Exploitations et petites entreprises : vos mots de passe méritent mieux qu’un carnet
Sponsorisé
Dans une petite entreprise, l’informatique se gère entre deux autres tâches. Le dirigeant fait la comptabilité le soir, répond aux clients le matin, et n’a ni le temps ni l’envie de se pencher sur une politique de sécurité.
Ajouter L’union sur Google
Temps de lecture: 5 min
Les accès numériques s’accumulent donc au fil des besoins : portail de la mutuelle, espace de télédéclaration, banque, logiciel de facturation, sites de fournisseurs, plateforme de gestion des commandes, messagerie. Et pour s’y retrouver, un carnet dans le tiroir du bureau.
Le carnet a des qualités. Il ne tombe pas en panne et ne se fait pas pirater à distance. Il a aussi des défauts évidents : il ne suit pas sur le téléphone, il pousse à choisir des mots de passe courts parce qu’il faut les recopier à la main, et il se lit par toute personne entrant dans le bureau. Surtout, il encourage la pire habitude qui soit : garder le même mot de passe pendant des années sur plusieurs services.
Ce qui vise vraiment les petites structures
Il existe une idée tenace selon laquelle une petite entreprise n’intéresse personne. C’est l’inverse. Les attaques les plus répandues ne ciblent pas une société en particulier, elles balayent automatiquement des listes entières d’adresses et d’identifiants pour voir ce qui cède. Une structure de trois personnes est aussi exposée qu’un groupe, avec beaucoup moins de moyens pour se relever.
Les conséquences sont concrètes : un compte de messagerie utilisé pour envoyer de fausses factures aux clients, un accès bancaire détourné, des dossiers chiffrés par un logiciel de rançon en pleine période de forte activité. Chaque printemps, les campagnes de sensibilisation publiques rappellent les risques liés à une mauvaise gestion des mots de passe et les gestes simples qui les réduisent.
Le mot de passe qu’on n’invente pas
Un bon mot de passe professionnel répond à trois critères. Il est long, au moins douze caractères et davantage pour les accès sensibles. Il est unique, propre à un seul service. Et il est imprévisible, ce qui exclut le nom de l’entreprise, celui du village, l’année de création et le millésime en cours.
Ces trois critères sont difficiles à tenir quand on improvise. Un générateur de mot de passe règle la question en quelques secondes : il produit une chaîne aléatoire de la longueur choisie, que l’on copie directement dans le formulaire. Aucun téléchargement, aucune installation. Pour les mots de passe qu’il faut tout de même prononcer à l’oral, certains générateurs proposent des phrases composées de plusieurs mots tirés au hasard, plus faciles à dicter au téléphone qu’une suite de symboles.
Le corollaire, c’est qu’il faut un endroit pour ranger tout cela. Un coffre numérique chiffré, ouvert par un unique mot de passe principal, remplace avantageusement le carnet. Il se synchronise entre l’ordinateur du bureau et le téléphone, ce qui compte quand on travaille autant dehors que devant un écran.
Les accès partagés, cas particulier des TPE
Dans une petite structure, plusieurs personnes utilisent souvent le même compte. Le conjoint, un salarié, un apprenti, un comptable extérieur. Le partage se fait par SMS ou par une note laissée sur le bureau, et personne ne sait plus qui détient quoi.
Les outils actuels permettent de partager un accès sans le communiquer en clair, et de le retirer ensuite d’un seul geste. Cela vaut particulièrement pour les intervenants extérieurs : un prestataire qui a besoin d’entrer dans le logiciel de facturation pendant deux semaines n’a pas besoin d’en connaître le mot de passe pour toujours.
Trois priorités, dans cet ordre
La messagerie professionnelle vient en premier. C’est le point de passage des réinitialisations, et c’est aussi ce qui donne accès à l’historique des échanges avec les clients et les fournisseurs. Mot de passe unique, long, plus une double authentification.
Viennent ensuite les accès bancaires et les portails administratifs, qui contiennent des données d’identité et permettent des mouvements d’argent. Puis les logiciels métier, en particulier ceux qui hébergent le fichier clients.
Le reste peut se traiter progressivement, au fil des connexions. L’important est de ne pas attendre d’avoir une journée libre, car cette journée n’arrive jamais.
Et la fausse facture, toujours elle
La fraude qui touche le plus souvent les petites entreprises passe par un courriel bien rédigé. Un fournisseur habituel signale un changement de compte bancaire. Le ton est juste, la signature est bonne, la référence de commande est exacte, parce que l’expéditeur a lu les échanges précédents.
La parade tient en deux points. Protéger la messagerie mieux que le reste, puisque c’est par elle que l’information a fui. Et confirmer par téléphone tout changement de coordonnées bancaires, sur un numéro que l’on connaissait déjà avant de recevoir le message. Ce coup de fil de deux minutes vaut tous les logiciels du marché.
Les accès des anciens et des prestataires
Une petite entreprise garde souvent la trace d’accès qui n’ont plus de raison d’exister. Un ancien salarié dont le compte n’a jamais été désactivé, un stagiaire parti l’été précédent, un informaticien qui est intervenu une fois et dispose encore d’un accès à distance, un ancien comptable qui figure toujours parmi les utilisateurs du logiciel de gestion.
Ces accès dormants sont un risque discret mais réel, car personne ne surveille leur usage. Une revue annuelle suffit : listez les utilisateurs de chaque logiciel et de chaque portail, et supprimez tout ce qui ne correspond plus à une personne en activité. Faites de même pour les accès à distance et pour les autorisations données à des applications tierces sur la messagerie, une rubrique que l’on n’ouvre jamais et qui réserve parfois des surprises.
Rien de tout cela ne demande de compétences techniques. Une matinée, un carnet à recopier une dernière fois, et l’entreprise sort d’une zone de fragilité qu’elle n’avait même pas identifiée.