Mots de passe et 2FAle minimum vital en PME

La réponse courte

Le minimum vital pour une PME tient en quatre mesures : un gestionnaire de mots de passe d'équipe (un mot de passe unique et fort par compte), la double authentification partout où elle existe (par application TOTP ou clé de sécurité, pas par SMS), des passkeys dès qu'un service les propose, et un processus d'offboarding écrit qui coupe tous les accès le jour d'un départ. Ce socle bloque l'immense majorité des compromissions réelles.

Le gestionnaire de mots de passe d'équipe, la fondation

Le problème numéro un n'est pas la faiblesse des mots de passe, c'est leur réutilisation. Quand le même mot de passe sert pour la messagerie, le CRM et un site quelconque qui se fait pirater, tous les comptes tombent en même temps. Les attaquants testent automatiquement les couples email/mot de passe fuités sur des centaines de services : c'est industriel, pas ciblé.

Un gestionnaire de mots de passe d'équipe (Bitwarden, 1Password, Dashlane, Proton Pass, peu importe lequel tant qu'il est utilisé) règle le problème à la racine :

• Un mot de passe unique et aléatoire par service, généré par l'outil, jamais mémorisé ni réutilisé.
• Des coffres partagés par équipe : les accès du pôle compta ne sont visibles que du pôle compta, et un accès partagé se révoque sans changer le mot de passe de tout le monde.
• La fin des mots de passe dans les mauvais endroits : fichiers Excel « acces.xlsx », post-it, conversations Slack, carnets. Si vos identifiants vivent encore dans un tableur partagé, vous cumulez les problèmes décrits dans notre article sur les limites d'Excel comme outil d'équipe.
• Un point de contrôle pour l'offboarding : la liste de ce qu'une personne pouvait voir existe enfin quelque part.

Comptez quelques euros par utilisateur et par mois. C'est, de très loin, la mesure de sécurité au meilleur rapport coût/efficacité.

La 2FA partout, et pas n'importe laquelle

La double authentification (2FA) ajoute une preuve en plus du mot de passe : même volé, il ne suffit plus. La règle est simple : activez-la partout où elle est proposée, en priorité sur la messagerie (qui permet de réinitialiser tous les autres comptes), la banque, l'hébergement, le nom de domaine, et vos outils métier.

Toutes les méthodes ne se valent pas :

• SMS : à éviter quand une alternative existe. Un numéro se détourne (SIM swapping), un SMS s'intercepte, et un faux site peut vous demander le code en temps réel.
• Application TOTP (Google Authenticator, Aegis, l'authentificateur intégré au gestionnaire de mots de passe) : le bon standard. Codes à 6 chiffres renouvelés toutes les 30 secondes, générés localement, sans réseau.
• Clé de sécurité physique (type YubiKey) : le niveau au-dessus. La clé vérifie le site sur lequel vous vous connectez, ce qui neutralise le phishing, y compris les faux sites très convaincants.

Un point souvent oublié : conservez les codes de récupération dans le gestionnaire de mots de passe, dans un coffre restreint. Une 2FA sans procédure de secours se transforme en blocage le jour où un téléphone est perdu.

Les passkeys : la suite logique

La passkey pousse la logique de la clé de sécurité plus loin : plus de mot de passe du tout. Une clé cryptographique est stockée sur votre appareil (téléphone, ordinateur, ou synchronisée via votre écosystème) et déverrouillée par empreinte, visage ou code local. Rien à retenir, rien à saisir, et surtout rien à voler : la passkey ne fonctionne que sur le vrai site, jamais sur une copie de phishing.

Google, Microsoft, Apple, GitHub et un nombre croissant de services professionnels les proposent. La démarche pragmatique pour une PME : activer les passkeys partout où elles existent, sans chercher l'exhaustivité, et garder une méthode de secours (TOTP) documentée pour chaque compte critique.

SSO : un seul compte à ouvrir, un seul compte à fermer

Quand l'équipe grandit, le nombre d'outils explose : messagerie, CRM, facturation, stockage, outils projet, applications internes. Gérer dix comptes par personne devient ingérable, et chaque compte oublié est une porte laissée ouverte.

Le SSO (single sign-on) centralise tout : chaque salarié se connecte à tous les outils avec son compte d'entreprise (Google Workspace, Microsoft Entra, ou un fournisseur d'identité dédié). Les bénéfices sont directs :

• Un seul mot de passe fort et une seule 2FA à gérer par personne, au lieu de dix.
• Des règles centralisées : 2FA obligatoire pour tous, imposée depuis la console d'administration.
• Un offboarding en un geste : désactiver le compte central coupe l'accès à tout, immédiatement.

Le SSO n'est pas réservé aux grands groupes : à partir d'une dizaine de personnes, il simplifie plus qu'il ne coûte. Si vous faites développer un SaaS ou un outil interne, prévoir la compatibilité SSO dès le départ coûte peu et évite une migration pénible plus tard.

L'offboarding : le trou dans la raquette de la plupart des PME

Le scénario classique n'est pas un pirate dans un sweat à capuche : c'est un prestataire dont la mission est finie depuis huit mois et dont le compte fonctionne toujours, ou un ancien salarié qui connaît encore le mot de passe du compte partagé « contact@ ». Sans intention malveillante, ce sont déjà des données d'entreprise accessibles hors de tout contrôle ; avec un différend, cela devient un incident.

Le remède est un processus écrit, déroulé le jour du départ :

• Une liste tenue à jour de tous les outils et accès par personne (le gestionnaire de mots de passe et le SSO la fournissent presque gratuitement).
• Désactivation du compte central (SSO) ou de chaque compte nominatif, le jour même, pas « à l'occasion ».
• Rotation des secrets partagés auxquels la personne avait accès : codes wifi, clés d'API, comptes techniques.
• Récupération ou transfert des données et des propriétés (noms de domaine, dépôts de code, comptes publicitaires enregistrés à un nom personnel).

Dix lignes dans un document, dix minutes le jour J : c'est le meilleur investissement sécurité à coût nul.

Ce que ça implique pour vos applications métier

Ces principes valent aussi pour les outils que vous faites développer. Une application métier sur-mesure bien conçue intègre dès le départ :

• Des comptes nominatifs : jamais de compte « admin » partagé entre quatre personnes, sinon la traçabilité et l'offboarding deviennent impossibles.
• Des rôles et des permissions : chaque utilisateur accède à ce dont il a besoin, rien de plus. C'est aussi une exigence directe du RGPD, détaillée dans notre guide RGPD et application métier.
• Une journalisation des actions sensibles : qui a consulté, modifié ou exporté quoi, et quand. Indispensable pour comprendre un incident au lieu de le subir.
• Le support de la 2FA ou du SSO : votre outil interne mérite le même niveau de protection que votre messagerie.
• Une désactivation propre des comptes : couper l'accès sans effacer l'historique des actions passées.

Ces choix coûtent peu quand ils sont posés dès la conception, et très cher quand il faut les rattraper après un incident. Pour aller plus loin, nos autres guides sont regroupés dans la catégorie sécurité du blog.

Vous voulez vérifier que vos comptes ou votre application métier tiennent la route ? Décrivez-nous votre situation, nous vous répondons sous 24 h.