Bonnes pratiques de gestion des mots de passe dans les secteurs réglementés : guide pratique de sécurité

Les bonnes pratiques en matière de mots de passe se résument à une courte liste, presque banale, mais efficace : utiliser un gestionnaire de mots de passe pour générer des mots de passe longs et uniques pour chaque compte, activer l'authentification multifacteur (MFA) et ne jamais réutiliser le même mot de passe d'un service à l'autre. Pour les équipes des secteurs de la santé, du droit et de la finance, le principal risque n'est que rarement un mot de passe trop simple. C'est un mot de passe réutilisé ou volé. La plupart des compromissions de comptes commencent aujourd'hui avec des identifiants que l'attaquant possède déjà, et non avec un mot de passe deviné. L'objectif est donc de supprimer la réutilisation et d'ajouter un second facteur.

‍

Points clés

• Un gestionnaire de mots de passe associé à la MFA bloque la grande majorité des attaques automatisées de prise de contrôle de comptes. C'est cette combinaison, et non la mémorisation de chaînes ingénieuses, qui constitue le socle de la sécurité des mots de passe.
• La réutilisation est la principale vulnérabilité. Les études du secteur montrent systématiquement que la plupart des personnes réutilisent leurs mots de passe : une seule fuite de données peut donc se propager à tous les comptes qui partagent ce mot de passe.
• Les mots de passe faibles sont généralement prévisibles, et non aléatoires. Les variations saisonnières, les noms d'animaux et les noms d'entreprise sont précisément ce que les attaquants testent en premier.
• La menace ne consiste plus à deviner les mots de passe, mais à les voler. C'est pourquoi l'unicité et la MFA comptent plus que la simple complexité des caractères.
• Les identifiants professionnels et personnels ne doivent jamais être mélangés. Les séparer limite les dégâts lorsque l'un des deux est compromis.

‍

Quelles sont les bonnes pratiques en matière de mots de passe ?

Les bonnes pratiques en matière de mots de passe regroupent les habitudes et les contrôles qui empêchent que des identifiants de compte soient devinés, cassés, réutilisés ou volés. Elles couvrent la manière dont un mot de passe est créé (longueur et caractère aléatoire), dont il est stocké (un gestionnaire de mots de passe plutôt qu'un post-it, un tableur ou un navigateur), dont il est protégé (MFA) et dont il est partagé (uniquement par des canaux sécurisés). Les recommandations actuelles des organismes de normalisation s'éloignent des règles de caractères compliquées et des changements fréquents, et privilégient la longueur, l'unicité et un second facteur solide.

‍

Pourquoi la sécurité des mots de passe est plus importante que jamais

Les méthodes des attaquants ont changé. Il y a dix ans, la principale crainte était qu'une personne casse un mot de passe faible par force brute, en essayant de nombreuses combinaisons. Aujourd'hui, la menace principale est le vol d'identifiants : les attaquants obtiennent des mots de passe valides via des fuites de données, l'hameçonnage et les infostealers (des logiciels malveillants qui récupèrent discrètement les mots de passe enregistrés et les sessions de connexion sur un appareil infecté), puis se connectent tout simplement. Selon le Verizon Data Breach Investigations Report, les identifiants volés figurent parmi les moyens les plus courants pour les attaquants d'obtenir un premier accès, et IBM X-Force signale qu'une grande part des intrusions utilise des identifiants valides volés plutôt qu'une quelconque faille.

‍

Cela compte pour une raison très concrète. Si un attaquant peut acheter ou voler un mot de passe qui fonctionne déjà, la robustesse de ce mot de passe ne vous protège plus. Ce qui vous protège, c'est que le mot de passe soit unique (il ne peut donc ouvrir aucun autre accès) et qu'un second facteur se dresse entre le mot de passe volé et le compte. Pour les équipes réglementées qui manipulent des dossiers sensibles, ce changement résume tout l'intérêt des pratiques décrites ci-dessous.

‍

Qu'est-ce qui rend un mot de passe robuste ?

