Boîte mail, hébergement, WordPress, nom de domaine, outils IA : une petite entreprise cumule vite des accès sensibles. Lorsque les mots de passe circulent par e-mail, message instantané ou fichier tableur, le risque augmente. La gestion des mots de passe partagés permet de conserver les accès utiles sans perdre le contrôle.
Voici une méthode simple pour les TPE, PME et indépendants. Elle protège l’activité sans compliquer le travail quotidien.
Un même identifiant peut donner accès au site, aux e-mails clients ou aux factures. Pourtant, il est souvent utilisé par plusieurs personnes. À chaque départ de collaborateur, changement de prestataire ou incident, personne ne sait toujours qui possède encore le mot de passe.
Le problème n’est pas le partage en lui-même. Une entreprise doit parfois donner accès à un développeur, un comptable ou une agence. Le risque vient d’un partage sans règles, sans suivi et sans possibilité de retirer rapidement un accès.
La CNIL conseille de limiter au strict nécessaire le nombre de personnes connaissant un secret partagé et de privilégier un gestionnaire de mots de passe. L’ANSSI recommande aussi des mots de passe uniques, robustes et l’authentification multifacteur lorsque celle-ci est disponible.
Commencez par les accès qui peuvent bloquer votre activité : messagerie professionnelle, hébergement, nom de domaine, site WordPress, fiches Google, réseaux sociaux, outils de devis et solutions de paiement. Pour chaque compte, identifiez le propriétaire, l’usage et les personnes qui en ont réellement besoin.
Cette étape révèle souvent des comptes ouverts avec une adresse personnelle ou détenus par un ancien prestataire. Corrigez ces situations en priorité. L’entreprise doit rester propriétaire de ses actifs numériques.
Évitez les tableurs, les notes partagées et les conversations de messagerie. Un gestionnaire de mots de passe professionnel chiffre les identifiants, crée des mots de passe uniques et permet de partager un accès sans communiquer le secret en clair.
Créez des espaces ou collections par usage : administration du site, marketing, finance ou réseau social. Donnez ensuite l’accès à une collection précise. Un prestataire n’a pas besoin de voir les identifiants de votre comptabilité.
Dès qu’un service le permet, créez un compte nominatif pour chaque utilisateur. Vous pouvez alors retirer l’accès d’une seule personne sans changer le mot de passe de toute l’équipe. Les comptes partagés doivent rester l’exception, par exemple pour un accès technique impossible à séparer.
Pour WordPress, créez des rôles adaptés plutôt que de diffuser le compte administrateur. Un rédacteur n’a pas besoin de modifier les extensions. Cette séparation réduit les erreurs et facilite le suivi des actions.
La double authentification ajoute une preuve supplémentaire après le mot de passe. Activez-la en premier sur la messagerie, le nom de domaine, l’hébergement, le gestionnaire de mots de passe et les comptes administrateurs du site.
Préparez aussi les codes de récupération. Placez-les dans un espace protégé du coffre-fort, accessible à deux personnes de confiance. Sans cette précaution, la perte d’un téléphone peut bloquer un compte essentiel.
Une fois par trimestre, vérifiez les accès sensibles. Supprimez ceux qui ne sont plus utiles. Lorsqu’un collaborateur ou un prestataire quitte l’équipe, retirez ses droits le jour même. Changez le secret partagé si la solution ne permet pas une révocation individuelle.
Conservez une courte procédure de départ. Elle doit indiquer qui désactive les comptes, qui récupère le matériel et qui vérifie les boîtes e-mail ou les redirections. Vous gagnez ainsi en réactivité, même dans une période chargée.
Ne confiez jamais un mot de passe par e-mail en clair. N’utilisez pas le même mot de passe pour le site, la messagerie et les réseaux sociaux. Enfin, ne désignez pas une seule personne comme détentrice des accès critiques. Une absence imprévue ne doit pas arrêter votre communication ou vos ventes.
Attention aussi aux droits trop larges. Donner un accès administrateur « pour aller plus vite » crée souvent un risque durable. Accordez le niveau minimum, puis augmentez-le temporairement si une intervention l’exige.
Commencez par sécuriser les cinq accès les plus critiques. Mettez-les dans un coffre-fort, activez la double authentification et nommez un propriétaire interne. Ensuite, créez une liste des comptes à contrôler chaque trimestre. Cette première base apporte déjà une protection concrète.
La sécurité des accès complète les autres réflexes essentiels. Retrouvez également nos mesures de cybersécurité prioritaires pour les PME. Si votre site fait partie de ces accès critiques, un accompagnement de création ou d’évolution de site internet peut aussi clarifier les rôles et les accès techniques.
Crédit photo : FlyD, Unsplash.
La cybersécurité concerne toutes les entreprises. Une TPE, une PME ou un indépendant utilise déjà des données clients, des factures et des boîtes e-mail. Elle gère aussi des accès bancaires, un site web ou des outils métiers. Chacun de ces éléments peut ouvrir la voie à une fraude, à une usurpation de compte, à une fuite de données ou à un rançongiciel.
Bonne nouvelle : tout ne doit pas être transformé en une semaine. Toutefois, quelques décisions concrètes réduisent fortement les risques les plus fréquents. Voici les dix mesures à prioriser.
D’abord, dressez une liste simple. Notez les ordinateurs, téléphones, boîtes mail, site WordPress, réseaux sociaux, logiciel de facturation et espace cloud. Ajoutez le nom de domaine, les accès bancaires et les fichiers clients. Pour chaque élément, indiquez la personne responsable et le compte administrateur associé.
