Politique de mots de passe pour une PME : modèle et déploiement

Une politique de mots de passe utile répond aux questions du quotidien : où conserver les mots de passe, qui active l'authentification multifacteur (MFA), comment récupérer un compte et que faire au départ d'un collègue. Un réglage de longueur ne suffit pas à y répondre.

Ce guide vous aide à préparer un document court avec le générateur de politique de mots de passe, puis à ajouter les décisions propres à votre entreprise. Le modèle sert de point de départ à valider. Vérifiez les exigences contractuelles ou sectorielles applicables avant de l'adopter.

1. Listez les comptes et leurs responsables

Commencez par la messagerie, la paie, la banque, le stockage en ligne, les accès à distance et les comptes administrateurs. Identifiez le système qui contrôle la connexion à chaque service. Un réglage Windows ne modifie pas automatiquement les règles de toutes les applications cloud.

• Responsable de la politique : valide le document, les exceptions et la date de révision.
• Responsable informatique : configure les contrôles, teste la récupération et conserve les preuves du déploiement.
• Salariés et prestataires : appliquent la politique et signalent une demande de connexion inattendue ou une exposition suspectée.

Par exemple, un studio de création de 12 personnes peut utiliser un fournisseur d'identité pour la messagerie et le stockage, des accès bancaires distincts et un domaine Windows local. Il faut un responsable et une vérification pour chacun de ces systèmes.

2. Choisissez une référence et documentez vos décisions

Le NIST SP 800-63B-4, section 3.1.1.2 exige au moins 15 caractères sans autre facteur, ou huit si le mot de passe s'inscrit toujours dans une MFA. Il recommande d'accepter au moins 64 caractères. Il impose de filtrer les nouveaux mots de passe courants ou compromis et interdit les règles de composition et les changements périodiques ; un changement s'impose en cas de compromission avérée.

Notre guide des recommandations du NIST distingue exigences et recommandations. Choisissez la référence adaptée à votre environnement, puis notez comment vos services l'appliquent. La comparaison du générateur porte sur certains paramètres ; elle ne constitue pas une évaluation complète de conformité.

3. Adaptez ce modèle court de politique

Les clauses ci-dessous illustrent des décisions d'entreprise. Remplacez les champs entre crochets et vérifiez que chaque contrôle annoncé peut être appliqué. Un minimum commun de 15 caractères peut simplifier les consignes entre des comptes aux modes de connexion différents.

Politique de mots de passe et d'accès — [Entreprise]
Responsable : [fonction et contact]. Périmètre : [salariés, prestataires et systèmes]. Date d'application : [date]. Prochaine révision : [date].

1. Utiliser un compte professionnel individuel. Séparer les comptes administrateurs des comptes utilisés au quotidien.
2. Utiliser un mot de passe unique par service et le conserver dans le gestionnaire approuvé par l'entreprise. Ne pas l'envoyer par courriel ou dans la messagerie d'équipe.
3. Notre minimum est de 15 caractères. L'informatique recense les services qui ne le permettent pas et l'exception approuvée.
4. Activer la MFA sur les comptes professionnels qui la prennent en charge. L'informatique consigne la méthode, le responsable de l'inscription et les écarts restants.
5. Ne pas partager les codes de récupération. Les conserver à l'emplacement approuvé. En cas de perte d'accès, contacter [canal d'assistance vérifié].
6. Signaler une exposition suspectée ou une demande MFA inattendue à [contact]. L'informatique enquête, réinitialise les identifiants concernés et révoque les sessions si nécessaire.
7. Au départ d'une personne ou lors d'un changement de fonction, [responsable] vérifie les accès et retire les droits devenus inutiles.
8. Toute exception nécessite [approbateur], un motif, des mesures compensatoires et une date de révision. Revoir la politique après un incident important ou un changement de système.

Ajoutez une courte annexe informatique qui décrit les contrôles d'authentification retenus, le filtrage des mots de passe, la protection contre les tentatives répétées et les procédures de récupération. Le document de politique ne doit contenir aucun mot de passe ni code de récupération.

4. Générez le document et examinez les exports

1. Ouvrez le générateur de politique, choisissez un préréglage et saisissez le nom de l'organisation.
2. Ajustez les paramètres aux décisions validées. Relisez l'onglet Politique, puis téléchargez le document Markdown (.md).
3. Ajoutez les responsables nommés, les contacts d'assistance, la liste des services, les exceptions et la date de validation dans votre copie.
4. Si nécessaire, sélectionnez l'onglet Windows, Active Directory ou Linux et téléchargez séparément le script correspondant. Les fichiers Windows et AD utilisent .ps1 ; Linux utilise .sh.

Cocher MFA ou liste noire dans le document ne déploie pas ces services. Lisez les commentaires générés et vérifiez les réglages effectivement appliqués par le script choisi. L'inscription à la MFA, les paramètres des applications cloud et le filtrage des mots de passe peuvent nécessiter une configuration distincte.

5. Testez Windows et Active Directory sur un périmètre pilote

Pour AD, la documentation Microsoft des stratégies de mots de passe affinées explique leur application aux utilisateurs et aux groupes de sécurité globaux, ainsi que la consultation de la stratégie résultante d'un utilisateur. Créer un objet de stratégie ne suffit pas : vérifiez que les comptes visés le reçoivent.

Le filtrage des mots de passe interdits se configure séparément. Par exemple, Microsoft Entra Password Protection ajoute des vérifications contre des listes globales et personnalisées dans un environnement AD local lorsque ses composants nécessaires sont déployés. Ne supposez pas qu'une stratégie affinée effectue seule ce contrôle.

• Lisez le script, relevez les réglages actuels et préparez un retour arrière avant de l'exécuter avec des droits administrateurs.
• Utilisez une machine de test ou un groupe pilote. Vérifiez un nouveau mot de passe, un refus et la récupération du compte.
• Contrôlez les paramètres effectifs d'un compte pilote. Vérifiez séparément la MFA et le filtrage lorsqu'ils sont prévus.
• Contrôlez les applications anciennes et les comptes de service avant d'étendre le changement.

6. Déployez avec des éléments vérifiables

Transmettez aux salariés une explication courte avec la date d'application, les consignes du gestionnaire de mots de passe et un contact d'assistance vérifié. Testez la récupération avec les personnes chargées de la traiter. Consignez les services configurés, les vérificateurs et les points encore ouverts.

Un déploiement terminé comprend un document approuvé, des contrôles opérationnels, une procédure de récupération testée et une liste datée des exceptions. Réexaminez ces éléments quand les services ou les fonctions changent. Pour les secrets individuels, utilisez le générateur de mots de passe aléatoires ou une phrase de passe aléatoire ; pour les visiteurs, préparez une carte Wi-Fi invitée distincte.