Gestionnaire de mots de passe entreprise : bien choisir

Dans beaucoup de PME, les mots de passe vivent dans un tableur partagé, un carnet ou la mémoire du navigateur. Le même mot de passe sert souvent à plusieurs services, et quand il fuit sur l'un d'eux, il ouvre les autres. Un gestionnaire de mots de passe d'entreprise range ces accès dans des coffres chiffrés, les partage avec les bonnes personnes et permet d'utiliser un mot de passe long et unique pour chaque service.

Le bon outil ne se choisit pas sur sa notoriété, mais sur quelques critères vérifiables. Ce guide les passe en revue, puis décrit un déploiement qui ne bloque pas les équipes. Il ne recommande pas de marque : plusieurs produits sérieux existent, et le bon choix dépend de votre environnement.

Pourquoi un gestionnaire de mots de passe en entreprise ?

Un collaborateur gère des dizaines d'accès : messagerie, banque en ligne, portails fournisseurs, logiciels métier, sites des administrations. Lui demander de retenir un mot de passe différent et robuste pour chacun ne fonctionne pas. Il finit par réutiliser, simplifier ou noter quelque part.

Le gestionnaire retire ce dilemme : la personne ne retient qu'une phrase de passe principale, protégée par la double authentification, et l'outil génère et remplit le reste. Les recommandations actuelles, notamment celles du NIST, privilégient d'ailleurs la longueur à la complexité et déconseillent les changements périodiques forcés sans raison.

Quels critères pour choisir un gestionnaire de mots de passe ?

Testez deux ou trois produits avec quelques utilisateurs pendant quelques semaines avant de décider : la facilité d'usage au quotidien compte autant que la liste des fonctions. Vérifiez au minimum les points suivants.

• Des coffres partagés par équipe ou par fonction (comptabilité, direction, informatique), avec des droits de lecture ou de modification.
• La double authentification obligatoire pour ouvrir le coffre, idéalement avec une clé physique ou une passkey pour les administrateurs.
• Un chiffrement côté utilisateur : l'éditeur ne doit pas pouvoir lire le contenu des coffres.
• Le lieu d'hébergement des données (Suisse, Union européenne ou ailleurs) et un contrat de sous-traitance compatible avec la nLPD.
• Une procédure de récupération si quelqu'un oublie sa phrase de passe principale, sans donner à l'éditeur un accès aux données.
• La connexion à Microsoft Entra ID, pour créer et retirer les comptes depuis l'annuaire existant.
• Un journal des accès et des partages, utile en cas d'incident.

Récupération et départs : les deux moments délicats

La récupération est le revers de la sécurité. Si une personne oublie sa phrase de passe principale et qu'aucune procédure n'existe, ses accès sont perdus. Les produits destinés aux entreprises proposent en général une récupération par un administrateur ou un accès d'urgence : activez-le, désignez au moins deux personnes habilitées et écrivez la procédure, avec vérification d'identité.

Le départ d'un collaborateur est l'autre moment clé. Retirer son compte du gestionnaire ne suffit pas : il a pu voir ou copier les mots de passe des coffres partagés. Changez ceux qui donnent accès à des données sensibles ou à de l'argent, en priorité la banque en ligne, les comptes administrateurs et les portails fournisseurs.

Déployer un gestionnaire de mots de passe en PME

• Désigner un responsable et un suppléant, et définir les coffres avant d'inviter les utilisateurs.
• Commencer par la direction et les comptes administrateurs, puis avancer équipe par équipe.
• Accompagner la première session : installation de l'extension, import, double authentification.
• Importer le tableur existant, puis le supprimer, y compris de ses copies et des pièces jointes envoyées par e-mail.
• Profiter de l'import pour changer les mots de passe faibles ou réutilisés.
• Rappeler la règle : aucun mot de passe de l'entreprise dans un navigateur personnel ni dans un e-mail.

Comment SysPros aide

En complément de la gestion de Microsoft 365 et de la cybersécurité, SysPros peut aider à fixer les critères de choix, à relier l'outil retenu à Entra ID et à intégrer le gestionnaire aux procédures d'arrivée et de départ des collaborateurs.