Politique de mots de passe : ce qui a changé, et ce qu’il faut arrêter

Beaucoup de politiques de mots de passe encore en vigueur appliquent des règles conçues il y a vingt ans, dont plusieurs sont aujourd’hui déconseillées — parce qu’elles dégradent la sécurité au lieu de l’améliorer.

Ce qu’il faut arrêter

Le renouvellement périodique systématique

Imposer un changement tous les 90 jours sans raison produit des comportements prévisibles : incrémentation d’un chiffre, mot de passe noté, réutilisation entre services.

Les recommandations actuelles, notamment celles du NIST (SP 800-63B), écartent le renouvellement forcé périodique et le réservent aux cas où une compromission est suspectée ou avérée.

Attention : cet abandon suppose des compensations — détection de compromission, authentification multifacteur. Retirer la rotation sans rien ajouter n’est pas une amélioration.

Les règles de composition rigides

Exiger majuscule, minuscule, chiffre et caractère spécial pousse vers des schémas prévisibles, dont les outils d’attaque tiennent compte depuis longtemps.

Une phrase de passe longue résiste mieux qu’un mot court alambiqué, et se retient sans être notée.

Les questions secrètes

Nom de jeune fille de la mère, ville de naissance : autant d’informations souvent publiques. À supprimer des parcours de récupération.

L’indice de mot de passe

Stocké en clair, souvent explicite. Sans usage défendable.

Ce qu’il faut mettre en place

Une longueur minimale significative, avec une politique qui encourage les phrases de passe plutôt que les substitutions de caractères.

Un contrôle contre les mots de passe compromis. Refuser à la création ceux qui figurent dans des bases publiques de fuites. C’est la mesure la plus efficace du lot, et elle est souvent absente.

L’authentification multifacteur partout où c’est possible, et sans exception sur les comptes à privilèges et les accès distants.

Un gestionnaire de mots de passe fourni par l’entreprise. Sans outil, la consigne « un mot de passe unique par service » est inapplicable, et chacun le sait.

Une surveillance des tentatives : blocage temporaire après échecs répétés, alerte sur les authentifications inhabituelles — voir ce qu’il faut journaliser.

Le cas des comptes de service

Ils échappent presque toujours à la politique, alors qu’ils cumulent les faiblesses : secret long, inchangé depuis des années, connu de plusieurs prestataires, souvent avec des droits étendus.

Le traitement diffère : rotation automatisée, stockage dans un coffre-fort de secrets, jamais de secret en clair dans une configuration ou un dépôt de code.

Vers l’authentification sans mot de passe

Les mécanismes fondés sur la cryptographie à clé publique — clés matérielles, authentificateurs de plateforme — suppriment le secret partagé et résistent structurellement à l’hameçonnage, ce qu’aucune politique de mot de passe ne permet.

La transition est progressive et rarement complète. Le bon ordre : commencer par les comptes à privilèges et les accès exposés, là où le gain est maximal.

Ce que demandent les référentiels

ISO/IEC 27002:2022 traite le sujet par la mesure 5.17 — informations d’authentification. Elle n’impose pas de règle de composition : elle demande un processus de gestion maîtrisé.

L’article 21 de NIS 2 cite l’authentification à plusieurs facteurs parmi les mesures attendues.

L’ANSSI publie des recommandations sur l’authentification, et la CNIL des préconisations articulées avec l’article 32 du RGPD.

Ce qu’il faut vérifier chez vous

1. Le renouvellement forcé est-il encore actif sans compensation ?
2. Les mots de passe compromis sont-ils refusés à la création ?
3. L’authentification multifacteur couvre-t-elle réellement tous les comptes à privilèges ?
4. Un gestionnaire est-il fourni, ou attend-on des salariés qu’ils retiennent trente secrets ?
5. Les comptes de service font-ils l’objet d’une rotation ?

Sources

• NIST SP 800-63B — Digital Identity Guidelines
• ISO/IEC 27002:2022, mesure 5.17
• ANSSI — recommandations relatives à l’authentification
• CNIL — sécurité des données personnelles

Aller plus loin

La revue de ces politiques fait partie de l’audit 360, et leur refonte de nos missions de gouvernance, risques et conformité.