📌 Ce qu’il faut retenir

1. La règle Eur’Net est simple – Compliqué, Unique et Long, avec 20 caractères minimum.
2. Le piratage de compte reste une menace majeure – En 2025, il représente 21 % des parcours d’assistance des entreprises et associations sur Cybermalveillance.gouv.fr.
3. Le MFA doit protéger les accès sensibles – Messagerie, comptes administrateurs, accès distants et outils financiers sont prioritaires.
4. Le gestionnaire évite la réutilisation – Il permet de générer et stocker des secrets longs et uniques sans demander aux collaborateurs de tous les mémoriser.

Résumé généré par IA

Pourquoi les mots de passe entreprise échouent encore

Les mots de passe entreprise échouent surtout lorsqu’ils sont trop prévisibles, réutilisés entre plusieurs services ou récupérés lors d’un hamçonnage. Le risque ne vient donc pas uniquement de la force brute : un secret très long peut aussi être volé s’il est saisi sur un faux site.

En France, Cybermalveillance.gouv.fr indique que le piratage de compte représente 21 % des parcours d’assistance des entreprises et associations en 2025. L’hamçonnage arrive en deuxième position avec 16 % des diagnostics. Ces chiffres montrent pourquoi la protection des comptes professionnels reste une priorité.

Le problème de la réutilisation

Lorsqu’un service subit une fuite, les identifiants récupérés peuvent être testés automatiquement sur d’autres plateformes. Cette technique s’appelle le credential stuffing. Réutiliser le même secret pour la messagerie, un fournisseur et un outil métier transforme alors une fuite externe en incident interne.

Comment un mot de passe est-il attaqué ?

Attaque par dictionnaire

Des outils testent des mots courants, des variantes prévisibles et des secrets déjà compromis. Ajouter un chiffre à un mot connu ne suffit pas.

Force brute

La force brute teste de nombreuses combinaisons. Plus le secret est long et imprévisible, plus cette recherche devient coûteuse.

Phishing et ingénierie sociale

L’attaquant peut aussi pousser l’utilisateur à saisir son secret sur une fausse page. Le mot de passe ne doit donc pas rester l’unique barrière.

Mots de passe entreprise : appliquer la règle du CUL

Pour les mots de passe entreprise, Eur’Net recommande la règle du CUL : Compliqué, Unique et Long. Notre recommandation opérationnelle est de viser au moins 20 caractères. Ce seuil Eur’Net est volontairement plus exigeant que certains minima réglementaires ou techniques.

Compliqué

« Compliqué » signifie difficile à deviner. Évitez prénom, nom d’entreprise, date, citation connue ou suite prévisible.

Unique

Chaque service doit disposer de son propre secret. Cette règle limite l’effet domino après une fuite.

Long : 20 caractères minimum chez Eur’Net

L’ANSSI recommande au moins 12 caractères dans ses règles générales de sécurité numérique. Le NIST SP 800-63B demande au moins 15 caractères lorsqu’un mot de passe est utilisé comme facteur unique. Chez Eur’Net, nous retenons 20 caractères minimum pour conserver une marge supplémentaire.

Le NIST déconseille les changements périodiques sans preuve de compromission et les règles de composition artificielles. Une phrase de passe imprévisible et unique reste une bonne solution.

Pour visualiser l’effet de la longueur, consultez notre article Mots de passe 2026 : combien de temps un pirate met-il pour craquer le vôtre ?.

Authentification multifacteur entreprise : protéger les comptes critiques

Pour sécuriser les mots de passe entreprise, le MFA ajoute une barrière lorsque le secret est volé. Commencez par la messagerie, les comptes administrateurs, les accès distants, la paie et les services financiers.

Tous les seconds facteurs ne se valent pas. Les applications d’authentification, passkeys et clés de sécurité offrent une meilleure résistance que le mot de passe seul.

Gestionnaire de mots de passe entreprise : le choix rationnel

Un gestionnaire de mots de passe entreprise génère, stocke et remplit des secrets longs et uniques. Il évite les fichiers Excel, carnets et post-it, tout en rendant la règle du CUL applicable au quotidien.

Vérifiez le chiffrement, les droits, la révocation, la journalisation, le partage sécurisé et la récupération d’urgence.

Pour comparer plusieurs solutions professionnelles, consultez notre guide complet du gestionnaire de mots de passe en entreprise.

Mots de passe entreprise : trois cas d’usage en PME

TPE de 2 à 10 personnes

Dans une TPE, supprimez les secrets visibles ou partagés sans contrôle. Utilisez des comptes nominatifs et un coffre d’équipe.

PME de 10 à 50 personnes

Centralisez le gestionnaire, imposez le MFA sur les services critiques et révoquez les droits au départ d’un collaborateur.

Profession traitant des données sensibles

Pour les structures traitant des données sensibles, adaptez l’authentification au niveau de risque. Un mot de passe seul peut être insuffisant.

Politique de mots de passe entreprise : les règles à appliquer

Une politique de mots de passe entreprise doit être courte, comprise et contrôlable.

• Compliqué : aucun secret évident ou directement lié à l’utilisateur.
• Unique : un secret différent pour chaque service.
• Long : au moins 20 caractères selon la recommandation Eur’Net.
• Gestionnaire : un coffre approuvé et utilisé par toute l’équipe.
• MFA : obligatoire sur les comptes critiques.
• Départ : révocation des accès le jour du départ.
• Compromission : changement immédiat et contrôle des sessions.

Évitez de forcer un changement tous les 30 ou 90 jours sans raison. Le NIST déconseille la rotation périodique sans preuve de compromission, et la CNIL ne la recommande plus pour les utilisateurs standards.

Mot de passe compromis : que faire immédiatement ?

Lorsqu’un des mots de passe entreprise est compromis, il faut agir sans attendre et vérifier si le même secret a été utilisé ailleurs.

1. changez le mot de passe depuis un appareil sain ;
2. créez un nouveau secret unique d’au moins 20 caractères ;
3. révoquez les sessions et appareils inconnus ;
4. activez ou réinitialisez le MFA ;
5. vérifiez les règles de transfert de messagerie ;
6. changez les autres comptes si le secret a été réutilisé ;
7. prévenez votre service informatique ou votre prestataire.

Vous pouvez également vérifier si une adresse apparaît dans une fuite connue via Have I Been Pwned. Une absence de résultat ne garantit toutefois pas qu’un compte est sain.

Quel outil choisir pour votre structure ?

Le choix de l’outil dépend du nombre d’utilisateurs, du risque et des capacités d’administration.

Passer à l’action