Gestionnaire de mots de passe en petite entreprise : choix et départ d’un salarié

Le mot de passe de la messagerie professionnelle sur un post-it à côté de l’écran, un tableur « MotsDePasse.xlsx » sur le disque partagé, le même mot de passe pour trois services. Cela vous dit quelque chose ? Dans une petite entreprise, c’est le quotidien, et cela finit généralement de la même façon : quelqu’un part, et vous ne savez pas à quoi cette personne avait accès.

Dans ce guide, je montre comment choisir un gestionnaire de mots de passe, le déployer en une soirée et que faire quand un salarié s’en va. J’écris en termes généraux, sans tableaux de prix, car les offres des éditeurs changent souvent.

Pourquoi pas un tableur ni des post-it

Un tableur semble une solution raisonnable, mais il a plusieurs défauts qui n’apparaissent qu’en cas de crise :

• Il n’y a pas d’historique complet. En général, vous ne voyez pas qui a ouvert le fichier ni qui a copié les mots de passe.
• Impossible de retirer l’accès à un seul mot de passe. Soit quelqu’un voit tout le fichier, soit rien.
• Le fichier circule. Il finit dans des e-mails, sur des clés USB, sur des téléphones personnels et dans des sauvegardes.
• Les mots de passe sont en clair. Toute personne qui ouvre le fichier voit tout, et tant que le fichier est ouvert, un client qui regarde par-dessus l’épaule aussi.
• Il incite aux mots de passe simples. Quand il faut les saisir à la main, les gens en choisissent de courts et répétitifs.

Le post-it à côté de l’écran a un avantage : une attaque venue d’internet ne peut pas s’en emparer. Mais chaque client et chaque personne chargée du ménage le voit, et une fois perdu ou photographié, il n’y a aucun moyen de l’invalider.

Ce que fait un gestionnaire de mots de passe

Un gestionnaire est un coffre chiffré. Vous retenez un seul long mot de passe principal, et il génère et saisit tous les autres. Pour une petite entreprise, trois choses comptent :

1. Un mot de passe unique et aléatoire pour chaque compte, sans avoir à l’inventer ni à le réutiliser.
2. Des coffres partagés pour l’équipe : l’accès à un compte de l’entreprise sans envoyer le mot de passe par e-mail.
3. Le contrôle des accès : vous ajoutez et retirez des personnes en un clic.

Un gestionnaire ne remplace pas le bon sens. Si quelqu’un saisit son mot de passe sur un faux site, le coffre n’y pourra rien. Un bon gestionnaire a toutefois un avantage : il ne propose pas le mot de passe sur un site dont l’adresse est différente, ce qui suffit déjà à bloquer une partie des tentatives d’hameçonnage.

Comment choisir : Bitwarden, 1Password ou le gestionnaire de votre compte

Il n’existe pas un seul meilleur outil. Le choix dépend du nombre de personnes et de votre besoin de coffres partagés.

Ma règle pratique : une personne, quelques comptes, c’est le gestionnaire intégré au compte que vous avez déjà. Deux personnes ou plus, une messagerie partagée, de la publicité, un domaine, c’est un gestionnaire dédié aux entreprises, comme Bitwarden ou 1Password. Choisissez-en un et ne mélangez pas : quand la moitié de l’équipe utilise Google et l’autre moitié Apple, personne ne sait où se trouve quel mot de passe.

Mot de passe principal et 2FA : deux protections du coffre

Un coffre n’est pas plus sûr que sa clé. C’est pourquoi :

• Le mot de passe principal doit être long, idéalement 4 à 5 mots aléatoires. Ne l’utilisez nulle part ailleurs.
• Ne l’enregistrez ni dans votre téléphone ni dans un e-mail. Notez-le sur une feuille et rangez-la chez vous ou dans un vrai coffre-fort. C’est la seule bonne raison d’utiliser du papier.
• Activez un second facteur (2FA) sur le compte du gestionnaire : une application d’authentification ou une clé physique. Le SMS vaut mieux que rien, mais il est plus faible.
• Activez aussi la 2FA sur les comptes les plus importants : messagerie, domaine, hébergement, banque, compte publicitaire.
• Si le gestionnaire prend en charge les clés d’accès (passkeys), utilisez-les partout où le service les accepte.

Le déploiement en une soirée

Un plan que vous pouvez suivre sans informaticien :

1. Choisissez l’outil et créez le compte du propriétaire. Définissez le mot de passe principal et la 2FA.
2. Créez des coffres (collections) par service, par ex. « Messagerie et domaine », « Publicité et réseaux sociaux », « Finances », « Boutique et hébergement ».
3. Listez les comptes de l’entreprise : messagerie, domaine, hébergement, administration du site, Google (Analytics, fiche d’établissement, Ads), Meta, banque, comptabilité, logiciels.
4. Remplacez les mots de passe par des mots de passe générés. Commencez par la messagerie et le domaine, car c’est par la messagerie que l’on réinitialise tout le reste.
5. Invitez les salariés et donnez-leur accès uniquement aux coffres dont ils ont besoin.
6. Supprimez le tableur et les post-it. Seulement une fois que tout est transféré.
7. Désignez un second administrateur ou configurez un accès d’urgence (voir plus bas).

