Mots de passe et double authentification : les bons réflexes

Mots de passe et double authentification : les bons réflexes

Un mot de passe est la première barrière entre vos données et un cybercriminel. C'est aussi, trop souvent, la plus fragile. Dans les PME en Afrique de l'Ouest, les mots de passe insuffisants et l'absence de double authentification figurent parmi les causes les plus fréquentes de piratage de comptes professionnels. Adopter les bons réflexes coûte peu. Ne pas le faire peut coûter très cher.

Pourquoi vos mots de passe actuels sont probablement insuffisants

Les cybercriminels disposent de logiciels capables de tester des millions de combinaisons par seconde. Un mot de passe comme « Abidjan2024 » ou « MonEntreprise! » sera craqué en quelques minutes. Les mots de passe les plus courants sur les comptes piratés incluent des prénoms, des noms de villes, des années et des suites de chiffres simples.

Le problème n'est pas uniquement la faiblesse des mots de passe individuels. C'est aussi la réutilisation : utiliser le même mot de passe sur plusieurs services signifie qu'une fuite sur un service compromet tous les autres. Un employé dont les identifiants d'un réseau social ont été volés peut ainsi mettre en danger toute votre messagerie professionnelle.

Ce qu'est un mot de passe vraiment sécurisé

Un mot de passe fort répond à trois critères précis :

• La longueur : au moins 14 caractères. Plus c'est long, plus c'est difficile à craquer.
• La complexité : mélanger des lettres majuscules et minuscules, des chiffres et des symboles (%, $, #, @).
• L'unicité : un mot de passe différent pour chaque compte, sans exception.

Une astuce pratique : utilisez une phrase de passe plutôt qu'un mot isolé. « Kofi!Boit3CafesSansSuccre » est long, complexe et mémorisable. C'est aussi beaucoup plus résistant qu'un mot de passe classique.

Faut-il changer son mot de passe régulièrement ?

Les recommandations ont évolué ces dernières années. Forcer des changements fréquents pousse les utilisateurs à choisir des mots de passe plus faibles et prévisibles. L'approche actuelle recommande de changer un mot de passe uniquement s'il a été compromis ou s'il ne respecte pas les critères de sécurité. La qualité prime sur la fréquence.

Les gestionnaires de mots de passe : pourquoi vous devez en utiliser un

Mémoriser vingt mots de passe différents de quatorze caractères chacun est impossible. Les gestionnaires de mots de passe résolvent ce problème. Ils génèrent des mots de passe forts automatiquement, les stockent de façon chiffrée et les remplissent lors de la connexion.

Des solutions comme Bitwarden (gratuite pour les usages de base), 1Password ou KeePass sont accessibles aux PME. Bitwarden propose une version entreprise abordable qui permet de partager des accès entre collaborateurs de façon sécurisée, avec un journal d'activité. Le gestionnaire de mots de passe ne résout pas tout, mais il élimine le problème des mots de passe réutilisés et insuffisamment complexes, à l'origine d'une grande partie des compromissions de comptes.

Un point souvent négligé en Afrique de l'Ouest : les comptes de paiement mobile (Orange Money, Wave, MTN Mobile Money, Moov Money) sont des cibles de choix pour les cybercriminels. Ils méritent les mêmes précautions que vos accès bancaires classiques. Activez la double authentification sur ces applications dès aujourd'hui. Vérifiez régulièrement les appareils liés à vos comptes et supprimez ceux que vous n'utilisez plus.

Dans les organisations avec plusieurs niveaux de collaborateurs, distinguez les comptes à privilèges élevés (accès aux données clients, aux finances, aux serveurs) des comptes standards. Les comptes à privilèges élevés méritent une politique encore plus stricte, avec un suivi d'activité régulier. Une revue mensuelle des accès accordés dans votre organisation est une bonne pratique, particulièrement dans les périodes de forte rotation du personnel.

La double authentification : comment ça fonctionne et pourquoi c'est essentiel

La double authentification (2FA) ajoute une deuxième vérification lors de la connexion. Même si un cybercriminel obtient votre mot de passe, il ne peut pas accéder à votre compte sans ce deuxième facteur. Plusieurs types existent :

• L'application d'authentification (Google Authenticator, Microsoft Authenticator, Authy) : génère un code à six chiffres qui change toutes les trente secondes. C'est l'option la plus sécurisée.
• Le SMS : un code est envoyé sur votre téléphone. Moins sécurisé que l'application, mais très supérieur à l'absence de 2FA.
• La clé physique (YubiKey) : un dispositif matériel branché sur votre ordinateur. Solution très robuste, adaptée aux accès les plus sensibles.

Activez la double authentification en priorité sur la messagerie professionnelle, les outils de gestion financière, l'accès à votre hébergeur ou votre CRM, et les comptes administrateurs.

Gérer les mots de passe au niveau de l'équipe

Dans une PME, la gestion des accès touche toute l'organisation. Quelques règles pratiques à formaliser :

• Ne jamais transmettre un mot de passe par SMS ou email. Utilisez un gestionnaire de mots de passe partagé.
• Créer des comptes nominatifs pour chaque collaborateur. Pas de compte « direction » ou « accueil » partagé entre plusieurs personnes.
• Révoquer immédiatement les accès d'un collaborateur qui quitte l'entreprise.
• Documenter qui a accès à quoi. En cas d'incident, cette liste est indispensable pour agir vite.

Un mot de passe fort et la double authentification, combinés, rendent la compromission d'un compte incomparablement plus difficile. C'est l'une des mesures les plus efficaces par rapport à son coût.

Par où commencer cette semaine

Commencez par activer la double authentification sur vos comptes les plus critiques : messagerie professionnelle d'abord, puis les outils financiers. Installez ensuite un gestionnaire de mots de passe et commencez à migrer vos mots de passe les plus importants. Ce travail demande quelques heures, pas plusieurs jours.

Découvrez comment ICONEDOR peut vous accompagner dans la sécurisation de votre infrastructure via nos services. Un audit simple de vos pratiques actuelles permet souvent d'identifier les failles les plus urgentes à corriger.