Mots de passe partagés : comment les gérer sans cauchemar

Le login admin du registrar de domaine, les comptes sur les réseaux sociaux, le portail client… Trois personnes les connaissent, et les partager via un Excel, c'est une faute — voici comment faire les choses correctement.

Certains comptes n'ont pas de « propriétaire » attitré : le compte principal de votre registrar de domaine, le login d'entreprise Twitter/X, la boîte mail du support client. Ces comptes doivent pouvoir être utilisés par 2 à 5 personnes. Comment faire cela en toute sécurité ?

Règle 1 : stockez-les dans un coffre-fort numérique

Jamais dans un tableur, jamais dans un e-mail, jamais dans une page Notion. À la place, utilisez 1Password, Bitwarden, ou un coffre-fort intégré comme AccessGuard Vault, qui prend en charge des ACL par utilisateur ainsi qu'un journal d'audit de chaque déchiffrement.

Règle 2 : une liste d'accès explicite

Pour chaque compte partagé, définissez clairement qui peut y accéder. Moins, c'est mieux. Un compte sur les réseaux sociaux peut très bien être géré par 2 personnes ; il n'y a aucune raison que toute l'entreprise y ait accès.

Règle 3 : rotation du mot de passe à chaque départ

Dès qu'une personne quitte la liste d'accès, le mot de passe est changé. Voir offboarding étape 3. Sans exception. Sinon, vous vous retrouvez avec un compte dont un ex-collègue connaît toujours le mot de passe.

Règle 4 : le MFA partout où c'est possible

Les comptes partagés ont eux aussi besoin du MFA. Les applications MFA modernes (Authy, 1Password) prennent en charge les tokens partagés. Les tokens matériels fonctionnent aussi, mais impliquent une transmission physique.

Règle 5 : le journal d'audit

Qui a consulté le mot de passe, et quand ? Si vous ne pouvez pas le prouver, il vous sera impossible de déterminer en cas d'incident s'il y a eu un abus. Tout coffre-fort sérieux enregistre ces informations.

Ce qui ne fonctionne PAS

• Une seule personne qui connaît tous les mots de passe, avec une « sauvegarde » sur papier dans un tiroir.
• Un fichier Excel sur SharePoint avec « tous les identifiants » — même protégé par un mot de passe.
• Les coffres-forts en mode tout-le-monde-voit-tout. Les ACL sont vos alliées.

Voir aussi : la gestion des accès à privilèges, choisir un gestionnaire de mots de passe.