Un mot de passe différent et robuste pour chaque compte : la règle est connue, mais impossible à tenir de mémoire quand on en utilise des dizaines. Le gestionnaire de mots de passe règle ce problème : il crée les mots de passe, les range dans un coffre chiffré et les saisit à votre place. Voici ce que recommandent la CNIL et l'ANSSI, les critères de choix pour une petite équipe, la mise en place et les limites à connaître.
01Trois habitudes qui exposent l'entreprise
Le même mot de passe partout. Quand un site se fait voler sa base de données, tous les comptes qui partagent le même mot de passe sont exposés, qu'il soit robuste ou non, prévient l'ANSSI dans ses recommandations sur l'authentification et les mots de passe (octobre 2021). En juin 2025, après qu'un média spécialisé a signalé 16 milliards d'identifiants et de mots de passe accessibles en ligne, apparemment issus de fuites passées, la CNIL rappelait : « évitez d'utiliser le même mot de passe pour différents services » (CNIL, 20 juin 2025).
Le post-it et le tableur. L'ANSSI demande de ne pas écrire ses mots de passe « sur une note sous le clavier » ni de créer un fichier « mot de passe » sur le poste.
L'envoi par e-mail ou par messagerie. L'ANSSI demande aussi de ne pas s'envoyer ses mots de passe par courriel, et la CNIL range parmi les pratiques à interdire le fait de « communiquer son mot de passe à une autre personne » ou d'« enregistrer les mots de passe dans un navigateur sans mot de passe maître » (fiche « Authentifier les utilisateurs », mars 2024). Un mot de passe envoyé par e-mail reste dans la boîte : si elle est piratée, il l'est aussi (voir messagerie piratée : que faire).
Attention
Un tableur protégé par un mot de passe n'est pas un coffre-fort. L'ANSSI juge ce type de fichier « à proscrire » : il n'apporte « pas du tout le même niveau de protection » qu'un outil conçu pour cela.
02Comment fonctionne un gestionnaire de mots de passe
L'ANSSI parle de « coffre-fort de mots de passe ». Il repose sur quatre éléments :
- Le coffre : une base de données chiffrée, c'est-à-dire illisible sans la bonne clé.
- Le mot de passe maître : il déverrouille le coffre, et c'est le seul qu'il vous reste à retenir.
- Le générateur : il crée des mots de passe longs et aléatoires, un par compte, sans que vous ayez à les connaître.
- Le remplissage automatique : une extension du navigateur ou une application saisit l'identifiant et le mot de passe sur la page de connexion.
Parmi les TPE/PME qui déclarent au moins un dispositif de sécurité, 46 % citent un gestionnaire de mots de passe, contre 34 % en 2024 (baromètre Cybermalveillance.gouv.fr 2025, OpinionWay, 588 entreprises).
03Ce que recommandent la CNIL et l'ANSSI
Des mots de passe longs et uniques
La CNIL mesure la robustesse d'un mot de passe par son entropie, la « quantité de hasard » qu'il contient, exprimée en bits. Sa recommandation du 21 juillet 2022 (délibération n° 2022-100, présentée ici) fixe un minimum de 80 bits pour un mot de passe sans autre protection, et donne trois exemples équivalents :
| Exemple de la CNIL | Composition minimale |
|---|---|
| Mot de passe complexe | 12 caractères : majuscules, minuscules, chiffres et caractères spéciaux (pris dans une liste d'au moins 37) |
| Sans caractère spécial | 14 caractères : majuscules, minuscules et chiffres |
| Phrase de passe | 7 mots de la langue française |
L'ANSSI donne des repères voisins : de 12 à 14 caractères pour une sensibilité moyenne à forte, au moins 15 au-delà. Pour un mot de passe que personne ne mémorise, comme ceux que crée un gestionnaire, elle conseille une longueur « supérieure à 20 caractères par exemple ».
La CNIL et l'ANSSI déconseillent d'imposer un changement périodique, sauf pour les comptes d'administration. Au moindre soupçon, changez le mot de passe concerné, rappelle Cybermalveillance.gouv.fr (fiche mise à jour le 5 octobre 2026).
