Pendant des années, de nombreux experts ont considéré l’expiration des mots de passe comme une bonne pratique incontestable. Les organisations obligeaient les utilisateurs à changer de mot de passe tous les 30, 60 ou 90 jours, convaincues que cela renforçait la sécurité. Aujourd’hui, les recommandations internationales ont nettement évolué, et les organismes de référence ne conseillent plus l’expiration périodique obligatoire comme règle générale.
Dans cet article, nous expliquons ce que sont les procédures d’expiration des mots de passe, pourquoi les recommandations ont changé, dans quels cas l’expiration reste pertinente et quelles alternatives offrent davantage de sécurité. Nous présentons également un exemple pratique, une liste de contrôle et des réponses aux questions fréquentes.
Qu’est-ce que l’expiration des mots de passe
L’expiration des mots de passe est une règle qui oblige l’utilisateur à modifier son mot de passe au terme d’une période donnée ou après certains événements. L’objectif initial était de limiter la durée pendant laquelle un attaquant pouvait utiliser un mot de passe volé.
En théorie, l’idée est logique. En pratique, cependant, l’expérience a montré que les changements fréquents et obligatoires ont des effets secondaires qui réduisent la sécurité au lieu de la renforcer.
Pourquoi les recommandations ont changé
Aux États-Unis, les lignes directrices du NIST ne recommandent plus le changement périodique obligatoire des mots de passe, et les versions les plus récentes indiquent que les organisations ne doivent pas l’exiger sans indice de compromission. D’autres organismes de référence en cybersécurité ont suivi la même voie. Les raisons sont essentiellement au nombre de trois :
- Mots de passe prévisibles : lorsqu’ils doivent en changer souvent, les utilisateurs font de petites modifications, comme changer un chiffre à la fin, que les attaquants savent prévoir.
- Notes non sécurisées : les changements fréquents poussent de nombreuses personnes à noter leurs mots de passe sur papier ou dans des fichiers non protégés.
- Protection limitée : un attaquant qui vole un mot de passe l’utilise généralement très vite, bien avant la date d’expiration.
Ainsi, l’expiration périodique impose un coût réel aux utilisateurs sans gain de sécurité proportionnel.
Quand l’expiration reste pertinente
Renoncer à l’expiration périodique ne signifie pas que les utilisateurs ne doivent jamais changer leurs mots de passe. Au contraire, dans certaines situations, le changement doit être immédiat ou obligatoire :
| Situation | Procédure recommandée |
|---|---|
| Soupçon ou preuve de compromission | Changement immédiat et analyse de l’activité du compte |
| Mot de passe trouvé dans une fuite de données | Changement obligatoire à la prochaine connexion |
| Mot de passe temporaire ou initial | Expiration courte et changement au premier accès |
| Comptes à privilèges et comptes de service | Rotation gérée par un coffre-fort de mots de passe |
| Départ d’un collaborateur ayant accès à des comptes partagés | Changement des identifiants partagés |
Ces procédures d’expiration reposent sur le risque et sont donc bien plus efficaces qu’une règle aveugle appliquée à tous les utilisateurs.
Les alternatives qui renforcent réellement la sécurité
Authentification multifacteur
C’est la mesure qui a le plus d’impact. Même si un attaquant découvre le mot de passe, il lui faut encore un second facteur pour se connecter. Dans la mesure du possible, mieux vaut privilégier les applications d’authentification, les clés physiques ou les clés d’accès (passkeys), plus résistantes à l’hameçonnage que les codes par SMS.
Mots de passe longs et vérifiés
Plutôt que des règles de composition complexes, les recommandations actuelles privilégient la longueur. De plus, la plateforme doit refuser les mots de passe trop évidents ou figurant dans des listes d’identifiants compromis.
Gestionnaires de mots de passe
Un gestionnaire de mots de passe permet d’utiliser des identifiants longs et différents pour chaque service, sans dépendre de la mémoire. C’est pourquoi il s’agit de l’un des outils les plus utiles pour les collaborateurs. D’ailleurs, de nombreuses organisations proposent un gestionnaire d’entreprise, qui permet de partager des identifiants de manière contrôlée lorsque c’est vraiment nécessaire.
Surveillance et réponse
Les systèmes doivent détecter les tentatives de connexion suspectes et alerter l’équipe de sécurité. Ainsi, en cas de signes de compromission, le système exige le changement de mot de passe au bon moment.
Et le RGPD ?
Le RGPD n’impose pas le changement périodique des mots de passe. En revanche, il exige des mesures techniques et organisationnelles adaptées au risque, au titre de l’article 32. Dans la pratique, l’authentification multifacteur, le contrôle des accès et la surveillance sont des mesures plus efficaces, et plus faciles à justifier lors d’un audit, que l’expiration périodique.
Utilisateurs externes et plateformes partagées
Sur les plateformes de gestion documentaire utilisées par les prestataires de services, de nombreux utilisateurs n’appartiennent pas à l’organisation. Il s’agit de personnels administratifs de petites entreprises, qui se connectent de façon ponctuelle et partagent parfois leurs comptes entre collègues. Dans ce contexte, l’expiration périodique est encore moins efficace : les utilisateurs oublient leur mot de passe, demandent sans cesse sa réinitialisation et finissent par le noter dans des endroits non sécurisés.
