Un mot de passe partagé est un identifiant communiqué à plusieurs personnes pour accéder à un même compte, service ou application. En entreprise, cette pratique reste courante pour les outils collaboratifs, les comptes de réseaux sociaux ou certaines bases de données internes. Le problème est direct : dès qu’un secret circule entre plusieurs utilisateurs, il cesse d’être un secret.
Traçabilité des accès : le premier maillon cassé par le partage de mots de passe
L’authentification par mot de passe repose sur un principe simple : associer un identifiant à une personne physique unique. Quand trois collaborateurs utilisent le même couple login/mot de passe pour se connecter à un outil de gestion ou à un compte client, le système enregistre des connexions sans pouvoir distinguer qui a fait quoi.
A découvrir également : Où faire un Mac OS X Sierra 10.12 Download sûr en 2026 sans virus ?
Cette perte de traçabilité a des conséquences concrètes. En cas d’incident de securite (suppression de fichiers, modification de documents, fuite de données), l’entreprise ne peut pas identifier la source. Les journaux d’accès deviennent inutiles, et toute investigation interne tourne à vide.
Le RGPD, via son article 32, exige des mesures techniques et organisationnelles adaptées aux risques pesant sur les données personnelles. Un compte partagé empêche de prouver qui a accédé à quelles informations, ce qui fragilise la conformité de l’organisme en cas de contrôle ou de notification de violation de données à la CNIL.
A lire en complément : Press papier Android et confidentialité : comment éviter que vos données fuitent ?
Surface d’attaque élargie : comment un identifiant partagé multiplie les risques
Un mot de passe connu d’une seule personne peut fuiter d’une seule manière : par cette personne ou par une compromission technique du service. Un mot de passe connu de cinq personnes multiplie les points d’exposition.
Les vecteurs de fuite les plus fréquents
- Le mot de passe est noté sur un post-it, dans un fichier texte sur le bureau ou dans une conversation de messagerie instantanée, accessible à quiconque consulte l’historique.
- Un des utilisateurs réutilise le même mot de passe sur un compte personnel. Si ce compte personnel est compromis (fuite de base de données), le mot de passe professionnel l’est aussi par rebond.
- Le départ d’un collaborateur ne déclenche pas systématiquement le changement du mot de passe partagé. L’ancien employé conserve alors un accès actif, parfois pendant des mois.
La réutilisation d’identifiants entre comptes professionnels et personnels est précisément le point sur lequel la CNIL et l’ANSSI insistent dans leurs recommandations récentes. Le vrai danger n’est plus la faiblesse du mot de passe, mais sa circulation incontrôlée.
Recommandations CNIL et ANSSI : ce qui a changé pour les mots de passe en entreprise
La recommandation de la CNIL publiée le 14 octobre 2022 a modifié plusieurs principes qui guidaient la gestion des mots de passe depuis 2017. Le renouvellement périodique obligatoire, longtemps considéré comme une bonne pratique, n’est plus exigé pour les comptes standards. L’accent porte désormais sur l’entropie, la longueur du mot de passe et surtout le blocage des secrets déjà compromis.
Ce changement de doctrine reflète un constat technique : forcer un changement tous les 90 jours pousse les utilisateurs à choisir des variantes prévisibles (« Motdepasse1 », « Motdepasse2 »). L’ANSSI converge vers la même logique et recommande l’adoption de phrases de passe longues plutôt que des combinaisons courtes de caractères spéciaux.
Pour le partage d’identifiants, la position est claire. Un mot de passe est par définition un secret non partagé. La recommandation CNIL vise explicitement les authentifications « par tout autre secret non partagé », ce qui exclut de fait les comptes utilisés à plusieurs sans mécanisme de délégation sécurisé.
L’authentification multifacteur comme filet de securite
Activer une authentification multifacteur (MFA) sur les comptes sensibles réduit considérablement le risque même si un mot de passe fuit. La CNIL qualifie les solutions d’authentification forte comme fournissant une meilleure protection que le mot de passe seul. Un second facteur rend un mot de passe volé largement inexploitable tant que l’attaquant ne contrôle pas aussi le téléphone ou la clé physique associée.
Gestionnaire de mots de passe et passkeys : les alternatives au partage d’identifiants
La solution la plus directe pour éliminer le partage brut de mots de passe en entreprise est le recours à un gestionnaire de mots de passe. Ces outils permettent de stocker les identifiants dans un coffre chiffré, d’attribuer des accès par rôle et de générer des mots de passe uniques pour chaque compte.
Le gain principal n’est pas seulement la robustesse des mots de passe générés. C’est la traçabilité retrouvée : chaque utilisateur accède au coffre avec son propre compte, et les journaux enregistrent qui a consulté quel identifiant, à quelle heure.
Les passkeys comme remplacement du mot de passe partagé
Plusieurs entreprises pilotent ou déploient en 2025-2026 des authentifications sans mot de passe fondées sur les passkeys. Cette technologie lie l’authentification à un appareil physique (smartphone, ordinateur) via une clé cryptographique. Le secret n’est jamais transmis ni stocké sur un serveur, ce qui rend le partage d’identifiants techniquement impossible.
Microsoft a annoncé que les passkeys deviennent le mode d’authentification par défaut sur Entra ID à partir de septembre 2025. Cette bascule à grande échelle signale que le modèle du mot de passe partagé vit probablement ses dernières années dans les environnements professionnels structurés.
Critères pour choisir entre gestionnaire et passkeys
- Si l’entreprise utilise encore des applications anciennes qui ne prennent pas en charge les passkeys, un gestionnaire de mots de passe reste la solution la plus réaliste pour sécuriser les comptes partagés.
- Si l’infrastructure repose sur des services cloud compatibles (Microsoft 365, Google Workspace), les passkeys suppriment le problème à la racine en éliminant le mot de passe lui-même.
- Dans les deux cas, la gestion des accès par rôle et la révocation rapide lors du départ d’un collaborateur sont les points à vérifier en priorité.
Le partage de mots de passe ne disparaîtra pas par la seule sensibilisation des utilisateurs. Ce sont les choix d’outils et d’architecture d’authentification qui déterminent si un identifiant peut encore circuler librement ou non. L’adoption progressive des passkeys et le durcissement des recommandations de la CNIL tracent une direction nette : chaque accès doit être individuel, vérifiable et révocable.
