Module 4 / 5
Sommaire complet de la formation4.2 Mots de passe, MFA et hygiène numérique
Le mot de passe reste la porte d'entrée principale du système d'information : la moitié des violations de données notifiées à la CNIL en 2025 ont pour origine un piratage, et l'hameçonnage — dont l'objectif est précisément de capter un identifiant et un mot de passe — figure parmi les modes opératoires les plus fréquents. Ce chapitre reprend ce que dit exactement la CNIL, et rien d'autre : sa recommandation « mots de passe » de 2022 et sa recommandation « authentification multifacteur » de 2025.
Les recommandations CNIL pour un bon mot de passe
La recommandation de référence est la délibération n° 2022-100 du 21 juillet 2022, qui a remplacé celle de 2017. Son principe directeur : ce n'est pas le nombre de types de caractères qui compte, mais l'entropie — la quantité de hasard contenue dans le mot de passe. À entropie égale, la longueur est plus efficace que la complexité, parce qu'un utilisateur contraint de « compliquer » finit toujours par fabriquer un motif prévisible.
La CNIL ne fixe donc pas une règle unique, mais trois niveaux d'exigence selon ce qui protège le compte. Plus il existe de garde-fous autour du mot de passe, moins le mot de passe lui-même a besoin d'être long.
| Cas | Entropie minimale | Exemples donnés par la CNIL |
|---|---|---|
| 1. Mot de passe seul forum, blog, service sans autre protection |
80 bits |
12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux (parmi au moins 37 possibles) ; ou 14 caractères avec majuscules, minuscules et chiffres, sans caractère spécial obligatoire ; ou une phrase de passe d'au moins 7 mots. |
| 2. Mot de passe + restriction d'accès au compte le cas des comptes professionnels et des webmails |
50 bits |
8 caractères comportant 3 des 4 catégories de caractères ; ou une phrase de passe d'au moins 5 mots ; ou 16 chiffres. |
| 3. Code de déverrouillage d'un matériel détenu par la personne carte à puce, dispositif portant un certificat |
13 bits | 4 chiffres, avec blocage du dispositif après 3 échecs consécutifs au plus. |
Ce qu'est une « restriction d'accès au compte » (cas n° 2)
Le mot de passe court de 8 caractères n'est acceptable que si le service met en place au moins un de ces mécanismes :
- une temporisation qui augmente après chaque échec — au moins une minute après cinq tentatives, 25 tentatives maximum par 24 heures ;
- un plafond de tentatives sur une durée donnée (par exemple 10 essais par heure) ;
- un mécanisme anti-automatisation (captcha) ;
- un blocage du compte après 10 échecs consécutifs au plus, avec une procédure de déblocage.
Ce que la CNIL a abandonné en 2022
Le changement périodique imposé à tous les utilisateurs. La délibération de 2022 indique que les responsables de traitement « ne devraient plus imposer de modification périodique des mots de passe à l'ensemble de leurs utilisateurs » : la contrainte pousse à des variations prévisibles (MotDePasse01, MotDePasse02…). La modification périodique reste en revanche nécessaire pour les comptes à privilège (comptes d'administration), avec une périodicité définie en fonction des risques. Le renouvellement s'impose aussi, pour tout compte, dès qu'une compromission est suspectée.
Comment créer et retenir un mot de passe long
Méthode de la phrase de passe
La CNIL admet la phrase de passe comme équivalent d'un mot de passe complexe : 7 mots minimum pour un compte non protégé par ailleurs, 5 mots si le compte est protégé par un mécanisme de restriction d'accès.
Exemple de construction : velo-cuivre-fenetre-orage-canari-lampe-seize
La délibération précise le piège à éviter : des mots sans lien entre eux. Une phrase qui a du sens (un proverbe, une réplique de film) se retrouve dans les dictionnaires d'attaque.
Gestionnaire de mots de passe
Un coffre-fort numérique génère et stocke un mot de passe unique pour chaque service. Vous ne retenez plus qu'un seul mot de passe maître — long et solide.
La CNIL recommande cet usage et rappelle qu'il faut privilégier une solution éprouvée ; l'ANSSI publie la liste des produits qu'elle a qualifiés ou certifiés. En entreprise, utiliser celui que la DSI a validé.
