Gestionnaire de mots de passe
Logiciel qui génère, stocke chiffrés et remplit automatiquement des mots de passe uniques pour chaque compte.
Définition complète
Un gestionnaire de mots de passe est un logiciel qui conserve les identifiants dans une base chiffrée, protégée par un secret principal (mot de passe maître, parfois complété d'un second facteur). Il génère des mots de passe longs et aléatoires, différents pour chaque service, et les remplit automatiquement.
Il répond au principal problème des mots de passe en entreprise : la réutilisation. Lorsqu'un site est piraté, les attaquants essaient les mêmes identifiants partout ailleurs. Avec un mot de passe unique par service, une fuite reste limitée à ce service. Les versions professionnelles permettent aussi de partager des accès communs (compte d'un réseau social, portail fournisseur) sans les envoyer par email.
La CNIL recommande leur usage dans sa recommandation de 2022 sur les mots de passe, qui raisonne en entropie plutôt qu'en règles de complexité : pour un mot de passe seul, elle retient par exemple au moins 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux, ou une phrase de passe d'au moins 7 mots. Elle a aussi abandonné l'obligation de renouvellement périodique pour les comptes standard.
Source : CNIL, recommandation relative aux mots de passe (délibération n° 2022-100)
Exemple concret
Dans une agence immobilière de 12 personnes, les accès aux portails d'annonces et à la banque étaient notés dans un tableur partagé. Après la fuite d'un site sans rapport où une assistante utilisait le même mot de passe, un attaquant se connecte au portail d'annonces et publie de faux biens. L'agence adopte un gestionnaire de mots de passe professionnel : chaque accès devient unique, les accès communs sont partagés par coffre, et le départ d'un collaborateur retire immédiatement ses droits.
Comment se protéger
- Choisir une offre professionnelle permettant le partage contrôlé et la révocation des accès
- Protéger le coffre par un mot de passe maître long (phrase de passe) et une authentification multifacteur
- Générer un mot de passe aléatoire unique pour chaque service
- Supprimer les tableurs, carnets et post-it contenant des identifiants
- Prévoir une procédure de récupération si un salarié perd son mot de passe maître
- Former les équipes : le gestionnaire ne remplit pas les identifiants sur un faux site, c'est un signal d'alerte
Questions fréquentes
Le coffre est chiffré et protégé par un secret que l'éditeur ne connaît pas dans les offres sérieuses. Le risque est bien inférieur à celui de mots de passe réutilisés ou notés dans un fichier en clair.
Selon la CNIL, le renouvellement périodique n'est plus exigé pour les comptes standard. Il faut en revanche changer un mot de passe dès qu'une compromission est suspectée, et le renouvellement reste recommandé pour les comptes à privilèges.
Pour un usage personnel, c'est mieux que rien. En entreprise, un gestionnaire dédié permet le partage contrôlé, la gestion des départs et l'administration centralisée.
Termes liés
Authentification multifacteur
Méthode de connexion requérant plusieurs preuves d'identité.
Chiffrement
Transformation des données pour les rendre illisibles sans clé.
Coffre-fort de secrets
Outil qui stocke et distribue de façon sécurisée les clés d'API, mots de passe techniques et certificats utilisés par les applications.
Phishing
Technique d'hameçonnage par email pour voler des données sensibles.
Vous avez besoin d'un expert en Gestionnaire de mots de passe ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.