Partager des mots de passe en équipe sans perdre le contrôle

Partager un accès professionnel ne devrait jamais signifier envoyer un mot de passe par e-mail ou déposer un tableur dans un dossier commun. Le vrai sujet est l’organisation : qui peut consulter, qui peut modifier, qui décide, et comment retirer l’accès sans attendre ?

Ce guide propose une méthode adaptée aux TPE et PME pour partager des secrets lorsque c’est nécessaire, tout en conservant des comptes nominatifs dès que le service le permet. Il ne remplace pas un audit ni les règles contractuelles de votre entreprise.

1. Commencer par distinguer les accès

Classez chaque accès dans l’une de ces catégories :

• Nominatif : une personne possède son compte et son MFA. C’est le modèle à privilégier pour la messagerie, les outils métiers et l’administration.
• Délégué : une personne reçoit un rôle ou une délégation sans connaître le secret principal. Utilisez ce modèle quand le service le propose.
• Technique partagé : le service impose un compte commun, par exemple pour une boîte support, un équipement ancien ou un fournisseur. Limitez-le et documentez sa nécessité.

Pour chaque entrée, notez le service, le propriétaire, le niveau de privilège, les personnes autorisées, la présence du MFA, la date de dernière revue et le délai maximal de révocation. Ne stockez pas le secret dans ce suivi.

2. Utiliser une matrice de droits simple

Une matrice rend les décisions visibles sans recopier les mots de passe. Adaptez ce modèle à votre organisation :

Trois règles évitent la plupart des dérives :

1. Le besoin d’en connaître : donner l’accès à un groupe entier n’est pas le choix par défaut.
2. La séparation des rôles : la personne qui utilise un service au quotidien ne doit pas forcément pouvoir administrer ses droits.
3. Le remplaçant prévu : chaque accès critique doit rester récupérable en cas d’absence ou de départ du propriétaire.

3. Préparer le coffre et les groupes

Créez des groupes correspondant au travail réel : « Finance », « Support », « Administration » ou « Prestataires temporaires ». Évitez les groupes trop larges comme « Toute l’entreprise » pour les secrets sensibles.

Dans chaque coffre ou dossier partagé :

• donnez un nom compréhensible sans inclure le secret dans le titre ;
• indiquez le propriétaire et le remplaçant dans une note non sensible ;
• séparez les accès courants des accès d’urgence et d’administration ;
• limitez l’export, la copie et le partage aux personnes qui en ont besoin ;
• activez le MFA du service et du coffre quand il est disponible ;
• conservez les codes de récupération dans un emplacement protégé, avec une procédure d’urgence.

Un coffre chiffré local comme Soclyde aide à générer des secrets uniques, à éviter les copies dans des documents non protégés et à partager seulement les entrées nécessaires avec les appareils autorisés. Il ne remplace pas le MFA, la gestion des comptes du service ni la vérification des droits.

4. Procédure d’arrivée

L’arrivée doit créer des accès utiles, pas reproduire automatiquement ceux d’un prédécesseur.

1. Le responsable d’équipe demande les accès à partir du rôle et de la matrice.
2. Le propriétaire de chaque service approuve le périmètre et la durée.
3. Le référent configure un compte nominatif et le MFA avant de donner accès aux données.
4. Les coffres partagés sont ajoutés par groupe, avec le niveau minimal nécessaire.
5. Le responsable confirme que l’accès fonctionne et que la personne sait signaler une perte ou un doute.
6. La demande et la date de prochaine revue sont conservées, sans conserver le mot de passe dans le ticket.

Pour un prestataire, ajoutez une date d’expiration dès la création. Un accès temporaire sans échéance devient souvent permanent par oubli.

5. Procédure de changement de rôle et de départ

Déclenchez la procédure dès que la date et l’heure du changement sont connues. Pour un départ sensible, coordonnez la révocation avec la direction, les RH et le référent technique.

• désactivez le compte nominatif et révoquez les sessions, appareils et jetons ;
• retirez la personne des groupes et coffres partagés ;
• transférez la propriété des services, coffres et codes de récupération ;
• vérifiez les accès des prestataires et les comptes de secours ;
• renouvelez les secrets partagés si l’ancien membre les a connus ou a pu les exporter ;
• vérifiez les règles de transfert de messagerie et les applications connectées ;
• notez l’heure, le périmètre, la personne qui a exécuté l’action et les écarts restants.

Pour un changement de rôle, retirez d’abord les droits devenus inutiles, puis accordez les nouveaux droits après approbation. Ne laissez pas les deux périmètres s’empiler par défaut.

6. Revoir les accès périodiquement

Une revue trimestrielle convient souvent aux accès métier ; les comptes administrateurs, financiers ou de récupération peuvent nécessiter une revue mensuelle. Pour chaque entrée, demandez au propriétaire : « cette personne doit-elle encore y accéder, avec ce niveau de droit ? »

Contrôlez au minimum :

• les comptes sans propriétaire, inactifs ou partagés sans justification ;
• les membres de chaque groupe et les droits administrateurs ;
• le MFA, les sessions ouvertes et les appareils autorisés ;
• les secrets exposés, réutilisés ou jamais renouvelés après un changement ;
• la récupération du coffre et l’accès d’urgence ;
• un test réel de révocation sur un accès non critique.

Conservez une preuve courte : date, périmètre, vérificateur, décisions, écarts et responsable de correction. La preuve ne doit pas contenir les secrets.

Exemple de règle interne

Les comptes sont nominatifs lorsque le service le permet. Un accès partagé est une exception documentée, avec un propriétaire, un remplaçant, un groupe autorisé et une date de revue. Les secrets sont conservés dans le coffre approuvé par l’entreprise et ne sont pas transmis par e-mail, messagerie ou document non protégé. Tout départ ou changement de rôle déclenche une révocation immédiate des droits inutiles. Une compromission suspectée entraîne le renouvellement du secret sans attendre la prochaine revue.

Checklist de mise en place

• [ ] Inventorier les ressources et distinguer les accès nominatifs, délégués et partagés.
• [ ] Nommer un propriétaire et un remplaçant pour chaque accès critique.
• [ ] Créer des groupes correspondant aux rôles et appliquer le moindre privilège.
• [ ] Migrer les secrets hors des e-mails, tableurs et documents non protégés.
• [ ] Activer le MFA sur la messagerie, l’administration et les services sensibles.
• [ ] Formaliser l’arrivée, le changement de rôle et le départ.
• [ ] Ajouter une date d’expiration à chaque accès temporaire.
• [ ] Programmer les revues et tester une révocation avant la première échéance.

Le partage devient maîtrisable quand l’équipe partage un droit clairement défini, et non un secret indistinct. Mesurez donc le nombre d’accès critiques avec un propriétaire, une revue à jour et une révocation testée.