À ne JAMAIS faire
- Utiliser le même mot de passe sur plusieurs comptes
- Noter les mots de passe sur un post-it sous le clavier ou collé à l'écran
- Stocker les mots de passe en clair dans un fichier Excel ou Word
- Les transmettre par e-mail, SMS ou messagerie instantanée non sécurisée
- Les communiquer à un collègue, un manager, un service IT « pour vérification »
L'authentification multifacteur (MFA) : indispensable
La MFA combine au moins deux preuves d'identité de natures différentes : ce que vous savez (mot de passe), ce que vous avez (téléphone, carte, clé physique), ce que vous êtes (donnée biométrique). Son intérêt est mécanique : un mot de passe volé par hameçonnage ne suffit plus à ouvrir le compte.
La CNIL a adopté une recommandation dédiée à ce sujet — délibération n° 2025-019 du 20 mars 2025, relative à l'authentification multifacteur. Elle rappelle deux points souvent négligés : les facteurs doivent être réellement indépendants (un code reçu sur le même appareil que celui où l'on se connecte n'apporte presque rien), et la MFA n'exonère pas d'une politique de mot de passe conforme à la recommandation de 2022.
La MFA elle-même traite des données personnelles
Numéro de téléphone personnel, application installée sur le mobile privé, empreinte : déployer une MFA est un traitement qui doit avoir sa base légale, sa durée de conservation et son information des salariés. La CNIL insiste sur ce point dans sa recommandation de 2025 : un employeur ne peut pas imposer sans encadrement l'usage du téléphone personnel d'un salarié comme second facteur.
Application TOTP
Une application dédiée affiche un code à usage unique, renouvelé toutes les 30 secondes. Solution la plus répandue en entreprise, sans matériel supplémentaire.
Clé physique FIDO2
Un jeton matériel branché ou approché du poste. C'est le facteur le plus résistant à l'hameçonnage, car il vérifie l'adresse du site avant de répondre. À réserver en priorité aux comptes d'administration et aux accès RH.
SMS (à éviter)
Faiblement sécurisé (SIM swapping, interception SS7). Mieux que rien, mais à remplacer dès que possible.
Le volet purement technique est traité ailleurs
Ce chapitre s'en tient à ce que la protection des données exige. Pour le détail opérationnel — comparaison des facteurs d'authentification, hiérarchie de sécurité entre code envoyé par message, application dédiée et clé physique, mise en place d'un coffre-fort de mots de passe — voir la sensibilisation Cybersécurité, qui y consacre un module entier.
Hygiène numérique au quotidien
Mises à jour
Appliquer les mises à jour de sécurité (OS, navigateur, applications). Une faille non corrigée est la porte ouverte aux attaques. Ne pas reporter indéfiniment les redémarrages demandés par la DSI.
Clés USB inconnues
Une clé USB trouvée sur le parking ne se branche jamais sur le poste. Méthode classique d'attaque ciblée. Si nécessaire, faire vérifier par la DSI.
Wi-Fi public
Éviter de se connecter à un Wi-Fi public (gare, hôtel, café) sans VPN d'entreprise. Ne jamais saisir de mot de passe ou consulter des données sensibles sans connexion chiffrée.
Cloud personnel
Ne jamais déposer de données professionnelles sur un espace de stockage en ligne personnel. La donnée sort du système d'information maîtrisé par l'employeur : celui-ci ne peut plus ni la sécuriser, ni la supprimer, ni répondre à une demande d'accès la concernant.
Synthèse du chapitre
- →CNIL 2022 : 12 caractères avec les 4 types, ou 14 sans caractère spécial, ou 7 mots — quand rien d'autre ne protège le compte
- →8 caractères suffisent seulement si le service bloque ou temporise les tentatives
- →Plus de changement périodique imposé à tous : seulement les comptes d'administration, ou en cas de compromission
- →Mises à jour, méfiance USB, Wi-Fi public, pas de cloud perso pour le pro
Sources de ce chapitre
- CNIL — délibération n° 2022-100 du 21 juillet 2022 portant recommandation relative aux mots de passe et autres secrets partagés (les trois cas d'usage, les exemples de longueur, l'abandon du changement périodique). cnil.fr
- CNIL — délibération n° 2025-019 du 20 mars 2025 portant recommandation relative à l'authentification multifacteur.
- CNIL — bilan des violations de données notifiées (origine des violations, part du piratage).
- ANSSI — guides d'hygiène informatique et liste des produits qualifiés. cyber.gouv.fr