# Déployer un gestionnaire de mots de passe en entreprise

Source : https://cybercaribou.com/blogue/deployer-gestionnaire-mots-de-passe-entreprise · Cyber Caribou

> Critères de choix, coffres partagés, projet pilote, mot de passe principal, départs d'employés : le plan pour déployer un gestionnaire de mots de passe en PME.

Dans un bureau d'architectes de Québec, 22 employés, les mots de passe vivent un peu partout : un fichier « MDP_clients.xlsx » sur le lecteur partagé, des papillons adhésifs sous les claviers, et des dizaines d'identifiants enregistrés dans les navigateurs personnels de chacun. Le jour où l'adjointe administrative a pris sa retraite, personne ne connaissait le mot de passe du registraire du nom de domaine. Il a fallu deux semaines pour le récupérer.

Un gestionnaire de mots de passe règle ce genre de problème : des mots de passe longs et uniques, un partage contrôlé entre collègues, et des accès qu'on peut retirer en quelques clics. Les contrôles de base du Centre canadien pour la cybersécurité demandent d'ailleurs aux organisations d'adopter des règles claires sur la longueur et la réutilisation des mots de passe, ainsi que sur l'usage des gestionnaires de mots de passe.

Acheter les licences, c'est la partie facile. Ce qui fait réussir ou échouer le projet, c'est le déploiement. Voici un plan à la mesure d'une PME.

- Le tableur partagé et le navigateur personnel ne permettent ni partage contrôlé ni retrait des accès au départ d'un employé.
- Choisissez un outil avec authentification multifacteur, architecture à divulgation nulle de connaissance et console d'administration.
- Déployez en six étapes : règles, structure des coffres, projet pilote, déploiement par équipe, ménage des mots de passe, intégration aux arrivées et aux départs.
- Le coffre lui-même mérite une protection renforcée : phrase de passe principale, MFA et plan de récupération.

## Pourquoi le tableur et le navigateur ne suffisent plus

| Méthode actuelle | Ce qui semble pratique | Le vrai problème |
|---|---|---|
| Tableur sur le lecteur partagé | Tout le monde y a accès | Tout le monde y a accès, y compris un rançongiciel qui copie vos fichiers |
| Navigateur, profil personnel | Remplissage automatique | Aucun contrôle de l'entreprise; les accès partent avec l'employé |
| Mots de passe envoyés par courriel ou clavardage | Rapide | Ils restent dans les historiques pendant des années |
| Papillons adhésifs, carnet | Toujours sous la main | Visibles par les visiteurs, impossibles à révoquer |
| Même mot de passe partout | Facile à retenir | Une seule fuite ouvre tous les comptes |

Le Centre canadien pour la cybersécurité note aussi que les gestionnaires intégrés aux navigateurs reposent sur une fonction « se souvenir de moi » risquée sur les appareils partagés, et qu'ils ne se synchronisent pas toujours d'un appareil à l'autre.

Les normes vont dans le même sens. La révision 2025 de la ligne directrice SP 800-63B du NIST précise que les services doivent permettre les gestionnaires de mots de passe et le remplissage automatique, et devraient autoriser le collage des mots de passe, justement pour rendre praticables des mots de passe longs et uniques.

## Choisir l'outil : les critères qui comptent pour une PME

Le Centre recommande un gestionnaire qui prend en charge l'authentification multifacteur, repose sur une architecture à divulgation nulle de connaissance (même le fournisseur ne peut pas lire vos mots de passe), signale les mots de passe faibles ou réutilisés, avertit lorsqu'un mot de passe apparaît dans une fuite connue et explique publiquement comment il protège les données. En entreprise, ajoutez :

- [ ] Une console d'administration pour gérer les comptes et les règles.
- [ ] Des coffres partagés par équipe, avec des droits de lecture ou de modification.
- [ ] Un journal des accès et des modifications.
- [ ] Une intégration à votre annuaire (Microsoft 365, Google Workspace) pour créer et désactiver les comptes.
- [ ] Une procédure de récupération de compte contrôlée par l'administrateur.
- [ ] Des applications pour tous les systèmes utilisés chez vous, téléphones compris.

Pour comparer les options courantes sur ces critères, consultez notre [comparatif des gestionnaires de mots de passe pour entreprise](https://cybercaribou.com/comparatifs/gestionnaires-mots-de-passe-entreprise).

## Le plan de déploiement en six étapes

1. **Fixer les règles.** Désignez un responsable. Écrivez sur une page ce qui va dans le gestionnaire, qui peut partager quoi, et l'interdiction de stocker des mots de passe de l'entreprise ailleurs.
2. **Structurer les coffres.** Un coffre par équipe (Finance, Projets, TI, Marketing), plus un coffre personnel pour chacun. Partagez selon le besoin, pas par commodité.
3. **Lancer un projet pilote.** Trois ou quatre personnes pendant deux semaines, dont au moins une sceptique. Ses objections vous feront gagner du temps.
4. **Déployer équipe par équipe.** Une courte formation, l'extension installée de façon centralisée, l'importation des mots de passe du navigateur, puis leur suppression du navigateur. Désactivez ensuite l'enregistrement des mots de passe dans les navigateurs par une stratégie de groupe ou votre outil de gestion des appareils.
5. **Faire le ménage.** Le rapport de santé de l'outil liste les mots de passe faibles et réutilisés. Changez-les en commençant par ceux qui donnent accès à de l'argent ou à des données : logiciel comptable, registraire de domaine, portails de fournisseurs, réseaux sociaux de l'entreprise.
6. **Brancher l'outil aux arrivées et aux départs.** Le compte est créé le premier jour. Au départ, il est désactivé, et les mots de passe partagés que la personne connaissait sont changés. Notre [checklist de départ d'un employé](https://cybercaribou.com/blogue/depart-employe-revocation-acces-checklist) détaille la marche à suivre.

