Non, et cette règle est explicitement déconseillée aujourd'hui, aussi bien par l'ANSSI que par les référentiels internationaux. Imposer un changement tous les trois mois produit des mots de passe plus courts, construits sur un motif prévisible, et notés à côté de l'écran.
Le changement ne doit intervenir que sur un événement, une suspicion de compromission, une fuite avérée ou le départ d'une personne qui connaissait un secret partagé. Le reste du temps, un mot de passe long et unique vaut mieux qu'un mot de passe changé souvent.
Pourquoi l'ancienne règle a été abandonnée
Elle reposait sur une hypothèse devenue fausse, celle qu'un attaquant met des mois à casser un mot de passe. Dans la réalité actuelle, les mots de passe se volent par hameçonnage ou se récupèrent dans des fuites, et ils sont exploités dans les heures qui suivent. Un changement trimestriel n'y change rien.
L'effet négatif, lui, est bien réel. Contraints de changer régulièrement, les utilisateurs adoptent des variations mécaniques faciles à deviner, un mot suivi du mois ou d'un numéro qui s'incrémente. L'attaquant qui obtient une version connaît toutes les suivantes.
Ce qui protège réellement
Le second facteur d'authentification est la mesure la plus efficace dont dispose une PME. Il neutralise l'essentiel des attaques, puisque connaître le mot de passe ne suffit plus. Il est inclus dans la plupart des abonnements déjà payés et se déploie en quelques jours.
L'ordre de déploiement compte. Les accès distants et les comptes à privilèges d'abord, la messagerie ensuite, puis les applications contenant des données sensibles. Ce sont les trois portes qui donnent le plus à un attaquant.
Toutes les méthodes ne se valent pas. Le code reçu par message texte est mieux que rien mais reste vulnérable au détournement de ligne. Une application dédiée sur téléphone constitue le bon compromis pour une PME. Les clés physiques offrent le meilleur niveau et se justifient pour les comptes les plus sensibles.
La longueur plutôt que la complexité
Une phrase de passe composée de plusieurs mots ordinaires est plus résistante et bien plus facile à retenir qu'une suite courte de caractères tourmentés. La longueur pèse davantage que la variété des symboles.
Exiger des majuscules, des chiffres et des caractères spéciaux produit surtout des contournements prévisibles, une majuscule au début et un point d'exclamation à la fin. Mieux vaut demander une longueur minimale généreuse et laisser la construction libre.
Le point qui compte davantage encore est l'unicité. Un mot de passe réutilisé sur un site externe qui subit une fuite devient une clé d'entrée dans votre entreprise. C'est le scénario le plus fréquent, et il ne dépend pas de la robustesse du mot de passe lui-même.
Le gestionnaire de mots de passe, y compris en PME
Demander à quelqu'un de retenir quarante mots de passe uniques et longs est irréaliste. Sans outil, il en réutilisera un ou deux partout, ce qui annule tout le reste.
Un gestionnaire d'entreprise résout aussi un problème que les PME rencontrent constamment, celui des accès partagés. Le compte du fournisseur d'énergie, l'accès à la plateforme de dématérialisation, le portail de la mutuelle, autant de comptes utilisés par plusieurs personnes et dont le mot de passe circule aujourd'hui par messagerie ou sur un papier.
Le coffre permet de partager l'usage sans divulguer le secret, et de le révoquer d'un seul geste lors d'un départ.
Les mots de passe par défaut, encore présents partout
Les équipements réseau, les caméras, les imprimantes multifonction, les onduleurs et les automates arrivent avec des identifiants d'usine documentés publiquement. Beaucoup ne sont jamais changés parce que personne ne considère ces équipements comme des systèmes informatiques.
Ils le sont pourtant, et une imprimante compromise sert de point d'appui pour atteindre le reste du réseau. Le recensement de ces équipements et le changement de leurs identifiants figurent parmi les actions les plus rentables d'un premier chantier de sécurisation.
Ce qui suffit dans une petite structure
Une vérification annuelle convient, à condition d'être réellement conduite. Elle porte sur trois points. Le second facteur est-il actif là où il doit l'être. Les comptes partagés sont-ils dans le coffre plutôt que dans des messages. Les équipements installés dans l'année ont-ils vu leurs identifiants d'usine changés.
Le changement de mot de passe, lui, se déclenche sur événement et non sur calendrier. Un départ, une fuite signalée ou un doute justifient d'agir immédiatement.
Questions fréquentes
Faut-il supprimer l'expiration des mots de passe déjà en place ?
Oui, à condition de la remplacer par des exigences de longueur et d'unicité, et si possible par un second facteur. Retirer l'expiration sans rien mettre à la place laisserait en circulation des mots de passe courts et réutilisés. La séquence recommandée consiste à déployer le second facteur, puis à lever l'expiration.
Le code reçu par SMS suffit-il comme second facteur ?
Il vaut nettement mieux que rien et protège contre la grande majorité des tentatives. Il reste toutefois vulnérable au détournement de ligne téléphonique, une fraude qui existe en France. Pour les comptes à privilèges et les accès distants, une application dédiée sur téléphone ou une clé physique constitue un choix plus sûr.
Un gestionnaire de mots de passe est-il risqué en cas de piratage ?
Le risque existe mais il est très inférieur à celui qu'il supprime. Sans gestionnaire, les mêmes mots de passe sont réutilisés partout et circulent par messagerie, ce qui est la cause la plus fréquente de compromission en PME. Choisissez un outil professionnel qui chiffre les données côté client et protégez le compte principal par un second facteur.
Comment gérer les comptes partagés entre plusieurs collaborateurs ?
En les plaçant dans un gestionnaire d'entreprise, qui permet de partager l'usage sans divulguer le mot de passe et de retirer l'accès d'un seul geste au départ d'une personne. Quand l'application le permet, remplacez purement et simplement le compte partagé par des comptes nominatifs, ce qui rétablit en plus la traçabilité.