Le post-it collé sous l'écran. Le classeur Excel intitulé « mots de passe 2026 ». La feuille Word planquée dans un dossier « divers ». Ou plus discrètement, le navigateur Chrome qui « propose de se souvenir » et que tout le monde accepte sans se poser de questions.
C'est la réalité de beaucoup de PME. Pas de négligence intentionnelle, juste un manque de méthode. Sauf que dans un contexte où les cyberattaques ciblent les petites structures autant que les grandes, cette méthode a un coût.
Le navigateur, c'est commode. Il retient tout, remplit tout. Sauf que les mots de passe stockés dans Chrome, Edge ou Firefox sont chiffrés avec les clés du système d'exploitation, pas avec votre propre secret. Si quelqu'un accède à votre session Windows, il accède aussi à tous vos mots de passe, via un simple export natif ou des outils tiers largement disponibles.
L'Excel ou le Word, c'est pire : le fichier se partage par mail, s'envoie sur un Teams, finit dans un cloud personnel ou sur une clé USB. Pas de traçabilité, pas de chiffrement sérieux : le « mot de passe » d'un fichier Office se contourne en quelques minutes.
Et le post-it… on ne va pas s'étendre.
Un gestionnaire de mots de passe, c'est un coffre-fort numérique. Tous vos identifiants sont stockés dans une base chiffrée (AES-256 pour les solutions sérieuses), protégée par un seul secret : votre mot de passe maître.
Vous créez une entrée par service. Le gestionnaire génère pour vous un mot de passe long et aléatoire, remplit automatiquement les champs, et chaque service dispose d'un mot de passe unique. Si l'un d'eux fuite, les autres restent intacts.
Le phishing, les vols de bases de données, le credential stuffing font que même un bon mot de passe peut finir dans de mauvaises mains. C'est là qu'intervient le MFA, l'authentification multifacteur : prouver son identité avec au moins deux facteurs distincts.
La plupart des gestionnaires modernes intègrent nativement un générateur TOTP (ces codes à 6 chiffres qui changent toutes les 30 secondes). Plus besoin d'une application séparée : l'entrée contient à la fois l'identifiant, le mot de passe et le code OTP.
Les passkeys remplacent le mot de passe par une paire de clés cryptographiques. Aucun secret ne transite sur le réseau : par construction, les attaques man-in-the-middle ne peuvent rien contre ce mécanisme. Les gestionnaires récents (1Password, Bitwarden, Proton Pass) permettent désormais de stocker et d'utiliser vos passkeys directement.
Si vous voulez comprendre pourquoi les passkeys résistent structurellement aux attaques MITM là où un code OTP classique peut céder, on a écrit un article dédié sur le sujet.
Bitwarden : open source, auto-hébergeable, excellent rapport fonctionnalités/prix (offre Business ~5 $/utilisateur/mois). Code auditable publiquement.
1Password : l'interface la plus soignée du marché, idéal pour les équipes moins techniques. Gestion des droits par coffres partagés, intégration Entra ID possible (~6 $/utilisateur/mois).
KeePass / KeePassXC : 100% local, aucun cloud, gratuit et open source. La contrepartie : vous gérez la synchronisation entre postes.
Proton Pass : développé par Proton, open source, chiffrement de bout en bout, gestion des alias e-mail intégrée. Bonne option pour la souveraineté numérique.
Oui, c'est possible. Bitwarden propose une version auto-hébergeable (compatible Vaultwarden), KeePass fonctionne sur ce modèle par design, et Passbolt est pensé pour l'auto-hébergement en équipe. L'auto-hébergement a un coût réel : maintenir le serveur, assurer les sauvegardes, gérer les mises à jour. Un serveur de mots de passe non monitoré et non sauvegardé, c'est un point faible classique lors des incidents.
Avant : les mots de passe du VPN, des outils métier, du portail douanier et des accès fournisseurs dorment dans un Excel partagé, sans chiffrement. On déploie 1Password (cloud managé), on importe les identifiants, on régénère les accès critiques, on active le MFA. En deux semaines, chaque collaborateur a son compte avec des droits différenciés par coffre.
Trois mois plus tard, le mail d'un collaborateur est compromis lors d'une fuite d'un service tiers. Le mot de passe de ce service était unique : l'incident reste isolé, aucune propagation.
Le stockage dans le navigateur ne suffit pas dès qu'une équipe partage des accès. Commencez par les accès critiques (VPN, messagerie pro, outils de gestion, accès bancaires). Activez le MFA partout où c'est possible. L'auto-hébergement est une option valide si vous avez un service IT interne ou un prestataire dédié ; sinon, une solution cloud sérieuse vaut mieux qu'un serveur mal maintenu.
Un gestionnaire de mots de passe, c'est rarement la solution la plus spectaculaire, mais c'est un premier pas concret dans l'intégration de bonnes pratiques de sécurité dans son entreprise.
