Quel gestionnaire de mots de passe choisir en entreprise ?

Un gestionnaire de mots de passe est un logiciel qui range vos identifiants dans un coffre chiffré, génère des mots de passe robustes et les remplit à votre place. Vous ne retenez plus qu'un seul secret : le mot de passe maître. C'est la façon la plus réaliste d'utiliser un mot de passe différent pour chaque service. Encore faut-il choisir un outil adapté à une équipe et le déployer correctement.

Pourquoi un gestionnaire plutôt qu'un tableur ?

Quels critères pour choisir ?

La sécurité du coffre

• Chiffrement côté client : les données sont chiffrées sur votre appareil avant d'être envoyées, si bien que l'éditeur ne peut pas les lire.
• Double authentification pour ouvrir le coffre, avec prise en charge des clés de sécurité.
• Évaluations indépendantes : audits publiés par l'éditeur, ou présence du produit dans les listes de produits certifiés ou qualifiés publiées par l'ANSSI.

L'usage en équipe

• coffres partagés par service ou par projet, avec des droits en lecture ou en modification ;
• connexion avec le compte d'entreprise grâce au SSO, l'authentification unique qui donne accès à plusieurs outils avec un seul compte ;
• retrait immédiat des accès lors d'un départ ;
• journal indiquant qui a consulté ou modifié quel accès.

L'hébergement et la réversibilité

• pays d'hébergement des serveurs et droit applicable, un point développé dans notre définition de l'hébergement souverain ;
• existence d'une version à installer sur vos propres serveurs ;
• export complet dans un format lisible, pour pouvoir changer d'outil.

Le confort d'utilisation

Extensions pour les navigateurs, applications mobiles, remplissage automatique fiable : un outil pénible sera contourné. Faites tester l'outil par des utilisateurs non techniques avant de décider.

Comment le déployer en entreprise ?

1. Pilote : quelques volontaires, dont un administrateur, pendant quelques semaines.
2. Organisation des coffres : par service ou par activité, en séparant les accès personnels des accès partagés.
3. Mot de passe maître : une phrase de passe longue, unique, jamais utilisée ailleurs, avec double authentification obligatoire.
4. Récupération : configurez avant le déploiement ce que l'outil propose en cas d'oubli, comme un kit d'urgence ou une récupération par un administrateur.
5. Import : reprenez les tableurs et les navigateurs, puis supprimez les fichiers d'origine et désactivez l'enregistrement dans les navigateurs.
6. Renouvellement : changez progressivement les mots de passe faibles ou réutilisés, en commençant par les comptes critiques.
7. Formation courte : remplir, générer, partager, et ne jamais communiquer son mot de passe maître.
8. Départs : retirez l'accès et changez les mots de passe des coffres partagés que la personne connaissait.

Les erreurs à éviter

• ranger le mot de passe maître dans le coffre lui-même ou l'envoyer par e-mail ;
• n'avoir qu'un seul administrateur, qui devient un point de blocage en cas d'absence ;
• partager tous les coffres avec tout le monde ;
• désactiver la double authentification « pour aller plus vite » ;
• oublier les accès techniques : hébergeur, nom de domaine, comptes de prestataires ;
• continuer à s'échanger des mots de passe par messagerie instantanée à côté de l'outil ;
• ignorer le rapport que la plupart des gestionnaires proposent sur les mots de passe faibles, réutilisés ou exposés dans des fuites connues.

Pour aller plus loin sur les règles de base, relisez notre article sur les mots de passe et la double authentification. NexSecure peut choisir l'outil avec vous, le déployer et accompagner les utilisateurs grâce à son support utilisateurs.