Politiques de mot de passe : longueur, denylist et passkeys

Page d’information — ce contenu n’est pas un audit ni un conseil juridique ; pour mise en œuvre, consulter un prestataire ou l’équipe interne. Cette page rassemble les recommandations officielles consultées le 01/09/2026 (NIST, ANSSI, CNIL, ENISA, NCSC, Microsoft) et explique leurs implications pratiques pour une politique de mots de passe en entreprise.

Pourquoi revoir votre politique de mots de passe maintenant

Les autorités et grands fournisseurs ont fait évoluer leurs recommandations. NIST, ANSSI et ENISA encouragent la préférence pour la longueur et les phrases de passe plutôt que les règles de composition strictes. Les conclusions poussent aussi vers l’usage des passkeys/FIDO comme objectif long terme. Ces changements répondent à des risques opérationnels récurrents : phishing, réutilisation d’identifiants et coûts de support.

Préférer la longueur et la résistance plutôt que des règles de composition artificielles

Le NIST déconseille les règles de composition strictes (exiger majuscules/chiffres/symboles) et oriente vers des passphrases ou la priorité sur la longueur. Voir NIST SP 800-63B (consulté le 01/09/2026): https://pages.nist.gov/800-63-4/sp800-63b.html

Bannir les mots de passe triviaux via une bloc-list (denylist) et contrôler les mots compromis

NIST et ENISA recommandent d’utiliser des denylists couvrant mots courants et listes fuites, et de vérifier les mots contre des bases de fuites connues. Voir NIST SP 800-63B et ENISA: https://pages.nist.gov/800-63-4/sp800-63b.html ; https://www.enisa.europa.eu/news/enisa-news/tips-for-secure-user-authentication (consultés le 01/09/2026).

Arrêter la rotation périodique forcée sauf suspicion ou compromission

Le NIST indique que la rotation périodique systématique a une faible valeur et recommande de changer un secret après suspicion ou compromission plutôt qu’à intervalle fixe. Voir NIST SP 800-63B: https://pages.nist.gov/800-63-4/sp800-63b.html (consulté le 01/09/2026).

Stockage et hachage : bonnes pratiques techniques essentielles

Les guides officiels insistent sur l’interdiction de stocker des mots de passe en clair et sur l’utilisation de fonctions de dérivation/hachage reconnues. Références : NIST, ANSSI, CNIL. Voir notamment NIST SP 800-63B, ANSSI et CNIL (consultés le 01/09/2026).

Utiliser et encourager les gestionnaires de mots de passe pour les employés

ANSSI et la CNIL recommandent l’usage de gestionnaires de mots de passe pour réduire la réutilisation et améliorer la sécurité des secrets partagés, avec attention portée sur la protection du mot de passe maître et les sauvegardes chiffrées. Voir ANSSI MesServicesCyber et CNIL (consultés le 01/09/2026).

Mise en place du MFA et transition vers le passwordless / passkeys

Les autorités et fournisseurs recommandent le MFA et identifient les passkeys / FIDO comme la direction privilégiée. Les documents NCSC, Microsoft et ENISA détaillent avantages et limites pratiques (compatibilité, récupération, postes partagés). Voir NCSC, Microsoft, ENISA (consultés le 01/09/2026).

Définir le périmètre

Distinguer comptes privilégiés et comptes standard. Les comptes à risque élevé doivent bénéficier de mesures renforcées et, quand possible, d’authentification matérielle ou FIDO. Références : ENISA, NIST (consultés le 01/09/2026).

Règles opérationnelles

Appliquer denylist et contrôle contre fuites. Éviter la rotation automatique sauf en cas d’incident confirmé. Rendre le MFA obligatoire pour accès sensibles. Si une valeur chiffrée est à publier, ne la reprendre que si explicitement fournie par une source citée.

Gestion des mots de passe partagés et secrets

Utiliser des coffres (vaults) pour secrets partagés, avec traçabilité et journalisation. Se référer aux guides ANSSI et CNIL pour les recommandations pratiques et les exigences sur le mot de passe maître et les sauvegardes. Voir ANSSI et CNIL (consultés le 01/09/2026).

Procédures après compromission d’un mot de passe

Après compromission :changer le secret compromis, forcer la vérification des accès, réinitialiser les identifiants affectés et appliquer rotation là où nécessaire. ENISA détaille ces mesures opérationnelles. Voir ENISA Technical Implementation Guidance (June 2025) : https://www.enisa.europa.eu/sites/default/files/2025-06/ENISA_Technical_implementation_guidance_on_cybersecurity_risk_management_measures_version_1.0.pdf (consulté le 01/09/2026).

Comptes d’administration / accès privilégiés

Privilégier FIDO2 / hardware security keys et procédures strictes de récupération pour comptes administratifs. Références : NIST, ENISA, Microsoft (consultés le 01/09/2026).

Postes partagés, kiosques, comptes de service

Gérer via identités de service et secrets machine-to-machine stockés dans des vaults. Éviter le partage de mots de passe humains sur des postes partagés. Voir ENISA (consulté le 01/09/2026).

Conformité / certifications sectorielles

Certaines certifications ou référentiels sectoriels imposent des exigences spécifiques. Se référer aux documents officiels du secteur pertinent ; ne pas substituer ces règles par les recommandations générales présentées ici.

Fausses bonnes idées à éviter

Vers l’avenir : passkeys et stratégie passwordless

Passkeys et passwordless réduisent l’exposition au phishing et améliorent l’UX, mais exigent un plan de déploiement (tests, compatibilité, procédures de secours pour récupération et postes non compatibles). Les autorités et fournisseurs encouragent une transition planifiée. Voir Microsoft, NCSC, ENISA (consultés le 01/09/2026).

Ressources officielles et lectures complémentaires

Disclaimer et renvois

Cette page informe et compare les recommandations publiques. Elle ne remplace pas un audit ou un avis juridique. Pour mise en œuvre et conformité sectorielle, consulter un prestataire certifié ou les documents officiels cités ci‑dessus.

Poursuivre la lecture

Et vous, qu’en pensez-vous à propos de politiques de mot de passe : longueur, denylist et passkeys ?