Oubliez tout ce qu'on vous a appris sur les mots de passe entre 2000 et 2020. La règle "8 caractères, une majuscule, un chiffre, un caractère spécial, changé tous les 90 jours" est officiellement obsolète — y compris pour les autorités de sécurité qui la recommandaient à l'époque. Voici ce qu'on fait en 2026, et pourquoi.
Pourquoi les anciennes règles étaient contre-productives
Imposer "majuscule + chiffre + caractère spécial" aboutissait à ce qu'on connaît tous : Password123!, Janvier2024!, Entreprise#01. Prévisibles, hackables en quelques secondes par des outils modernes.
Et imposer un changement tous les 90 jours aboutissait à : Password123! → Password124! → Password125!. Parfaitement inutile, et obligeant à écrire les nouveaux mots de passe sur un post-it.
L'ANSSI, le NIST américain, et Microsoft ont tous changé leurs recommandations : la longueur et l'unicité comptent plus que la complexité, et il ne faut PAS forcer de changement périodique si le mot de passe n'est pas compromis.
La méthode qui fonctionne en 2026
Règle n°1 : la longueur avant tout
Un mot de passe de 12 caractères aléatoires est aujourd'hui le minimum. 16+ est mieux. Au-delà de 14 caractères, le temps de cassage par force brute devient géologique.
Règle n°2 : un mot de passe différent par site
C'est la règle absolue. Si vous utilisez le même mot de passe sur 10 sites, et qu'un seul de ces sites est piraté, les 10 comptes sont compromis.
En 2026, chaque personne a en moyenne 100-200 comptes en ligne. Il est humainement impossible de se souvenir de 200 mots de passe uniques et longs. D'où la règle n°3.
Règle n°3 : un gestionnaire de mots de passe
C'est le changement de méthode fondamental. Vous ne retenez plus que UN seul mot de passe (celui du coffre-fort), et le gestionnaire s'occupe de tous les autres : il les génère aléatoirement, les stocke chiffrés, les remplit automatiquement sur les sites.
Règle n°4 : la 2FA sur les comptes importants
Même avec un mot de passe parfait, un phishing peut vous le faire taper sur une fausse page. La double authentification est la seule parade. Elle est non négociable sur votre email, votre banque, votre M365.
Quel gestionnaire choisir ?
Pour une TPE/PME, les options sérieuses en 2026 :
| Solution | Pour qui | Coût indicatif |
|---|---|---|
| Bitwarden | Entreprises de toutes tailles | ~3 € HT/mois/utilisateur en Business |
| 1Password | Entreprises qui valorisent l'ergonomie | ~7 € HT/mois/utilisateur en Teams |
| Dashlane Business | Entreprises avec besoin d'audit | ~5 € HT/mois/utilisateur |
| Keeper Business | Secteur réglementé | ~4 € HT/mois/utilisateur |
À éviter en pro : les gestionnaires "navigateur" (Chrome, Edge, Safari) seuls, qui ne permettent pas de partage sécurisé entre collègues et dont la sécurité dépend du compte Google/Microsoft/Apple.
À éviter absolument : le fichier Excel "mots de passe" sur le serveur, le post-it sous le clavier, le carnet de notes dans le tiroir du bureau.
Les 3 cas d'usage où le gestionnaire change tout
Cas 1 : partager un mot de passe avec un collègue
Besoin que votre adjoint ait accès au compte Facebook de l'entreprise ? Sans gestionnaire : vous lui envoyez par email ou par Teams, le mot de passe traîne pour toujours dans leur historique. Avec gestionnaire : vous le partagez via le coffre-fort, chiffré, et vous pouvez révoquer l'accès à tout moment sans changer le mot de passe.
Cas 2 : un salarié quitte l'entreprise
Sans gestionnaire : il faut penser à changer tous les mots de passe qu'il connaissait (banque, M365 admin, CRM, abonnements…). Souvent oublié. Avec gestionnaire : vous révoquez son accès au coffre-fort partagé en 1 clic, et il ne connaît plus aucun mot de passe à jour.
Cas 3 : un salarié tombe sur une fuite de données
Un gestionnaire pro (Bitwarden, 1Password…) compare automatiquement vos mots de passe aux bases de données piratées publiques (Have I Been Pwned). S'il détecte que votre mot de passe M365 est apparu dans une fuite, il vous alerte immédiatement — vous pouvez le changer avant qu'un attaquant ne l'utilise.
Et le "mot de passe maître" du coffre-fort ?
C'est le seul mot de passe que vous devez retenir à vie. Il doit être :
- Très long (20+ caractères)
- Mémorisable (vous ne pourrez pas le stocker ailleurs)
- Unique (jamais utilisé ailleurs)
La technique recommandée : une phrase de passe. Par exemple : Chat-Bleu-Mange-42-Sardines! (28 caractères, image mentale forte, impossible à deviner).
Et bien sûr, 2FA activée sur le coffre-fort lui-même. Si quelqu'un vole votre phrase de passe, il ne peut pas se connecter sans votre téléphone.
Les 5 erreurs à ne plus commettre
- Utiliser le même mot de passe sur plusieurs sites (même "en version adaptée")
- Noter les mots de passe dans un fichier Excel ou texte sur le serveur
- Changer les mots de passe périodiquement sans raison (n'ajoute aucune sécurité, incite à des variantes faibles)
- Communiquer un mot de passe par email ou SMS
- Avoir le même mot de passe perso et pro : si votre compte Netflix est piraté, votre M365 l'est aussi
Ce qu'on met en place en forfait d'infogérance
Chez Depass Info, on déploie et paramètre un gestionnaire de mots de passe pour toute l'équipe, on migre les mots de passe existants dans les coffres partagés, et on forme les utilisateurs. Résultat : vous ne perdez plus jamais un mot de passe, et vous ne les communiquez plus par email.
Pour voir ce que ça donnerait chez vous, l'audit gratuit regarde comment vos mots de passe critiques sont actuellement gérés et où sont les angles morts.
