Le mot de passe demeure l’un des principaux remparts entre un compte numérique et les données personnelles qu’il contient. La CNIL rappelle toutefois qu’une politique de sécurité ne se résume pas à imposer des majuscules, des chiffres et des changements fréquents : elle doit tenir compte du service concerné, des risques associés et des moyens disponibles pour protéger les accès. Cette approche déplace la question. Il ne s’agit plus seulement de demander à chacun de retenir un secret complexe, mais de concevoir une authentification adaptée, de stocker correctement les identifiants et de prévoir des solutions de récupération qui ne fragilisent pas l’ensemble.
Pour une petite structure comme l’atelier fictif Lisière, qui gère à la fois des comptes de messagerie, des outils de facturation et un espace client, l’enjeu est concret. Un mot de passe réutilisé peut transformer la fuite d’un service secondaire en accès à des informations sensibles. À l’inverse, une règle trop contraignante pousse parfois les utilisateurs à noter leurs secrets dans des endroits peu sûrs. Les recommandations de sécurité de la CNIL invitent donc à examiner la robustesse des mots de passe dans leur contexte, et à associer, lorsque c’est pertinent, gestionnaire de mots de passe et authentification multifacteur. C’est cette articulation, entre exigences techniques et usages réels, qui permet de comprendre la portée de la recommandation.
En bref
- La CNIL recommande d’adapter les exigences aux risques et au type de service, plutôt que d’appliquer une règle identique à tous les comptes.
- La longueur, l’imprévisibilité et l’absence de réutilisation contribuent à la robustesse des mots de passe.
- Un gestionnaire de mots de passe facilite l’usage de secrets distincts et difficiles à deviner.
- Pour les organismes, le hachage des mots de passe doit rendre leur récupération impraticable en cas d’accès illégitime à la base.
- La sécurité numérique repose aussi sur la récupération des comptes, la limitation des tentatives et, lorsque nécessaire, une authentification renforcée.
CNIL et mot de passe : une sécurité pensée selon les risques
Le mot de passe reste un moyen d’authentification largement déployé parce qu’il est simple à mettre en place et compris par la plupart des utilisateurs. Sa faiblesse tient à sa dépendance aux comportements humains : un secret trop prévisible, partagé entre plusieurs services ou conservé sans précaution réduit fortement la protection attendue.
La recommandation de la CNIL, publiée en 2022, propose de raisonner selon le contexte d’usage. Un compte permettant de consulter des informations publiques n’appelle pas nécessairement le même niveau de protection qu’un accès à des dossiers médicaux, des données de paie ou une boîte de messagerie professionnelle. Cette différence ne dispense pas de sécuriser les premiers ; elle aide à proportionner les mesures aux conséquences possibles d’une compromission.
Pour l’atelier Lisière, la priorité ne serait donc pas de multiplier les règles abstraites, mais de repérer les comptes qui ouvrent l’accès à d’autres services. Une messagerie, par exemple, peut servir à réinitialiser les identifiants de nombreux comptes : sa protection mérite une attention particulière. La portée de la CNIL et de ses missions éclaire ce cadre, qui relie protection des personnes, obligations des organismes et sécurité des traitements.
Robustesse des mots de passe : longueur, unicité et imprévisibilité
Un secret robuste n’est pas nécessairement celui qui paraît le plus compliqué à l’œil. Une succession de caractères difficile à retenir peut être remplacée par une variante prévisible, puis réutilisée partout. À l’inverse, une phrase de passe suffisamment longue et difficile à deviner peut offrir une meilleure protection, surtout si elle est propre à un seul compte.
La robustesse dépend notamment de la longueur et du caractère imprévisible du secret, mais aussi des mécanismes mis en place autour de lui. Les politiques de mots de passe doivent éviter de s’en remettre à une formule uniforme : le niveau attendu varie selon le service, les données personnelles concernées et la présence éventuelle d’une authentification multifacteur. La CNIL met également à disposition un outil permettant d’évaluer une politique en fonction de son cas d’usage.
Dans un scénario courant, un pirate récupère un mot de passe exposé lors d’une fuite sur un site peu important et tente de l’utiliser ailleurs. Si le même secret protège aussi la messagerie de Lisière, l’incident initial peut ouvrir une voie vers des comptes plus sensibles. L’unicité des mots de passe limite cette propagation : la compromission d’un service ne doit pas devenir la clé de tous les autres.
- Choisir un mot de passe long et difficile à deviner, sans s’appuyer sur des informations personnelles évidentes.
- Éviter de réutiliser le même secret sur plusieurs services, en particulier pour la messagerie et les comptes administratifs.
- Recourir à un gestionnaire de mots de passe pour créer et conserver des identifiants distincts.
- Activer une authentification supplémentaire lorsque le service la propose et que le niveau de risque le justifie.
- Modifier un mot de passe lorsqu’il est compromis ou qu’un indice sérieux laisse penser qu’il a été exposé.
Le gestionnaire de mots de passe, un outil d’usage autant que de sécurité
Un gestionnaire de mots de passe permet de conserver des identifiants différents sans demander à l’utilisateur de les mémoriser tous. Il peut également générer des secrets difficiles à anticiper. Son intérêt dépend toutefois de la qualité de sa propre protection : le mot de passe principal doit être solide, et les options de récupération doivent être examinées avec soin.
Pour une organisation, recommander un tel outil ne suffit pas. Il faut expliquer comment il est autorisé, comment les comptes sont récupérés en cas de départ ou d’indisponibilité, et quelles mesures protègent l’accès au coffre. L’outil réduit la tentation de réutiliser des secrets, mais ne remplace ni la gestion des habilitations ni la surveillance des connexions inhabituelles.
