Un mot de passe faible, réutilisé ou partagé par mail reste la cause la plus fréquente d’un accès compromis sur un site professionnel. Pas besoin de devenir expert en cybersécurité pour corriger ce point : un gestionnaire de mots de passe et quelques règles simples suffisent à fermer cette porte d’entrée.

Pour une petite entreprise, les comptes concernés dépassent souvent le seul accès au CMS : hébergement, nom de domaine, boîtes mail professionnelles, outils de facturation ou de réservation en ligne. Chacun de ces accès mérite le même niveau d’attention, car une seule faiblesse suffit à compromettre l’ensemble.

Les recommandations qui suivent s’appuient sur les bonnes pratiques rappelées par Cyber.gouv.fr, ramenées à des décisions concrètes pour la gestion quotidienne d’un site et de ses outils.

Pourquoi les mots de passe restent le point faible n°1

Un mot de passe utilisé sur plusieurs services expose tous ces services dès qu’un seul est compromis ailleurs. Un mot de passe transmis par mail ou par message reste ensuite stocké quelque part, parfois durablement. Et un accès administrateur jamais changé après le départ d’un salarié ou d’un prestataire reste une porte ouverte, même longtemps après la fin de la collaboration.

Un gestionnaire de mots de passe, pas une mémoire

Retenir un mot de passe unique et complexe par service n’est pas réaliste sans outil. Un gestionnaire de mots de passe génère et stocke un mot de passe différent pour chaque compte, protégé par un seul mot de passe principal. Pour une petite équipe, certains gestionnaires proposent un coffre partagé : chacun accède aux identifiants dont il a besoin, sans que le mot de passe circule en clair par mail ou par message.

La double authentification sur les comptes sensibles

Quand elle est disponible, la double authentification (un code envoyé par SMS, généré par une application, ou une clé physique) doit être activée en priorité sur les comptes les plus sensibles : accès administrateur du site, hébergement, nom de domaine et boîtes mail professionnelles. Elle réduit fortement les conséquences d’un mot de passe volé ou deviné, puisqu’un identifiant seul ne suffit plus à se connecter.

Le départ d’un salarié ou d’un prestataire

C’est le moment le plus souvent négligé. Quand un accès a été partagé avec un salarié ou un prestataire externe, son départ doit systématiquement déclencher trois actions : retirer son accès du coffre partagé, changer les mots de passe des comptes qu’il connaissait, et vérifier qu’aucune clé d’API ou accès secondaire n’a été oublié. Une liste simple des accès existants, tenue à jour, permet de ne rien oublier le jour où elle sert vraiment.

Les bons réflexes au quotidien

  • Un mot de passe unique et généré aléatoirement par compte, jamais réutilisé.
  • Aucun mot de passe transmis par mail, SMS ou message : un coffre partagé ou un canal sécurisé équivalent.
  • La double authentification activée sur les comptes administrateur, l’hébergement et les mails professionnels.
  • Une révision régulière de la liste des accès existants et de leurs détenteurs.
  • Un changement systématique des accès concernés au départ d’un salarié ou d’un prestataire.

À retenir

La gestion des mots de passe n’a rien de spectaculaire, mais elle conditionne directement la solidité de tous les autres efforts de sécurité. Un gestionnaire de mots de passe, une double authentification bien placée et une liste d’accès à jour suffisent à couvrir l’essentiel pour une petite entreprise.

Pour aller plus loin sur la sécurité de votre site, vous pouvez consulter l’article sur les réflexes utiles en cas de piratage, la page maintenance web, ou demander un avis depuis la page contact.