Une fuite de données tous les 11 secondes. Un mot de passe qui reste le même 2 ans. Un collaborateur qui note ses identifiants sur un Post-it collé à l'écran. Si vous voyez ces scènes en entreprise, votre politique de mots de passe n'existe pas — ou elle est ignorée.
Or, 80 % des cyberattaques commencent par un mot de passe faible ou compromis. Pour une TPE ou PME en Drôme ou en Ardèche, cela peut signifier l'arrêt de l'activité. C'est pourquoi j'ai écrit ce guide : pas de théorie pédante, mais 8 règles concrètes, testées sur le terrain avec mes clients de Valence, Romans, Montélimar et au-delà.
L'Agence Nationale de la Sécurité des Systèmes d'Information (ANSSI) recommande 12 caractères minimum pour les accès standard. Pour les administrateurs, les mailbox partagées ou les accès base de données, montez à 16 caractères ou privilégiez une passphrase (phrase mémorisable : "MonClient2024-DrômeIT!").
Le mot de passe doit contenir au minimum 4 des 5 critères suivants :
Un mot de passe "Valence2026!" respecte ces critères. "valence" ne suffit pas, même avec 12 caractères.
Un seul mot de passe, même excellent, peut être volé ou deviné. Combinez-le à un second facteur : code envoyé par SMS, application authenticatrice (Google Authenticator, Authy) ou clé de sécurité (YubiKey). Activez MFA dès maintenant sur :
Les mots de passe doivent être stockés dans un gestionnaire chiffré, idéalement votre annuaire Active Directory (pour les entreprises utilisant Windows Server). Les alternatives sécurisées incluent Bitwarden, 1Password ou KeePass, que je présente plus loin.
L'ANSSI a abandonné en 2015 la recommandation de changer les mots de passe tous les 30 ou 90 jours. Pourquoi ? Cela incite les collaborateurs à utiliser des mots de passe faibles ("mdp123", "123456", "azerty"). Changez votre mot de passe immédiatement si :
Si un attaquant obtient votre mot de passe pour un service mineur (réseau social, forum), il testera immédiatement vos accès critiques (email, banque, travail). Imposez un mot de passe différent pour chaque service important. Un gestionnaire de mots de passe rend cela possible sans fatigue mentale.
Insérez dans votre onboarding RH une formation de 20 minutes sur les mots de passe. Puis, envoyez un email récapitulatif chaque mois avec un lien vers votre politique écrite. Trop d'attaques en Drôme et Ardèche exploitent simplement l'ignorance.
Une fois par an, effectuez un test interne (penetration testing) ou demandez à un prestataire comme moi de vérifier :
Exiger des changements tous les 15 jours + 20 caractères + 3 symboles = des collaborateurs qui écrivent leurs mots de passe. C'est pire qu'un mot de passe faible. Restez raisonnable : 12 caractères, complexité modérée, stabilité.
Google Drive, OneDrive sans chiffrement client, ou pire, un fichier texte partagé, c'est une invitation pour les hackers. Vos mots de passe ne doivent jamais être stockés en clair, même temporairement.
Si c'est dans votre tête, ça n'existe pas. Rédigez une politique en 1-2 pages, signez-la avec votre direction, et faites signer par chaque collaborateur. En cas de litige ou audit, c'est votre protection.
Un salarié part en Ardèche travailler ailleurs, mais son compte email reste actif. Ses identifiants sont toujours valides pour votre VPN, votre serveur, votre CRM. Désactivez TOUS les accès dès le jour du départ.
Vous avez un compte "contact@votreentreprise.com" partagé entre 5 personnes ? Imposez un mot de passe fort, rotation annuelle, et qui accède à quoi (logs d'accès). Mieux encore : utilisez un gestionnaire de mots de passe avec audit de groupe.
Meilleur pour : PME en recherche de rapport qualité-prix et transparence.
Forces : Code ouvert, chiffrement client, interface simple, stockage cloud ou auto-hébergé.
Faiblesse : Interface un poil moins fluide que 1Password.
Prix : Gratuit en individuel, 12 €/user/an en équipe.
Meilleur pour : Entreprises exigeantes qui veulent du support premium et UX immédiate.
Forces : UX exceptionnelle, intégration Chrome/Edge/Safari fluide, analytics fine, audit logs complets.
Faiblesse : Plus cher, propriétaire (fermé).
Prix : À partir de 4 €/mois familial, ~60 €/user/an en entreprise.
Meilleur pour : Structures paranoia-friendly ou très petites équipes (sans serveur).
Forces : Complètement gratuit, chiffrement local, pas de dépendance cloud, portable (USB).
Faiblesse : Installation+synchro plus complexe, interface datée, pas de support officiel.
Prix : 0 € (donation optionnelle).