Un coffre-fort fourni par l'entreprise
Pour l'ANSSI, les responsables informatiques devraient mettre « à disposition des utilisateurs un coffre-fort de mots de passe » et les former « à son utilisation » (recommandation R31). La CNIL invite à les encourager dans les formations, en rappelant la nécessité « d'un mot de passe maître fort » et d'une sauvegarde régulière du coffre.
Un seul produit certifié, aucun qualifié
L'ANSSI délivre notamment la CSPN, la certification de sécurité de premier niveau. Dans son catalogue mis à jour le 27 octobre 2026, un seul gestionnaire de mots de passe a une certification CSPN en cours de validité : le logiciel libre KeePassXC, dans sa version 2.7.9, jusqu'au 17 novembre 2028. C'est aussi l'exemple cité par Cybermalveillance.gouv.fr. Aucun gestionnaire ne figure parmi les produits qualifiés.
Bon à savoir
Le certificat « s'applique uniquement à cette version spécifique de produit » et « ne constitue pas en soi une recommandation du produit » par l'ANSSI.
04Bien choisir pour une TPE
| Critère | La question à poser |
|---|---|
| Partage par équipe | Peut-on créer des coffres partagés et choisir qui voit quoi ? |
| Départs | Peut-on retirer l'accès d'une personne et savoir quels mots de passe elle consultait ? |
| Double authentification | Le coffre exige-t-il une seconde preuve, application ou clé physique ? |
| Hébergement | Le coffre est-il chez l'éditeur, sur vos postes ou sur votre serveur ? |
| Export et sauvegarde | Peut-on sauvegarder le coffre et l'exporter pour changer d'outil ? |
| Secours | Que se passe-t-il si quelqu'un oublie son mot de passe maître ? |
Sur le partage, la CNIL demande un identifiant par personne. Si un compte commun est incontournable, elle demande d'en changer le mot de passe dès qu'une personne n'a plus besoin d'y accéder : le coffre évite de l'envoyer, mais un salarié qui part a pu le voir.
05La mise en place, étape par étape
- Listez les comptes de l'entreprise : messagerie, banque, logiciels en ligne, sites fournisseurs, équipements (box, Wi-Fi, caméras), et qui les utilise.
- Testez l'outil à deux ou trois avant de le généraliser.
- Sécurisez le coffre : mot de passe maître robuste, double authentification activée, procédure de secours prévue.
- Créez les coffres partagés par usage et attribuez les droits.
- Importez les mots de passe existants, puis supprimez les anciennes traces : tableur, carnet, mots de passe enregistrés dans le navigateur.
- Remplacez les mots de passe réutilisés par des mots de passe générés, en commençant par la messagerie, la banque et les comptes administrateurs.
- Formez l'équipe et fixez la règle : un mot de passe ne s'envoie plus, il se partage dans le coffre. Intégrez le coffre à vos procédures d'arrivée et de départ (voir notre checklist informatique).
06Les limites à connaître
- Le mot de passe maître concentre le risque. Sa compromission entraînerait celle de tous les mots de passe du coffre, prévient l'ANSSI.
- La double authentification sur le coffre est indispensable. De nombreux coffres-forts la proposent, note l'ANSSI, et la CNIL estime qu'un service de gestion de mots de passe appelle des mesures renforcées, comme l'authentification multifacteur. Voir notre article sur la double authentification.
- Il ne protège pas de tout. Selon l'ANSSI, ce type d'outil n'empêche pas l'hameçonnage et reste sensible aux logiciels malveillants de l'appareil, comme les enregistreurs de frappe. Gardez les postes à jour et sensibilisez l'équipe (voir nos 10 signes d'hameçonnage).
À retenir
Un coffre protégé par un seul mot de passe devient une cible de choix. Activez la double authentification dès le premier jour.
En résumé
- Réutiliser, noter ou envoyer ses mots de passe par e-mail expose tous les comptes concernés.
- Un gestionnaire crée un mot de passe long et unique par compte, le range dans un coffre chiffré et le saisit pour vous.
- Avant de choisir, vérifiez le partage par équipe, la gestion des départs, la double authentification, l'hébergement et l'export.
- Protégez le mot de passe maître et activez la double authentification sur le coffre.
Pour définir votre politique de mots de passe et accompagner votre équipe, découvrez nos solutions de cybersécurité, de la gestion des identités à la sensibilisation des utilisateurs. Vous pouvez aussi nous contacter du lundi au vendredi, de 9 h à 18 h.