Choisir un gestionnaire de mots de passe pour votre PME : ce qui compte vraiment

Choisir un gestionnaire de mots de passe n'est pas une question de goût, mais ce n'est pas non plus rocket science. Un guide pratique pour les entrepreneurs sans service informatique.

Presque tous les entrepreneurs avec qui nous travaillons savent désormais qu'un gestionnaire de mots de passe n'est pas un luxe. Pourtant, dans la pratique, nous constatons que le choix est soit repoussé pendant des années, soit fait en cinq minutes sur la base d'une publicité entendue dans un podcast. Les deux approches ne fonctionnent pas. Dans cet article, nous passons en revue ce qui compte vraiment lorsque vous choisissez un gestionnaire de mots de passe pour une entreprise de 5 à 50 personnes.

Ce qu'un gestionnaire de mots de passe doit faire — et ce qu'il ne doit pas faire

La base est simple : un seul endroit où tous les mots de passe sont stockés, sécurisé par un mot de passe principal robuste et la double authentification. Chaque collaborateur dispose de son propre coffre, et il existe des coffres partagés pour les comptes d'équipe (la boîte mail info@, le logiciel de comptabilité ou le compte LinkedIn de l'entreprise, par exemple).

Ce qu'un gestionnaire de mots de passe ne doit pas être : une décharge pour des documents au hasard, un substitut à votre outil IAM, ou un prétexte pour partager des mots de passe qui auraient dû rester personnels. Maintenez cette frontière clairement définie, et l'outil restera utilisable.

Les cinq critères qui font vraiment la différence

1. Une vraie fonctionnalité d'équipe, pas un abonnement familial

De nombreuses petites entreprises démarrent avec un forfait famille d'un gestionnaire grand public. Ça fonctionne jusqu'au cinquième collaborateur, et plus après. Vous voulez un accès basé sur les rôles, des coffres partagés par service et la possibilité de révoquer l'accès de quelqu'un en un clic. Vérifiez si vous pouvez regrouper les utilisateurs et si vous pouvez voir qui a accès à quel coffre.

2. Un processus de départ propre

Lorsqu'un collaborateur quitte l'entreprise, vous devez pouvoir bloquer son accès en quelques minutes et faire pivoter les mots de passe partagés. Tous les gestionnaires ne facilitent pas cela de la même façon. Demandez une démo et faites-leur jouer le scénario « le collaborateur part aujourd'hui même ». Vous observez des bricolages ? Passez au suivant.

3. Journalisation et piste d'audit

Qui a consulté quel mot de passe, et quand ? En cas d'incident RGPD, de suspicion de fuite de données ou simplement lors d'une revue des accès, vous devez pouvoir le démontrer. Un journal d'audit n'est pas un luxe — c'est une preuve.

4. SSO et SCIM (si votre budget le permet)

Si vous utilisez Microsoft 365 avec une licence appropriée, vous souhaiterez connecter votre gestionnaire de mots de passe à Entra ID. Un nouveau collaborateur ajouté dans Entra ? Un compte créé automatiquement dans le gestionnaire. Départ ? Supprimé automatiquement. Cela se trouve souvent dans un plan plus onéreux, mais économise un travail manuel considérable. Pour les petites équipes, c'est superflu ; à partir d'une quinzaine de personnes environ, cela vaut vraiment la peine.

5. Localisation des données

Les grands acteurs proposent un chiffrement à connaissance zéro, ce qui signifie que le fournisseur lui-même ne peut pas accéder à vos mots de passe. C'est une bonne chose. Regardez également où les données chiffrées sont stockées (l'UE est un atout pour la conformité RGPD) et comment le fournisseur gère les incidents. Une fuite de données passée n'est pas une disqualification automatique — la façon dont ils y ont répondu en dit bien plus long.

Les questions pratiques que personne ne pose

Au-delà de ces cinq critères, il y a quelques questions très concrètes que vous devez absolument poser lors d'une démo :

• Fonctionne-t-il sur le téléphone de tout le monde ? iOS et Android, et l'application reconnaît-elle vos identifiants dans d'autres applications ?
• Que se passe-t-il si quelqu'un oublie son mot de passe principal ? Existe-t-il un processus de récupération, ou tout est perdu ? Et qu'est-ce que cela implique pour vous en tant qu'administrateur ?
• L'import en masse est-il simple ? Vous devrez pouvoir transférer 80 mots de passe depuis un fichier Excel ou un autre outil sans y passer une soirée entière.
• Peut-on imposer une 2FA distincte par coffre ? Le mot de passe principal plus la 2FA est la norme, mais pour les véritables joyaux de la couronne, vous souhaitez un verrou supplémentaire.

Ce qui fonctionne dans la pratique

Pour la plupart des PME, cette organisation est efficace :

1. Un seul gestionnaire de mots de passe pour toute l'entreprise, pas trois outils différents par service.
2. Un coffre personnel par collaborateur — y compris pour leurs mots de passe privés, sinon ils ne l'utilisent pas de façon cohérente.
3. Des coffres partagés par équipe ou par projet, avec des responsables clairement désignés.
4. Un coffre séparé pour les « admin/joyaux de la couronne », avec un accès très restreint et une 2FA supplémentaire.
5. Un contrôle semestriel : qui se trouve dans quel coffre, et est-ce toujours justifié ?

Cette dernière étape n'est pas superflue. C'est précisément la raison pour laquelle nous trouvons si souvent des comptes oubliés chez nos clients — oubliés parce que personne ne les regarde jamais.

Le piège le plus courant : un déploiement sans plan

Choisir l'outil, c'est la partie facile. Le déploiement, c'est là que ça déraille. Les gens continuent d'utiliser leur vieux fichier Excel « le temps que ça se calme », ou enregistrent quand même leurs mots de passe dans leur navigateur. Prévoyez donc au moins une session collective au cours de laquelle chacun saisit réellement ses vingt premiers mots de passe dans le gestionnaire. Et convenez-en : à partir de la date X, finis Excel, les post-its et le stockage dans le navigateur.

Un gestionnaire de mots de passe fait partie de ces investissements dont on se dit après coup : si seulement je l'avais fait plus tôt. Mais encore faut-il vraiment l'utiliser.

Vous souhaitez aller plus loin — comment sécuriser les comptes partagés, déployer la 2FA et gérer proprement les accès ? Consultez notre page sur la mise en œuvre de la 2FA et le contrôle des accès. Nous vous aidons non seulement à choisir, mais aussi à mettre en place concrètement.