Meilleur pour : Entreprises déjà sous écosystème Microsoft.
Forces : Intégration native, MFA par approbation, conditional access, gestion centralisée des mots de passe.
Faiblesse : Limité à l'écosystème Microsoft, moins transparent que Bitwarden ou 1Password.
Prix : Inclus dans Microsoft 365 Business Premium (+15 €/user/mois).
Meilleur pour : Grandes équipes voulant du monitoring (dark web scanning, breach detection).
Forces : Alertes intelligentes sur fuites, intégration SSO (Single Sign-On), rapports de conformité.
Faiblesse : Interface moins intuitif que 1Password, prix élevé.
Prix : À partir de 59,99 €/an individuel, ~240 €/utilisateur/an en entreprise.
Depuis 5 ans que je suis freelance IT à Valence, j'ai épaulé une quarantaine de PME et artisans en Drôme et Ardèche sur la sécurité informatique. Voici ce que j'observe concrètement :
Cas 1 — L'artisan sans politique
Un plombier de Montélimar avec 5 salariés demande de l'aide après avoir reçu un email de Cybermalveillance.gouv.fr : son email professionnel a été compromis. En trois questions, j'apprends que le même mot de passe (sa date de naissance) servait pour la caisse, le logiciel métier ET l'email. Un ancien apprenti parti ailleurs avait gardé l'accès. Solution : Bitwarden + MFA sur email + desactivation des anciens accès. Trois semaines plus tard, zéro incident.
Cas 2 — L'équipe avec Excel "sécurisé"
Une petite mairie de l'Ardèche pensait bien faire avec un fichier Excel password-protected stocké sur le serveur. Résultat : le fichier s'ouvre facilement avec un outil gratuit en 2 secondes. Les mots de passe des quatre élus et trois agents étaient lisibles. Passage à KeePass avec sauvegarde chiffrée sur clé USB+backup externe. Audit complet retrouvé 12 anciens comptes admin actifs.
Cas 3 — L'entreprise trop stricte
Un fabricant à Romans-sur-Isère imposait changement tous les 30 jours + 18 caractères. Réaction prévisible : collaborateurs notaient leurs mots de passe sur un Post-it. Audit interne en 2024 l'a montré noir sur blanc. Révision de la politique (12 caractères, changement annuel), formation simple, adoption immédiate de 1Password. Six mois plus tard : zéro incident, zéro Note-it.
Ce que j'en tire : La sécurité marche quand elle est simple, documentée et appliquée. Pas besoin d'être paranoïaque. Pas besoin d'être trop laxiste. Et cruciale : une responsable de l'IT (interne ou prestataire) qui vérifie annuellement que tout fonctionne.
L'ANSSI recommande au minimum 12 caractères pour les accès standard. Pour les accès sensibles (administrateur, email partagée, base de données), privilégiez 16 caractères ou une passphrase (suite de mots ordinaires séparés par des tirets).
La longueur prime sur la complexité cryptique. Un mot de passe "malabar-valence-2026-soleil" (34 caractères) est plus sécurisé qu'un "K9$mLp@2x" (9 caractères), même s'il semble "moins complexe".
Non. L'ANSSI a officiellement abandonné cette recommandation en 2015. Les changements fréquents incitent les utilisateurs à :
À la place : changez uniquement en cas de suspicion réelle (fuite documentée, accès non autorisé détecté, alerte de Cybermalveillance.gouv.fr). Un mot de passe stable et fort est plus sûr qu'un faible changé souvent.
Jamais : Excel, Word, Notes, ou pire Post-it et carnets.
À privilégier : Gestionnaire de mots de passe chiffré (Bitwarden, 1Password, KeePass) ou Active Directory/Azure AD pour les accès internes.
Un bon gestionnaire :
Pour les TPE sans infrastructure IT : Bitwarden gratuit en équipe (12 €/utilisateur/an).
Partiellement seulement. La biométrie seule peut être usurpée (faux doigt en silicone, photo haute résolution du visage, deepfake). La meilleure sécurité est l'authentification multifacteur (MFA) : mot de passe + biométrie, ou mot de passe + code OTP (One-Time Password).
Exemple sécurisé : déverrouiller votre téléphone par empreinte, puis entrer votre mot de passe pour accéder à l'email professionnel, puis confirmer par code reçu en SMS.
La seule biométrie n'est pas suffisante pour un accès critique. Combinez toujours deux ou trois facteurs.
Sources officielles françaises (à jour 2026) :
Je propose un audit de sécurité gratuit (30 min) pour évaluer votre politique de mots de passe, identifier les accès oubliés, et recommander les outils adaptés à votre contexte.
Basé à Valence (Drôme), j'accompagne les TPE/PME de toute la région Drôme-Ardèche. Pas de jargon, pas de surcoûts inutiles.
Demander une consultation gratuite