C’est pourquoi la meilleure approche consiste à attribuer des comptes individuels, à interdire le partage d’identifiants et à activer l’authentification multifacteur. En outre, lorsque la relation avec un prestataire prend fin, l’organisation doit désactiver immédiatement les comptes associés. De cette façon, le contrôle des accès dépend du cycle de vie des comptes et non de dates d’expiration arbitraires.
Comment communiquer le changement de politique
De nombreux utilisateurs et auditeurs associent encore l’expiration périodique aux bonnes pratiques. Ainsi, lorsque vous la supprimez, il convient d’expliquer clairement les raisons et les nouvelles mesures qui la remplacent. Par exemple, une note interne peut indiquer que l’organisation suit les recommandations internationales actuelles, que l’authentification multifacteur est désormais obligatoire et que les mots de passe sont vérifiés par rapport aux fuites de données connues. De même, il est utile de mettre à jour la politique de sécurité écrite, afin que la décision soit documentée et justifiée lors des audits.
Indicateurs à suivre
Pour évaluer l’impact de la nouvelle politique, l’organisation peut suivre le pourcentage de comptes protégés par l’authentification multifacteur, le nombre de demandes de réinitialisation, les mots de passe bloqués parce qu’ils figurent dans des fuites de données et les alertes de connexions suspectes. En général, après le changement, les demandes de réinitialisation diminuent et la couverture de l’authentification multifacteur augmente, ce qui traduit un gain réel de sécurité et de productivité.
Exemple pratique : Revoir la politique de mots de passe
Imaginez une entreprise qui obligeait tous les utilisateurs de sa plateforme de gestion documentaire à changer de mot de passe tous les 60 jours. Les demandes de réinitialisation étaient constantes et de nombreux utilisateurs avaient des mots de passe comme « Entreprise2025! » suivis de chiffres séquentiels.
L’entreprise décide de revoir sa politique : elle supprime l’expiration périodique, exige des mots de passe d’au moins 12 caractères, active l’authentification multifacteur et vérifie désormais les mots de passe par rapport aux listes de fuites connues. Résultat : les demandes de réinitialisation diminuent nettement et la sécurité des comptes augmente.
Liste de contrôle pour l’expiration des mots de passe
- Expiration périodique obligatoire supprimée pour les utilisateurs standard.
- Changement immédiat en cas de soupçon de compromission.
- Vérification par rapport aux listes de mots de passe compromis.
- Mots de passe temporaires à expiration courte.
- Rotation gérée des comptes à privilèges et des comptes de service.
- Authentification multifacteur pour tous les utilisateurs.
Erreurs courantes à éviter
Une erreur fréquente consiste à supprimer l’expiration périodique sans activer l’authentification multifacteur, si bien que les comptes ne sont protégés que par le mot de passe. Par ailleurs, certaines organisations conservent des règles de complexité excessives, qui produisent des mots de passe difficiles à retenir et faciles à deviner à partir de schémas. Enfin, beaucoup oublient les comptes de service, dont les identifiants ne sont jamais modifiés ni stockés de manière sécurisée.
Questions fréquentes
Dois-je supprimer dès maintenant l’expiration périodique ?
Oui, à condition que l’organisation active en même temps l’authentification multifacteur et la vérification des mots de passe compromis. Sans ces mesures, le changement doit s’accompagner d’un plan de renforcement.
Les comptes administrateur cessent-ils aussi d’expirer ?
Les comptes à privilèges exigent un traitement particulier. Dans de nombreux cas, des coffres-forts de mots de passe gèrent ces comptes et effectuent la rotation automatiquement, sans que les personnes aient à les mémoriser.
Et si un auditeur exige le changement périodique ?
Il convient de présenter la politique mise à jour et les références internationales qui la fondent, ainsi que les mesures compensatoires adoptées, comme l’authentification multifacteur et la surveillance. Dans la plupart des cas, les auditeurs acceptent cette justification, car elle témoigne d’une approche fondée sur le risque.
Quelle est la longueur minimale recommandée ?
Les lignes directrices actuelles préconisent au moins 8 caractères en présence d’une authentification multifacteur et, de préférence, 15 ou plus lorsque le mot de passe est le seul facteur. En pratique, les phrases de passe longues sont plus sûres et plus faciles à mémoriser.
Conclusion
L’expiration périodique et obligatoire des mots de passe a longtemps été une pratique courante. On sait aujourd’hui qu’elle tend à produire des mots de passe plus faibles et davantage de frustration, sans gain de sécurité proportionnel.
C’est pourquoi les organisations doivent adopter des procédures d’expiration fondées sur le risque, associées à l’authentification multifacteur, à des mots de passe longs, à des gestionnaires de mots de passe et à la surveillance. Elles protègent ainsi mieux les comptes, simplifient la vie des utilisateurs et réduisent les coûts de support liés aux réinitialisations d’accès.
À lire aussi : Attaques par force brute contre les plateformes numériques et Distribution d’identifiants personnalisés aux intervenants homologués.
Pour plus de recommandations sur la gestion sécurisée des identifiants, consultez le Centre national de cybersécurité portugais (CNCS).