La même règle vaut pour le domaine et l’hébergement : le compte doit être ouvert au nom de l’entreprise, et non sur l’adresse personnelle d’un salarié. J’en parle dans le guide sur la récupération de l’accès au site auprès d’une agence.

Coffres partagés : qui voit quoi

Un coffre partagé règle le problème du « seule Kasia a le mot de passe de Facebook ». Quelques règles :

• Donnez le minimum d’accès. Un commercial n’a pas besoin de la banque en ligne, ni la comptable du compte publicitaire.
• Séparez les rôles. L’administrateur gère les personnes, l’utilisateur ordinaire se sert des mots de passe. Quand c’est possible, donnez un accès en lecture seule.
• N’envoyez pas de mots de passe par e-mail ni par messagerie instantanée. Partagez l’entrée dans le coffre.
• Des comptes de l’entreprise, pas des comptes personnels. Si l’outil permet d’ajouter un autre utilisateur (par ex. Google Ads ou Meta), ajoutez la personne au lieu de partager un mot de passe. On sait alors qui a fait quoi.

Pour les comptes sans utilisateurs distincts, un mot de passe partagé dans le coffre est une bonne solution, mais pensez à la 2FA : le code arrive alors chez une seule personne. Certains gestionnaires savent stocker les codes à usage unique avec le mot de passe, ce qui facilite le travail de l’équipe, mais ce choix mérite d’être pesé en connaissance de cause.

Accès d’urgence : quand le propriétaire est injoignable

Un accident, une maladie, des vacances sans réseau. Si la seule personne qui a le mot de passe principal est injoignable, l’entreprise perd l’accès à tout. C’est pourquoi :

• Désignez un second administrateur dans l’organisation, idéalement une personne de confiance qui a sa propre 2FA.
• Utilisez l’accès d’urgence si l’outil le propose : une personne de confiance peut demander l’accès et l’obtient après un délai fixé si vous ne vous y opposez pas.
• Rédigez une procédure de récupération et conservez-la dans une enveloppe scellée chez une personne de confiance ou dans un coffre-fort.
• Vérifiez-la une fois par an : le second administrateur parvient-il vraiment à se connecter ?

Départ d’un salarié : la liste des étapes

C’est la partie la plus importante. Faites-le le jour du départ, et en cas de conflit, avant même l’entretien.

1. Retirez l’accès au coffre et supprimez l’utilisateur de l’organisation.
2. Changez les mots de passe des comptes qu’il connaissait, en commençant par les plus importants : messagerie de l’entreprise, domaine, hébergement, banque, comptes publicitaires, réseaux sociaux, administration du site. Supprimer le compte du gestionnaire ne change pas les mots de passe que quelqu’un a déjà vus ou copiés.
3. Réinitialisez la 2FA des comptes partagés si les codes arrivaient sur son téléphone.
4. Retirez-le des comptes qui ont des utilisateurs distincts : Google, Meta, hébergement, système de la boutique, comptabilité.
5. Redirigez sa messagerie vers la personne responsable et désactivez la connexion à son compte.
6. Vérifiez les appareils connectés et les sessions actives sur les comptes importants.
7. Récupérez le matériel et déconnectez à distance son téléphone des applications de l’entreprise.
8. Notez la date et l’étendue des changements dans une seule note. Elle servira en cas de litige et lors d’un audit.

Si vous changez les mots de passe du site ou de la boutique après le départ d’une personne qui avait accès à l’administration, vérifiez aussi la liste des administrateurs et des extensions. Je procède de la même façon face à un WordPress piraté.

Ce qu’il ne faut pas faire

• Ne gardez pas les codes de récupération dans le même coffre que le mot de passe principal.
• N’utilisez pas un seul compte de gestionnaire pour toute l’entreprise. Chacun a le sien.
• N’enregistrez pas de mots de passe dans le navigateur de l’ordinateur personnel d’un salarié si le matériel n’appartient pas à l’entreprise.
• Ne partagez pas tout le coffre « par commodité ».
• Ne remettez pas « à plus tard » le changement des mots de passe après le départ d’un salarié.

En résumé

Le gestionnaire de mots de passe est l’un des changements les moins chers et les plus efficaces dans une petite entreprise : des mots de passe uniques, des coffres partagés et de l’ordre au départ d’un salarié. Commencez par la messagerie et le domaine, activez la 2FA et configurez un accès d’urgence.

Si vous voulez vérifier si votre site et vos formulaires résistent aux tentatives de deviner les mots de passe et aux robots, commandez un audit de sécurité ou écrivez-moi. Pour commencer, vous pouvez aussi utiliser l’outil gratuit « Analyser votre site », qui vérifie entre autres la sécurité et les réglages du domaine.