Stockage des mots de passe : comprendre le hachage
Lorsqu’un organisme crée un compte, il ne devrait pas conserver le mot de passe en clair dans sa base de données. Il doit recourir à un mécanisme de hachage adapté aux mots de passe, conçu pour rendre difficile la reconstitution du secret à partir de la valeur stockée. Le hachage transforme le mot de passe en une empreinte qui ne se déchiffre pas comme un texte chiffré classique.
Cette protection doit être mise en œuvre avec des paramètres appropriés et un sel propre à chaque mot de passe. Le sel empêche notamment qu’une même valeur produise systématiquement la même empreinte et complique l’usage de tables préétablies. Un algorithme rapide conçu pour vérifier des fichiers ou des sommes de contrôle n’est pas nécessairement adapté à la protection de secrets : la résistance aux essais répétés compte ici.
Cette mesure ne rend pas une fuite anodine. Si une base est copiée, des attaquants peuvent tenter de deviner les mots de passe hors ligne, surtout lorsque ceux-ci sont faibles. Le stockage sécurisé réduit les conséquences possibles, sans supprimer le besoin de secrets robustes, de contrôle d’accès et de procédures de réponse aux incidents.
| Enjeu | Mesure attendue | Pourquoi cela compte |
|---|---|---|
| Choix du secret | Favoriser longueur, imprévisibilité et unicité | Réduit les chances de deviner ou de réutiliser le mot de passe compromis |
| Stockage côté organisme | Employer un hachage adapté, avec des paramètres sûrs et un sel | Évite de conserver les mots de passe en clair et ralentit les tentatives de récupération |
| Accès au compte | Limiter les essais et prévoir une authentification complémentaire selon le risque | Freine les attaques automatisées et renforce les comptes sensibles |
| Récupération | Vérifier l’identité par une procédure proportionnée et sécurisée | Empêche que la réinitialisation devienne un contournement de la protection initiale |
Authentification et recommandations de sécurité : au-delà du secret
La sécurité d’un compte ne repose pas uniquement sur le mot de passe. Les organismes peuvent compléter l’authentification par un second facteur, par exemple une application dédiée ou une clé de sécurité, afin qu’un secret volé ne suffise pas à prendre le contrôle du compte. Cette protection est particulièrement pertinente pour les accès administratifs, les messageries et les services qui donnent accès à des données sensibles.
Les règles de renouvellement doivent, elles aussi, être appréciées avec discernement. Imposer des changements très fréquents peut conduire à des variantes prévisibles ou à des notes conservées sans protection. Il est plus utile de prévoir une modification en cas de compromission, de soupçon sérieux ou de changement de situation qui le justifie, tout en offrant un moyen clair de signaler une activité suspecte.
La récupération de compte constitue un autre point de vigilance. Si un utilisateur peut réinitialiser son mot de passe grâce à une adresse électronique vulnérable ou à des questions dont les réponses sont faciles à trouver, la protection principale perd une part de son efficacité. Les recommandations de sécurité doivent donc couvrir tout le parcours : création, connexion, récupération et fermeture des accès.
Politique de mots de passe : les responsabilités des organismes
Une politique efficace doit être traduite en procédures compréhensibles et appliquées dans les logiciels utilisés. Les organismes ont à vérifier que les règles annoncées correspondent aux paramètres réels : exigences de création, stockage, transmission, limitation des tentatives et gestion des comptes inactifs. Une consigne théorique n’améliore pas la sécurité si les outils permettent de la contourner ou si les équipes ne savent pas comment réagir à une alerte.
La documentation compte également. Les utilisateurs doivent comprendre comment créer un secret acceptable, où le conserver et quoi faire en cas de perte ou de suspicion de fuite. Pour Lisière, une procédure courte indiquant le canal de signalement, la marche à suivre pour révoquer une session et la façon de sécuriser la messagerie peut être plus utile qu’une longue liste de caractères interdits.
Le mot de passe s’inscrit enfin dans un ensemble plus large de droits et d’obligations relatifs aux données personnelles. La protection des accès contribue à prévenir les consultations indues, mais elle doit être accompagnée d’une gestion rigoureuse des données et de leur suppression lorsqu’elles ne sont plus nécessaires. Les enjeux sont proches de ceux abordés dans l’analyse sur la suppression des données en entreprise : sécuriser un compte ne suffit pas si les informations restent conservées sans raison ou accessibles trop largement.
Une politique de mots de passe se mesure donc à sa capacité à fonctionner dans les usages ordinaires, pas seulement à la sévérité de ses règles. C’est dans le lien entre choix techniques, organisation et pratiques que la sécurité numérique devient durable.
Questions fréquentes sur les mots de passe et la CNIL
Que recommande la CNIL pour choisir un mot de passe ?
La CNIL invite à tenir compte du contexte et du niveau de risque. Un secret long, imprévisible et différent pour chaque service renforce la protection, tandis qu’un gestionnaire peut faciliter son usage au quotidien.
Faut-il changer régulièrement tous ses mots de passe ?
Un renouvellement systématique et rapproché peut encourager des variantes prévisibles. Il est important de modifier un mot de passe en cas de compromission ou de suspicion sérieuse, et de suivre les consignes adaptées au service concerné.
Pourquoi le hachage est-il important pour les organismes ?
Le hachage adapté permet de ne pas conserver les mots de passe en clair dans une base. Associé à un sel et à des paramètres appropriés, il rend plus difficile leur récupération en cas d’accès illégitime aux données stockées.
Un gestionnaire de mots de passe suffit-il à sécuriser les comptes ?
Non. Il aide à créer et à conserver des secrets uniques, mais doit être lui-même protégé. L’authentification multifacteur, la sécurisation de la récupération des comptes et la vigilance face aux connexions suspectes restent importantes.