Trois propriétés rendent un mot de passe robuste : la longueur, le caractère aléatoire et l'unicité. La longueur est la plus importante. Le National Institute of Standards and Technology (NIST) américain, dans sa publication spéciale 800-63B-4, recommande un minimum de 15 caractères pour un mot de passe utilisé comme facteur unique (et prend en charge des longueurs d'au moins 64 caractères), tandis que la Cybersecurity and Infrastructure Security Agency (CISA) recommande de viser au moins 16 caractères. Le caractère aléatoire consiste à éviter les mots du dictionnaire et les informations personnelles. L'unicité signifie un mot de passe différent pour chaque compte.

‍

Une alternative utile à la chaîne aléatoire est la phrase secrète : quatre à sept mots sans lien entre eux, mis bout à bout. Elle est longue, difficile à casser et bien plus facile à retenir. La CISA donne des exemples constitués de quelques mots sans rapport combinés en une seule phrase.

‍

‍

Voici la différence en pratique :

‍

‍

Comment créer un mot de passe fort

La méthode la plus rapide et la plus fiable consiste à laisser un gestionnaire de mots de passe en générer un pour vous. Lorsque vous devez en créer un manuellement (par exemple, le mot de passe principal qui déverrouille votre gestionnaire), construisez une phrase secrète :

‍

1. Choisissez de quatre à sept mots aléatoires et sans lien entre eux. Évitez tout ce qui vous concerne, ainsi que votre employeur ou la date.
2. Assemblez-les en une seule phrase. Vous pouvez conserver ou supprimer les espaces.
3. Privilégiez la longueur plutôt que la complexité. Une phrase longue vaut mieux qu'une courte chaîne de symboles.
4. Veillez à ce qu'elle ne soit utilisée qu'à un seul endroit, et nulle part ailleurs.
5. Ne la stockez jamais en clair. Mémorisez le mot de passe principal et laissez le gestionnaire conserver tous les autres.

‍

Évitez totalement les éléments prévisibles. Les attaquants lancent des attaques par dictionnaire (devinettes automatisées à partir de listes de mots courants et de mots de passe connus) et du credential stuffing (réutilisation de couples identifiant/mot de passe issus d'autres fuites de données). Les mots de passe courants déjà compromis, comme 123456, admin et password (régulièrement relevés dans les recherches de NordPass), sont découverts instantanément, tout comme les choix contextuels : le nom d'un animal de compagnie, le nom de l'entreprise, ou une saison suivie d'une année.

‍

Cessez de réutiliser vos mots de passe : la mesure qui compte le plus

Si vous ne deviez changer qu'une seule habitude, ce serait celle-ci. Selon des enquêtes citées dans des études sur la sécurité, la plupart des gens réutilisent leurs mots de passe sur plusieurs comptes (Forbes Advisor a fait état d'environ 78 %), et l'analyse des fuites de données de SpyCloud a montré qu'une large part des personnes touchées par des fuites avaient réutilisé un mot de passe déjà exposé. La réutilisation transforme une simple fuite en réaction en chaîne : un service compromis donne à un attaquant la clé de votre messagerie, et votre messagerie sert à réinitialiser tous les autres comptes.

‍

Deux règles en découlent directement. Première règle : utilisez un mot de passe par service, sans exception. Seconde règle : séparez totalement les identifiants professionnels et personnels. Le mot de passe de votre service de streaming n'a rien à faire près des systèmes de l'entreprise, et un mot de passe professionnel ne devrait jamais protéger un compte personnel. Considérez cette séparation comme un contrôle de sécurité, et non comme une question de bienséance : elle limite l'étendue des dégâts, de sorte qu'une compromission d'un côté ne puisse pas se propager de l'autre.

‍

Qu'est-ce qu'un gestionnaire de mots de passe, et faut-il en utiliser un ?

Un gestionnaire de mots de passe est une application qui génère, stocke et remplit automatiquement vos mots de passe dans un coffre-fort chiffré. Vous retenez un seul mot de passe principal robuste, et le gestionnaire se souvient de tout le reste, y compris de longs mots de passe aléatoires que vous ne pourriez jamais mémoriser. Il signale aussi les mots de passe faibles ou en double afin que vous puissiez les corriger. La CISA et la plupart des équipes de sécurité considèrent le gestionnaire de mots de passe comme le moyen le plus simple de rendre réalistes des mots de passe forts et uniques pour chaque compte.

