la situation qu'il remplace : des mots de passe faibles, réutilisés et notés sur papier. Les gestionnaires sérieux chiffrent le coffre localement : l'éditeur ne peut pas lire son contenu. Avec un mot de passe maître robuste et la MFA activée, le bilan de sécurité est très largement positif.

Peut-on enregistrer ses mots de passe dans le navigateur ?

C'est préférable à leur réutilisation, mais inférieur à un gestionnaire dédié : la protection dépend alors de la session du système d'exploitation, et le partage en équipe n'est pas prévu. Pour un usage professionnel, un gestionnaire dédié reste le bon choix.

Faut-il imposer des caractères spéciaux ?

Pas nécessairement. La CNIL admet un format à 14 caractères sans caractère spécial obligatoire. Imposer des caractères spéciaux sur un mot de passe court produit surtout des substitutions prévisibles, que les outils d'attaque testent en priorité.

Que faire si un mot de passe de l'entreprise apparaît dans une fuite ?

Changez-le immédiatement, ainsi que tous les comptes où il aurait été réutilisé, révoquez les sessions actives, et vérifiez les règles de transfert de la boîte aux lettres concernée. Si des données personnelles ont pu être consultées, examinez l'obligation de notification à la CNIL sous 72 heures.

Pour aller plus loin

La gestion des accès est l'un des thèmes évalués par notre diagnostic de maturité cyber. Pour déployer un gestionnaire d'entreprise, une solution d'authentification unifiée ou de la MFA sur vos applications métier, consultez des prestataires certifiés. Voir aussi nos articles sur la formation au phishing et les 10 bonnes pratiques pour protéger votre PME.

Sources

• CNIL, Délibération n° 2022-100 du 21 juillet 2022, recommandation relative aux mots de passe, et sa foire aux questions.
• ANSSI, DGE, CPME et Cybermalveillance.gouv.fr, La cybersécurité pour les TPE/PME en 13 questions.
• Cybermalveillance.gouv.fr, Baromètre national de la maturité cyber des TPE-PME et Top 10 des cybermalveillances visant les professionnels en 2025.
• ANSSI, Panorama de la cybermenace 2025, mars 2026.