- Une politique de mots de passe efficace repose sur la longueur et l’unicité, pas sur des règles de complexité forcée qui poussent souvent à des mots de passe plus faibles.
- Les recommandations 2026 de l’ANSSI et du NIST ont abandonné le changement systématique tous les 30-90 jours, jugé contre-productif.
- Documenter la politique par écrit, même simplement, change tout dans son application réelle par les équipes.
Beaucoup de PME françaises appliquent encore des règles de mots de passe héritées d’une époque où les recommandations étaient différentes — changement forcé tous les 30 jours, exigence de caractères spéciaux à tout prix. Ces pratiques, aujourd’hui jugées contre-productives par l’ANSSI elle-même, poussent souvent les utilisateurs vers des raccourcis dangereux comme « Ete2026! » suivi de « Automne2026! ».
Ce que dit la doctrine actuelle
Les recommandations les plus récentes (ANSSI, NIST) convergent vers une approche différente :
- Priorité à la longueur plutôt qu’à la complexité artificielle
- Pas de changement forcé périodique, sauf en cas de suspicion réelle de compromission
- Vérification contre les bases de mots de passe déjà compromis plutôt que des règles de complexité arbitraires
- MFA en complément systématique sur tout compte sensible
Imposer un changement de mot de passe tous les mois. En pratique, ça pousse les utilisateurs à de simples variantes prévisibles (incrémenter un chiffre, changer une saison) — un vrai recul de sécurité déguisé en bonne pratique.
Écrire une politique simple et applicable
Une politique de mots de passe n’a pas besoin d’être un document juridique complexe. Elle doit tenir sur une page et répondre clairement à :
- Longueur minimale exigée (12 caractères pour un compte standard, 16 pour un compte à privilèges)
- Obligation d’un mot de passe unique par service
- Outil obligatoire (le gestionnaire de mots de passe de l’entreprise)
- Conditions précises qui déclenchent un changement obligatoire (fuite connue, départ suspect d’un collaborateur, incident de sécurité)
- Procédure à suivre en cas de suspicion de compromission
Intégrez la politique de mots de passe dans le processus d’onboarding de chaque nouveau collaborateur, avec une installation immédiate du gestionnaire d’entreprise — pas une simple mention dans un règlement intérieur jamais relu.
Le cas des comptes à privilèges
Les comptes administrateur, finance ou RH méritent un niveau d’exigence supérieur : mot de passe plus long (16+ caractères), MFA obligatoire sans exception, et idéalement un compte séparé du compte utilisé au quotidien pour les tâches courantes.
- ☐ Politique écrite, tenant sur une page, communiquée à toute l’équipe
- ☐ Longueur minimale définie selon le niveau de sensibilité du compte
- ☐ Pas de changement forcé périodique sans raison précise
- ☐ Gestionnaire de mots de passe imposé, pas juste recommandé
- ☐ Procédure claire en cas de suspicion de fuite
❓ FAQ
Faut-il vraiment abandonner le changement périodique des mots de passe ?
Oui, selon les recommandations actuelles — sauf obligation contractuelle ou réglementaire spécifique à votre secteur (certains cadres normatifs l’exigent encore).
Comment vérifier qu’un mot de passe n’est pas déjà compromis ?
Des services comme Have I Been Pwned permettent de vérifier si une adresse e-mail (et parfois un mot de passe) apparaît dans une fuite connue, sans jamais transmettre le mot de passe en clair.
📚 Pour aller plus loin : testez la robustesse d’un mot de passe avec notre testeur gratuit.
Besoin d'aide pour passer à l'action ?
Un expert peut vous rappeler pour vous accompagner sur ce sujet, sans engagement.
Être rappelé par un expert →
Spécialiste Microsoft 365 et gestion des identités. Camille aide les PME à sécuriser leurs comptes, leur messagerie et leurs accès sans complexifier le quotidien des équipes.