‍

Il existe deux grandes catégories. Les gestionnaires de mots de passe personnels s'adressent aux particuliers et aux petites équipes. Les solutions pour entreprises, souvent intégrées à la gestion des accès à privilèges (PAM, soit la sécurisation et la surveillance des identifiants d'administration à forte valeur), ajoutent un contrôle centralisé, des restrictions d'accès, de l'audit et l'authentification unique (SSO, qui permet de s'authentifier une seule fois pour accéder à plusieurs applications approuvées). Une mise en garde : évitez de vous fier au stockage intégré de votre navigateur pour vos identifiants importants, car les mots de passe enregistrés dans un navigateur peuvent être plus faciles à extraire d'un appareil compromis ou volé que ceux d'un gestionnaire dédié et chiffré.

‍

Activez l'authentification multifacteur (MFA)

L'authentification multifacteur (MFA) exige une seconde preuve d'identité en plus de votre mot de passe, comme un code provenant d'une application d'authentification, une clé matérielle ou une vérification biométrique. Comme un mot de passe volé ou deviné ne suffit pas pour accéder au compte, la MFA bloque la grande majorité des attaques automatisées de masse, et la CISA comme Microsoft la recommandent comme contrôle de base.

‍

Tous les facteurs ne se valent pas. Lorsque c'est possible, privilégiez les méthodes résistantes à l'hameçonnage reposant sur les standards FIDO2 et WebAuthn, notamment les passkeys (des clés cryptographiques liées à votre appareil, qui remplacent entièrement le mot de passe et fonctionnent comme méthode de connexion à part entière, et pas seulement comme second facteur). Les codes à usage unique envoyés par SMS sont le facteur courant le plus faible, car ils sont vulnérables au SIM swapping et aux attaques sur le protocole SS7, qui peuvent intercepter les SMS au niveau du réseau. Le NIST et la CISA déconseillent tous deux de s'y fier lorsque des options plus robustes existent.

‍

Faut-il changer régulièrement vos mots de passe ?

Non, pas selon un calendrier fixe, du moins pour les comptes utilisateur ordinaires. Le NIST déconseille désormais les changements de mot de passe périodiques obligatoires pour les mots de passe des utilisateurs, car un renouvellement forcé pousse les gens vers des schémas prévisibles (Summer2025 devient Summer2026) et à noter leurs mots de passe. Changez plutôt un mot de passe lorsqu'il y a une raison : une compromission avérée ou suspectée, une notification de fuite de données, ou un identifiant dont vous ne pouvez plus retracer l'usage. Même si vous êtes « presque sûr que tout va bien », une exposition confirmée est une raison suffisante pour le changer. (Les identifiants d'administration à privilèges élevés font exception et sont souvent renouvelés de façon systématique.)

‍

Comment partager des mots de passe en toute sécurité

Il arrive qu'un identifiant doive vraiment être partagé. Dans ce cas, le canal compte autant que le mot de passe. N'envoyez jamais un mot de passe par Slack, par email ou par SMS : il peut rester dans un historique consultable, être transféré ou être exposé si l'un des comptes est compromis. Partagez-le plutôt via la fonction de partage sécurisé d'un gestionnaire de mots de passe, qui garde l'identifiant chiffré et vous permet de révoquer l'accès ultérieurement. Si un mot de passe transite un jour par une messagerie instantanée ou par email, considérez-le comme exposé et changez-le.

‍

Bonnes pratiques de gestion des mots de passe pour les secteurs réglementés

Les organisations des secteurs de la santé, du droit et de la finance ont une obligation supplémentaire, car les comptes concernés protègent souvent des données réglementées. Dans le domaine de la santé, il s'agit notamment des informations de santé protégées (PHI, données de santé permettant d'identifier une personne). Plusieurs cadres réglementaires fixent des exigences que de bonnes pratiques de gestion des identifiants aident à satisfaire. La règle de sécurité de HIPAA (HIPAA Security Rule) exige par exemple des contrôles d'accès et des mesures d'authentification pour les systèmes qui traitent des PHI ; des identifiants uniques associés à la MFA sont des moyens concrets de répondre à ces exigences. (HIPAA encadre aussi les relations avec les prestataires par un Business Associate Agreement, ou BAA, le contrat qui engage la responsabilité d'un prestataire de services dans la protection des PHI.)

