Un mot de passe noté sur un post-it ou envoyé par courriel circule plus qu'on ne le croit. Un gestionnaire de mots de passe règle la question sans alourdir le quotidien.
Dans beaucoup de petites structures, le même mot de passe sert pendant des années. Il est connu de l'associée, de la personne qui gère la paie, du prestataire qui a installé le logiciel de facturation, et parfois d'un ancien collaborateur. Personne ne décide vraiment de ce partage : il s'installe parce qu'il est pratique, et il devient vite difficile à défaire.
Le problème n'est pas la bonne foi des personnes, mais la multiplication des points d'exposition. Un mot de passe partagé ne peut pas être changé sans prévenir tout le monde, il ne laisse pas de trace de qui l'a utilisé, et il est souvent réutilisé sur d'autres services personnels. Quand un seul de ces services est compromis, tous les accès qui partagent le même secret le sont aussi.
Un mot de passe partagé pose trois difficultés. D'abord, il ne permet pas de savoir qui s'est connecté à un outil à un moment donné, ce qui complique toute enquête après un incident. Ensuite, il doit être transmis par un canal, courriel, messagerie ou message papier, qui peut lui-même être lu par un tiers. Enfin, sa révocation demande de modifier le secret partout où il est connu, ce que l'on repousse presque toujours.
Les recommandations publiques vont dans le même sens. L'ANSSI et la CNIL rappellent qu'un mot de passe doit être long, unique pour chaque service et protégé. Un mot de passe partagé entre plusieurs personnes ne respecte pas le principe d'unicité, et il est difficile à faire évoluer sans procédure.
Un gestionnaire de mots de passe stocke les identifiants dans un coffre chiffré. Chaque personne n'a besoin de connaître qu'un seul secret, le mot de passe maître, pour accéder aux autres. Le gestionnaire peut aussi générer des mots de passe longs et différents pour chaque service, et remplir les formulaires de connexion sans que l'utilisateur ait à les recopier.
Dans une équipe, la plupart des gestionnaires permettent de partager un dossier d'identifiants avec des droits précis : consultation seulement, modification, ou gestion du dossier. Le partage ne passe plus par un courriel ou un post-it. Quand une personne quitte l'équipe, son accès est retiré en un geste, sans avoir à changer chaque mot de passe un par un, même s'il reste utile de changer les plus sensibles.
Plutôt que de comparer des dizaines de produits, retenez quelques critères concrets. Le chiffrement doit être de bout en bout, de sorte que le fournisseur ne puisse pas lire vos données. Le produit doit proposer la double authentification pour le compte d'administration. Il doit permettre d'exporter vos données, pour ne pas être prisonnier d'un service. Enfin, il doit disposer d'applications pour l'ordinateur et le téléphone, car les accès se font sur les deux.
Vérifiez aussi qui gère le compte d'administration. Dans une très petite structure, il vaut mieux qu'au moins deux personnes puissent récupérer l'accès, à l'aide d'une procédure écrite, plutôt qu'une seule dont l'absence bloquerait tous les services.
Commencez par les accès les plus sensibles : la messagerie professionnelle, la banque, les comptes d'administration du site, l'hébergement et les outils de paie. Créez un dossier partagé par fonction plutôt que par personne, puis migrez les mots de passe existants au fur et à mesure que chacun se connecte. Une courte séance avec l'équipe suffit souvent à expliquer l'usage quotidien.
Un gestionnaire ne remplace pas la vigilance. Il faut toujours vérifier l'adresse du site avant de se connecter, car un faux site de connexion reste possible, et il faut changer sans attendre les mots de passe déjà compromis si une fuite est signalée. Cybermalveillance.gouv.fr publie des conseils pratiques pour les particuliers et les professionnels sur ce sujet.
L'objectif n'est pas de créer une contrainte supplémentaire, mais de faire disparaître les pratiques les plus risquées. Un mot de passe qui n'est plus partagé par courriel, qui se change sans bouleverser l'équipe et qui laisse une trace de son usage est déjà une protection solide pour une petite entreprise.