Cette cartographie évite un problème fréquent. Lors d’un départ ou d’un incident, un accès important peut dépendre d’une seule personne. Il peut aussi être lié à une adresse e-mail personnelle.
Un compte administrateur peut installer un logiciel, modifier un site ou gérer une messagerie. Il ne doit donc pas servir à consulter ses e-mails ni à naviguer sur Internet. Utilisez un compte standard pour le travail courant. Réservez le compte administrateur aux actions qui l’exigent.
Évitez également les comptes partagés. Des identifiants individuels facilitent le retrait rapide d’un accès, la traçabilité et la limitation des droits au strict nécessaire.
La réutilisation est le vrai danger. Si un mot de passe fuit chez un prestataire, il peut être testé sur votre messagerie, votre banque, votre hébergeur ou votre site. Un gestionnaire de mots de passe crée et conserve des mots de passe longs et aléatoires. Ainsi, vous n’avez pas besoin de les mémoriser.
Pour les comptes sensibles, en particulier les comptes administrateurs, bannissez les mots de passe par défaut et documentez une procédure de récupération maîtrisée par l’entreprise.
L’authentification multifacteur est aussi appelée MFA ou double authentification. Elle ajoute une vérification après le mot de passe : application, clé de sécurité ou code temporaire. Activez-la d’abord sur la messagerie et les comptes administrateurs. Puis protégez l’hébergement, le cloud, les réseaux sociaux et les accès à distance.
C’est une mesure particulièrement utile lorsqu’un mot de passe a été volé par hameçonnage.
Les mises à jour corrigent des failles connues. Elles concernent le système d’exploitation, le navigateur, la messagerie, l’antivirus et le routeur. Elles concernent aussi les extensions et le thème WordPress. Activez les mises à jour automatiques lorsque cela est pertinent. Enfin, vérifiez régulièrement les outils qui demandent une validation manuelle.
Sur un site WordPress, supprimez aussi les extensions et thèmes inutilisés. Un élément inactif mais installé peut encore devenir une source de vulnérabilité.
Une sauvegarde n’est utile que si elle peut être restaurée. Pour les données importantes, l’ANSSI recommande le principe 3-2-1. Prévoyez trois copies sur deux supports différents. Conservez une copie déconnectée ou protégée du réseau. Enfin, adaptez la fréquence à votre activité : perdre une journée de travail n’a pas toujours le même impact.
Testez une restauration sur un fichier ou un environnement de test. Sauvegardez aussi les configurations, licences et éléments nécessaires à la remise en route des outils.
Le phishing ne se reconnaît pas toujours à une faute d’orthographe. Une demande urgente de paiement doit vous alerter. Il en va de même pour une facture inattendue, un lien de connexion ou un changement de RIB. Vérifiez alors par un autre canal : téléphone, numéro connu ou échange direct avec le fournisseur.
Définissez une règle claire : personne ne valide un paiement, un changement de coordonnées bancaires ou une transmission de données sensibles sur la seule base d’un e-mail.
À chaque départ, changement de prestataire ou fin de mission, désactivez les comptes concernés. Pensez à la messagerie, WordPress, aux réseaux sociaux, aux outils SaaS, au VPN et au stockage cloud. Vérifiez également les comptes revendeurs. Ensuite, faites régulièrement le point sur les utilisateurs ayant un rôle administrateur.
La sécurité dépend aussi des réflexes humains. Un court point trimestriel suffit pour rappeler les bons gestes : vérifier un expéditeur, signaler un doute, verrouiller son poste, ne pas utiliser une clé USB inconnue et ne pas partager ses identifiants.
L’objectif n’est pas de transformer l’équipe en experts techniques, mais de rendre normal le fait de demander une vérification avant une action risquée.
En cas de suspicion d’intrusion, de fraude ou de rançongiciel, improviser fait perdre du temps. Préparez donc une fiche accessible. Elle doit contenir les contacts utiles : dirigeant, prestataire informatique, hébergeur, banque et assurance. Ajoutez un interlocuteur juridique ou un DPO si nécessaire.
La fiche doit préciser les premières actions : isoler l’équipement suspect du réseau sans effacer les éléments utiles, prévenir les personnes désignées, conserver les preuves disponibles et ne pas diffuser d’informations non vérifiées.
Commencez par la MFA, des mots de passe uniques stockés dans un gestionnaire, les mises à jour, une sauvegarde testée et une règle de vérification des demandes sensibles. Ces mesures ont un impact immédiat sur de nombreux risques courants.
Oui. Les attaques automatisées ne sélectionnent pas seulement de grandes organisations : elles cherchent souvent les systèmes les moins protégés. La taille réduite d’une entreprise n’empêche pas une fraude, un vol d’accès ou le chiffrement de données essentielles.
Les premières mesures peuvent être engagées en interne. Un accompagnement devient utile pour évaluer les risques spécifiques, sécuriser un site web, organiser les accès, formaliser des procédures ou réagir à un incident.
Une entreprise mieux protégée n’est pas celle qui multiplie les outils, mais celle qui applique durablement des règles simples et vérifiables. Commencez par les accès, les sauvegardes, les mises à jour et la messagerie, puis faites évoluer le dispositif selon vos outils et vos risques.
L’Agence Lapostolle accompagne les entreprises dans leurs projets numériques, de la sécurisation d’un site WordPress à la mise en place de pratiques adaptées à leur organisation. Pour faire le point sur votre environnement, découvrez nos conseils et services.
