Un matin, en passant à l'accueil de son cabinet, Sophie B. remarque un détail qu'elle avait cessé de voir : un post-it jaune collé sous l'écran, avec le mot de passe de la boîte e-mail partagée. Le même depuis des années, connu de toute l'équipe — et probablement d'anciens collègues partis depuis. Personne n'a « piraté » quoi que ce soit. Mais ce petit carré de papier résume, à lui seul, pourquoi la question d'un mot de passe robuste mérite dix minutes d'attention.
Un mot de passe robuste, c'est quoi au juste aujourd'hui ?
On a longtemps cru qu'un bon mot de passe était un mot de passe compliqué : des majuscules, des chiffres, un symbole ou deux, le tout impossible à retenir. Résultat, tout le monde a fini par écrire ses mots de passe quelque part, ou par utiliser toujours le même en changeant juste un chiffre à la fin. C'est exactement ce qu'un attaquant espère.
Car un attaquant ne s'assoit pas devant votre écran pour deviner votre mot de passe à la main. Il utilise des programmes qui testent des millions de combinaisons à la seconde, et surtout des listes de mots de passe déjà volés ailleurs — sur un site de commerce, un forum, une application oubliée. Quand des données fuitent d'un service, elles se retrouvent en vente, et des outils les rejouent automatiquement sur d'autres comptes : c'est ce qu'on appelle le « bourrage d'identifiants » (essayer en masse des couples e-mail / mot de passe volés jusqu'à ce que l'un fonctionne).
Face à ça, deux critères comptent bien plus que la présence d'un point d'exclamation : la longueur et l'unicité. Le troisième critère, c'est de ne pas avoir à s'en souvenir — on y revient plus bas. Le point commun de ces trois idées : elles ne demandent aucune compétence technique, juste un changement d'habitude.
La longueur prime sur la complexité. Un mot de passe court bourré de symboles comme P@ss!2 est plus facile à casser qu'une suite longue et simple. Chaque caractère supplémentaire multiplie le nombre de combinaisons à tester : la longueur est ce qui fait vraiment mal aux outils de cassage. L'Office fédéral de la cybersécurité (OFCS/NCSC), la référence suisse en la matière, recommande d'ailleurs de privilégier des mots de passe longs, sous forme de phrases, plutôt que courts et tordus. Visez au minimum douze à seize caractères — et davantage pour les comptes les plus sensibles.
L'unicité ferme les portes en série. Si le même mot de passe ouvre votre messagerie, votre logiciel comptable et votre compte de livraison, une seule fuite suffit à tout compromettre. Un mot de passe robuste mais réutilisé partout n'est robuste qu'une fois : au premier service piraté, il devient une clé passe-partout entre les mains de n'importe qui.
Au passage, une vieille habitude a fait son temps : imposer un changement de mot de passe tous les trois mois. On sait aujourd'hui que cette contrainte pousse surtout les gens à faire varier un chiffre à la fin (Cabinet2024, puis Cabinet2025) — ce qui n'apporte aucune sécurité réelle. Mieux vaut un mot de passe long, unique, que l'on ne change que s'il y a un doute ou une fuite avérée. C'est aussi la position des recommandations actuelles.
En clair, avec Camille. Ne cherchez pas le mot de passe « parfait » et illisible. Cherchez le mot de passe que vos collaborateurs pourront réellement adopter : long, propre à chaque compte, et sorti d'un outil plutôt que d'un tiroir. La sécurité qui tient dans le temps est celle qui ne demande pas d'effort héroïque chaque matin.
Ce qu'il faut retenir
- La longueur compte plus que les caractères compliqués. Une phrase longue et facile à retenir bat un charabia court et illisible.
- Un mot de passe = un seul compte. La réutilisation transforme une fuite lointaine en problème chez vous.
- On ne peut pas tout mémoriser — et c'est normal. Retenir vingt mots de passe uniques et longs est impossible de tête : c'est le rôle d'un outil dédié, pas de votre mémoire ni d'un post-it. Et pour les comptes clés, on ajoute une deuxième serrure : la double authentification (MFA) — en plus du mot de passe, une deuxième preuve, par exemple un code à usage unique sur votre téléphone.
Les gestes à installer cette semaine
1. Remplacez vos mots de passe par des phrases de passe
Une phrase de passe est simplement un mot de passe fait de plusieurs mots sans lien entre eux — par exemple cactus-vélo-brouillard-café. C'est long, donc solide ; c'est imagé, donc facile à retenir ; et ça évite les substitutions absurdes du type @ à la place de a que les outils de cassage connaissent par cœur. Quatre ou cinq mots choisis au hasard suffisent à obtenir quelque chose de très long sans rien noter. Commencez par les accès qui comptent le plus dans un cabinet fiduciaire : la messagerie et le logiciel métier, ceux qui donnent accès aux données de vos clients.
2. Un compte, un mot de passe — et on décolle les post-it
Le mot de passe partagé écrit sous l'écran doit disparaître, à commencer par la boîte e-mail commune. Chaque personne, chaque service critique a son propre accès. Le compte partagé pose un autre problème, invisible au quotidien : quand un collaborateur s'en va, personne ne pense à changer le mot de passe qu'il connaissait — et l'accès reste ouvert. Un accès nominatif, lui, se coupe en un geste le jour du départ. Vous n'êtes pas obligée de tout reprendre d'un coup : listez vos cinq comptes les plus sensibles et donnez à chacun un mot de passe unique et long. Le reste suivra.
3. Confiez la mémoire à un gestionnaire de mots de passe
Un gestionnaire de mots de passe est un coffre-fort numérique chiffré : vous ne retenez plus qu'un seul mot de passe maître, et l'outil génère, stocke et remplit tous les autres à votre place. Ce mot de passe maître, lui, mérite d'être une vraie phrase de passe longue — c'est la seule chose qu'il vous reste à mémoriser. L'outil se charge du reste sur tous vos appareils, y compris le téléphone. C'est ce qui rend les deux gestes précédents réellement tenables au quotidien, sans revenir au papier. Activez au passage la double authentification sur le gestionnaire lui-même et sur votre messagerie. Organiser tout cela à l'échelle d'une équipe — coffres partagés, arrivées et départs — demande un peu de méthode : c'est précisément ce que détaille notre blueprint dédié.
Où en êtes-vous vraiment ?
La nLPD (nouvelle loi fédérale sur la protection des données, en vigueur depuis septembre 2023) attend d'une PME qui détient des données clients qu'elle prenne des mesures de sécurité « appropriées ». Un mot de passe robuste, unique et bien géré en fait partie — au même titre que la double authentification. Ce ne sont pas des sujets réservés aux grandes entreprises : dans une structure de quelques personnes sans informaticien à demeure, ce sont justement ces gestes simples qui font la différence.
Cyber Passport ne certifie rien et ne vous déclare pas « conforme ». Il vous propose une auto-évaluation structurée qui vous montre, question par question, où votre organisation tient et où elle repose encore, aujourd'hui, sur un simple post-it. Pour passer des bonnes intentions à une politique de mots de passe et un gestionnaire réellement déployés dans votre équipe, le blueprint ci-dessous déroule la marche à suivre.
