Mots de passe en entreprise : les règles de la CNIL, sans jargon

Ce que dit la recommandation de la CNIL

Sa recommandation de 2022 fixe un niveau de robustesse minimal plutôt qu'une recette unique. Pour un mot de passe utilisé seul, sans autre protection, ce niveau correspond par exemple à :

• 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux ;
• ou 14 caractères avec majuscules, minuscules et chiffres, sans caractère spécial obligatoire ;
• ou une phrase de passe d'au moins 7 mots, plus facile à retenir.

Le niveau exigé peut être plus bas quand le service limite les essais (blocage temporaire après plusieurs échecs, CAPTCHA) ou quand il s'appuie sur un objet que vous possédez, comme une carte bancaire avec son code.

La fin du changement tous les 90 jours

C'est le changement le plus visible : la CNIL ne recommande plus le renouvellement périodique pour les comptes des utilisateurs. Forcer un changement régulier pousse à choisir des mots de passe faibles et prévisibles (« Printemps2026! », puis « Ete2026! »). Le renouvellement reste demandé pour les comptes à privilèges : administrateur, accès à la paie, à la banque ou au serveur.

Il faut en revanche changer un mot de passe immédiatement dès qu'il a pu fuiter : service piraté, message suspect, ordinateur compromis.

Les bons réflexes au quotidien

Cybermalveillance.gouv.fr résume l'essentiel en quelques règles :

• Un mot de passe différent par service. Si l'un fuite, les autres restent protégés. C'est la règle la plus importante.
• Un gestionnaire de mots de passe plutôt qu'un carnet ou un fichier : il génère et retient des mots de passe solides. Il en existe de gratuits, comme KeePassXC.
• La messagerie avant tout. Elle sert à réinitialiser tous vos autres comptes : c'est elle qu'il faut protéger le mieux.
• Jamais de mot de passe communiqué, même à un « technicien » ou à votre banque : aucun organisme sérieux ne vous le demandera.
• Les mots de passe par défaut changés dès l'installation : box, routeur, caméra, imprimante.
• La double authentification activée partout où elle est proposée : un code reçu sur votre téléphone ou une application en plus du mot de passe. Même volé, le mot de passe ne suffit plus.

Comment l'appliquer dans une petite entreprise

Inutile d'écrire une politique de vingt pages. Une page suffit, que chacun signe à son arrivée :

1. Mots de passe longs (12 caractères minimum, ou une phrase de passe), uniques par service.
2. Un gestionnaire de mots de passe pour toute l'équipe, avec un coffre partagé pour les accès communs plutôt qu'un tableur.
3. Double authentification obligatoire sur la messagerie, la banque, la comptabilité et les outils en ligne.
4. Comptes administrateur réservés à l'administration, avec un mot de passe distinct, renouvelé régulièrement.
5. Un compte désactivé le jour du départ d'un collaborateur.

Vérifier où vous en êtes

Le bilan cyber gratuit d'Okyber pose ces questions en quelques minutes et vous propose les actions manquantes. La page « Fuites de données » vérifie si un mot de passe a déjà fuité sans jamais le transmettre ; la vérification des adresses e-mail de toute l'équipe, renouvelée chaque mois, est incluse dans les offres payantes. Pour aller plus loin, lisez aussi que faire si vous êtes prévenu d'une fuite de données.