‍

Un point mérite d'être gardé à l'esprit : conformité et sécurité sont liées, mais ne sont pas identiques. Une politique de mots de passe peut satisfaire techniquement une ancienne liste de contrôle tout en laissant subsister un risque réel. Une politique qui semble stricte (changements forcés fréquents, règles de complexité des caractères) peut aussi s'avérer moins efficace en pratique qu'une politique plus simple, fondée sur la longueur, l'unicité, un gestionnaire de mots de passe et la MFA. Pour une équipe soumise à une réglementation, l'objectif est de disposer d'une politique à la fois défendable devant un auditeur et réellement efficace face aux méthodes des attaquants actuels. Des identifiants robustes et uniques, la MFA, le partage sécurisé et un coffre-fort chiffré soutiennent des contrôles reconnus dans des cadres tels que HIPAA, SOC 2 et ISO 27001, sans nuire à la facilité d'utilisation.

‍

FAQ

‍

Quel est le type de mot de passe le plus sûr ?

Le mot de passe le plus sûr est un mot de passe long et aléatoire, généré et stocké par un gestionnaire de mots de passe, car vous n'avez jamais besoin de le retenir ni de le saisir. Pour le seul mot de passe que vous devez mémoriser, une phrase secrète composée de quatre à sept mots sans rapport entre eux offre à la fois longueur et facilité de mémorisation. Dans les deux cas, le mot de passe doit être propre à un seul compte.

‍

Quels sont les mots de passe courants à éviter ?

Les études menées sur les identifiants compromis, comme l'analyse annuelle de NordPass, retrouvent sans cesse les mêmes mots de passe en tête : 123456, admin et password. Tout mot du dictionnaire pris isolément, un prénom ou le nom d'un animal de compagnie, le nom d'une entreprise ou une saison suivie d'une année tombent dans le même piège. Ce sont les premiers essais d'une attaque automatisée : évitez-les complètement.

‍

Les gestionnaires de mots de passe sont-ils sûrs ?

Oui, pour presque tout le monde, un gestionnaire de mots de passe réputé est bien plus sûr que les alternatives, à savoir la réutilisation, les mots de passe faibles et les notes adhésives. Le coffre-fort est chiffré, et vous n'avez qu'un seul mot de passe principal robuste à protéger (idéalement une phrase secrète), avec la MFA activée. Cette simplicité d'utilisation permet aussi de disposer de mots de passe robustes et uniques sur des dizaines de comptes.

‍

Quelle longueur doit avoir un mot de passe ?

Plus un mot de passe est long, plus il est robuste. Le NIST recommande un minimum de 15 caractères pour un mot de passe utilisé comme seul facteur et accepte des longueurs d'au moins 64 caractères, tandis que la CISA conseille de viser au moins 16 caractères. Une phrase secrète est un moyen simple d'atteindre cette longueur sans créer un mot de passe impossible à retenir.

‍

Faut-il changer régulièrement ses mots de passe ?

Pas à intervalles fixes pour les comptes ordinaires. Le NIST déconseille les changements périodiques obligatoires, car ils favorisent des schémas prévisibles. Changez un mot de passe lorsqu'un événement le justifie réellement, comme une notification de fuite de données ou tout signe de compromission.

‍

Est-il sûr d'enregistrer ses mots de passe dans son navigateur ?

Pour les comptes importants, un gestionnaire de mots de passe dédié est plus sûr que le stockage intégré à votre navigateur. Les mots de passe enregistrés dans un navigateur peuvent être plus faciles à extraire d'un appareil perdu, volé ou infecté par un logiciel malveillant. N'utilisez la proposition d'enregistrement des identifiants du navigateur que pour des comptes de faible importance, voire pas du tout.

‍

Comment partager un mot de passe avec un collègue ?

Utilisez la fonction de partage sécurisé d'un gestionnaire de mots de passe : elle garde l'identifiant chiffré et vous permet de révoquer l'accès par la suite. Ne l'envoyez pas par Slack, par email ni par SMS. Si un mot de passe a déjà transité par l'un de ces canaux, changez-le.