Un bureau de génie-conseil de Sherbrooke a suivi ce plan en commençant par l'équipe de direction. Montrer d'abord aux associés comment l'outil remplit les formulaires à leur place a fait plus pour l'adoption que n'importe quelle note de service.

## Protéger le coffre lui-même

Le Centre canadien pour la cybersécurité le rappelle : un gestionnaire de mots de passe est une cible attrayante, puisque sa compromission peut exposer tous les mots de passe qu'il contient. Quatre mesures réduisent ce risque :

- **Une phrase de passe principale robuste**, d'au moins quatre mots et 15 caractères, qui n'est utilisée nulle part ailleurs ni communiquée à personne.
- **L'authentification multifacteur obligatoire** sur chaque compte, idéalement avec une méthode résistante à l'hameçonnage comme une clé de sécurité. Notre guide pour [choisir son MFA](https://cybercaribou.com/blogue/authentification-multifacteur-choisir-mfa) compare les options.
- **Une protection distincte pour les comptes les plus sensibles.** Le Centre conseille même de ne pas confier au gestionnaire des comptes comme les services bancaires et le courriel. En pratique, ces comptes reposent sur un mot de passe unique mémorisé et une clé de sécurité, et les identifiants d'urgence de l'administrateur général dorment dans une enveloppe scellée, au coffre-fort.
- **Un plan de récupération.** Que se passe-t-il si l'administrateur unique de l'outil est absent ou quitte l'entreprise ? Nommez au moins deux administrateurs et testez la procédure de récupération.

N'oubliez pas les mises à jour de l'application et des extensions, que le Centre recommande d'installer régulièrement.

## Les erreurs qui font échouer un déploiement

- **Rendre l'outil facultatif.** Si le tableur reste disponible, il restera utilisé. Supprimez-le après la migration.
- **Tout mettre dans un seul coffre partagé.** Vous recréez le tableur, avec un meilleur chiffrement.
- **Oublier les comptes partagés de fournisseurs.** Portails de fournisseurs, réseaux sociaux, logiciels de l'industrie : ce sont souvent eux qui traînent dans les courriels.
- **Garder l'enregistrement dans le navigateur.** Les employés continueront d'y enregistrer leurs mots de passe par habitude.
- **Imposer des changements tous les 90 jours.** La ligne directrice du NIST révisée en 2025 demande de ne plus l'exiger : changez un mot de passe quand il y a un signe de compromission.

## Par où commencer

Commencez par l'inventaire : où sont vos mots de passe aujourd'hui, qui les connaît, et lesquels donneraient accès à votre argent ou à vos données. Notre équipe peut vous aider à choisir l'outil, structurer les coffres et former vos employés dans le cadre d'un mandat de [remédiation et de durcissement](https://cybercaribou.com/services/remediation-durcissement).

## FAQ

**Un gestionnaire de mots de passe n'est-il pas risqué, puisque tout est au même endroit ?**
Le risque existe, et le Centre canadien pour la cybersécurité le reconnaît : le coffre devient une cible attrayante. Il reste bien plus faible que celui de mots de passe réutilisés ou rangés dans un tableur. Protégez le coffre par une phrase de passe principale robuste et par l'authentification multifacteur, et choisissez un outil à architecture à divulgation nulle de connaissance.

**Peut-on simplement utiliser le gestionnaire intégré au navigateur ?**
Pour un usage personnel, c'est mieux que rien. En entreprise, il manque l'essentiel : partage contrôlé entre collègues, console d'administration, journal des accès et retrait des accès au départ d'un employé. Les mots de passe enregistrés dans un profil de navigateur personnel quittent aussi l'entreprise avec la personne.

**Faut-il encore obliger les employés à changer leurs mots de passe tous les 90 jours ?**
Non. La ligne directrice SP 800-63B du NIST, révisée en 2025, indique qu'il ne faut pas exiger de changements périodiques, mais plutôt forcer un changement quand il y a des signes de compromission. Des mots de passe longs, uniques et générés par le gestionnaire, combinés à l'authentification multifacteur, protègent mieux.

**Combien de temps faut-il pour déployer un gestionnaire de mots de passe dans une PME ?**
Pour une PME de 20 à 50 employés, comptez quelques semaines : une à deux pour le choix et la préparation, deux pour le projet pilote, puis un déploiement équipe par équipe. Le plus long n'est pas l'installation, mais le changement d'habitudes et le ménage des anciens mots de passe.

## Sources

- [Centre canadien pour la cybersécurité : Conseils de sécurité sur les gestionnaires de mots de passe (ITSAP.30.025)](https://www.cyber.gc.ca/fr/orientation/conseils-de-securite-sur-les-gestionnaires-de-mots-de-passeitsap30025)
- [Centre canadien pour la cybersécurité : Pratiques exemplaires de création de phrases de passe et de mots de passe (ITSAP.30.032)](https://www.cyber.gc.ca/fr/orientation/pratiques-exemplaires-de-creation-de-phrases-de-passe-et-de-mots-de-passeitsap30032)
- [Centre canadien pour la cybersécurité : Contrôles de cybersécurité de base pour les petites et moyennes organisations](https://www.cyber.gc.ca/fr/orientation/controles-de-cybersecurite-de-base-pour-les-petites-et-moyennes-organisations)
- [NIST : SP 800-63B-4, Digital Identity Guidelines — Authentication and Authenticator Management](https://csrc.nist.gov/pubs/sp/800/63/b/4/final)