Les comptes partagés, les mots de passe réutilisés et les anciens accès créent des risques difficiles à tracer. Une organisation claire des identités réduit ces angles morts sans bloquer le travail.
Rédaction : Cybersécurité Solution.
Synthèse documentaire préparée à partir des sources institutionnelles et des documentations officielles citées dans l’article. Consulter notre méthodologie éditoriale.
Vérification éditoriale : 22 juillet 2026. Ce contenu a une vocation informative et ne constitue pas un conseil technique personnalisé.
Cette page présente des informations générales issues de publications officielles. Cybersécurité Solution ne réalise aucune intervention technique et ne fournit pas de conseil personnalisé. Chaque environnement doit être examiné selon son contexte par un professionnel compétent.
Une grande partie des incidents de sécurité commence par un accès légitime utilisé par la mauvaise personne. Le mot de passe peut avoir été réutilisé, partagé dans une équipe, conservé après un départ ou récupéré par hameçonnage. Le système voit alors une connexion autorisée, alors que l’entreprise ne sait plus réellement qui agit.
Dans une TPE, les comptes partagés semblent pratiques : une adresse générique, un accès commun au logiciel de facturation ou un mot de passe connu de plusieurs collègues évitent de créer des utilisateurs. Cette simplicité apparente complique pourtant la traçabilité, la révocation et la double authentification.
La sécurisation des accès ne consiste pas à multiplier les contraintes. Elle vise à donner à chaque personne les droits nécessaires, pendant la bonne durée, avec une méthode de récupération connue. Les administrateurs, prestataires et comptes techniques doivent être distingués des usages quotidiens.
Ce guide présente les principes généraux recommandés pour organiser les identités et les droits. Les solutions et paramètres dépendent des logiciels utilisés, du nombre de salariés et des contrats de l’entreprise.
Un compte associé à une personne permet d’attribuer des droits, d’examiner une activité et de révoquer l’accès lorsqu’elle change de poste ou quitte l’entreprise. Avec un compte partagé, une modification ou une suppression ne peut pas être reliée de manière fiable à un utilisateur.
Les comptes nominatifs facilitent aussi l’authentification multifacteur et les alertes. Ils ne signifient pas que chaque salarié doit disposer de droits étendus : au contraire, ils permettent d’appliquer le principe du moindre privilège et de séparer les fonctions sensibles.
Ces situations révèlent souvent un problème de licence, de processus ou de continuité. Le partage du secret devient une solution de contournement, mais il crée une dépendance et empêche de savoir qui possède encore l’accès.
Un gestionnaire d’entreprise peut stocker des secrets, générer des mots de passe uniques et partager un accès sans afficher nécessairement le mot de passe. Il peut également révoquer un membre et conserver un journal des partages, selon les fonctions du produit.
Le choix doit examiner l’administration, la récupération, l’authentification multifacteur, l’export et la fin de contrat. Un gestionnaire ne corrige pas à lui seul des droits mal attribués : il sécurise le secret, tandis que l’application doit continuer à identifier les utilisateurs lorsque cela est possible.
Un compte administrateur possède des capacités de modification plus larges. L’utiliser pour lire ses courriels, naviguer ou effectuer des tâches ordinaires augmente l’exposition. Les recommandations d’hygiène informatique invitent à séparer le compte courant du compte utilisé ponctuellement pour administrer.
Les comptes d’administration doivent être peu nombreux, nominatifs et revus régulièrement. L’entreprise doit savoir qui les détient, comment ils sont protégés et comment elle reprend la main si le prestataire ou le salarié devient indisponible.
L’arrivée d’un salarié déclenche la création des accès nécessaires ; son changement de fonction doit entraîner une revue des anciens droits. Sans ce contrôle, les permissions s’accumulent. Une personne peut conserver l’accès à des dossiers qui ne relèvent plus de ses missions.
Le départ demande une procédure coordonnée : désactivation des comptes, récupération des appareils, transfert des documents, changement des secrets partagés et suppression des accès chez les prestataires. Cette procédure doit être réalisable même en cas de départ soudain.
Une revue trimestrielle ou semestrielle peut être proportionnée à une petite structure. Elle consiste à comparer la liste des comptes avec les salariés, prestataires et besoins actuels. Les comptes sans responsable, jamais utilisés ou possédant des droits excessifs sont examinés.
Les journaux d’activité peuvent aider, mais ils ne remplacent pas la connaissance métier. Un compte peu utilisé peut être essentiel à une procédure d’urgence ; un compte très actif peut appartenir à une intégration technique. Chaque compte doit avoir un propriétaire et une finalité identifiables.
Un prestataire peut avoir besoin d’un accès administrateur, mais cet accès ne devrait pas être permanent par défaut. Le contrat et les procédures peuvent prévoir un compte nominatif, une durée, une authentification forte, une journalisation et une suppression à la fin de la mission.
La réversibilité est essentielle : l’entreprise doit disposer des comptes maîtres, des moyens de récupération et des documentations nécessaires. Un prestataire ne devrait pas être le seul à pouvoir administrer un service indispensable sans mécanisme de reprise.
réduire progressivement les comptes partagés et documenter les exceptions. Certaines applications anciennes imposent des contraintes ; l’important est alors de connaître le risque, de protéger le secret et de prévoir son renouvellement.
Chaque entreprise possède un environnement, des contrats et des contraintes différents. Vous pouvez décrire votre besoin de manière factuelle. Avec votre accord, vos coordonnées pourront être transmises à un partenaire indépendant, qui reste seul responsable de son analyse, de ses tarifs et des suites proposées.
Accéder au formulaireLa sécurité des accès internes repose moins sur la complexité des mots de passe que sur la maîtrise des identités. Une entreprise doit savoir qui possède un compte, quels droits il donne et comment le fermer. Les comptes partagés rendent ces trois questions plus difficiles.
La progression peut être graduelle : comptes nominatifs pour les services sensibles, séparation des administrateurs, procédure de départ et revue régulière. Ces mesures améliorent à la fois la sécurité, la traçabilité et la continuité lorsque les équipes changent.
Il n’existe pas une interdiction générale pour tous les outils, mais ils réduisent la traçabilité et compliquent la révocation. Les comptes nominatifs doivent être privilégiés dès que l’application le permet.
Les comptes nominatifs doivent être désactivés. Les secrets réellement partagés avec la personne doivent également être renouvelés, selon l’inventaire des accès.
Non. Il aide à protéger et partager les secrets, mais ne remplace pas la gestion des droits, les comptes nominatifs, la double authentification et les revues périodiques.
L’entreprise doit conserver un moyen de contrôle et de récupération, même lorsqu’un prestataire administre le service. Les rôles et comptes doivent être documentés et protégés.
Les liens ci-dessous permettent de consulter les recommandations et dispositifs publics utilisés pour préparer cet article.
Liens vérifiés le 22 juillet 2026.