Repères · OpenSource Solutions
Mots de passe en entreprise : ce que la CNIL recommande, et ce qu'elle sanctionne
Un mot de passe faible ou envoyé par email, c'est encore l'une des premières portes d'entrée. Les règles ont changé depuis 2022 : plus long, moins souvent renouvelé, jamais en clair.
Mis à jour le Mercredi novembre 11, 2026 23:06:57 CET · sources datées en bas de page
Mots de passe en entreprise : vrai ou faux
Faux
« Il faut faire changer les mots de passe tous les trois mois »
Depuis sa recommandation de 2022, la CNIL ne demande plus de renouvellement périodique, sauf pour les comptes d'administration. Un renouvellement forcé pousse à des mots de passe plus faibles.Vrai
« La longueur compte plus que les symboles »
La CNIL vise une solidité minimale de 80 bits. Par exemple : 12 caractères avec majuscules, minuscules, chiffres et caractères spéciaux, ou 14 caractères sans caractère spécial, ou une phrase de passe d'au moins 7 mots.Faux
« Envoyer un accès par email ou messagerie, ça dépanne »
En novembre 2026, la CNIL a sanctionné dix collectivités, notamment pour des mots de passe faibles ou transmis en clair. Un email se transfère, s'archive et se pirate.
Les règles, en bref
| Point | Ce qui est attendu |
|---|---|
| Solidité | 80 bits minimum, par la longueur plutôt que par des règles compliquées |
| Renouvellement | Plus de changement périodique imposé, sauf comptes d'administration |
| Comptes d'administration | Un second facteur d'authentification (MFA) |
| Stockage et transmission | Jamais en clair, ni dans un fichier, ni par email |
| Partage dans l'équipe | Un coffre-fort de mots de passe, avec des accès nominatifs et révocables |
Ce que cette fiche ne règle pas
- Un bon mot de passe ne suffit pas pour l'administration. Sans second facteur, un mot de passe volé ouvre tout.
- Un coffre-fort mal géré reste un risque. Il faut savoir qui a accès à quoi, et retirer les accès au départ d'un salarié ou d'un prestataire.
Ce que nous faisons
Un coffre-fort d'entreprise
Les accès de l'équipe partagés sans email ni messagerie, par collection et par personne, sur un serveur que vous maîtrisez. Voir la gestion des mots de passe.L'administration à part
Les interfaces d'administration réservées aux seules adresses autorisées. Voir le VPN WireGuard.Des serveurs tenus
Comptes revus, accès retirés, journaux surveillés. Voir la maintenance et la cybersécurité.Sources
- CNIL, délibération n° 2022-100 du 21 juillet 2022, recommandation relative aux mots de passe.
- CNIL, Cybersécurité des collectivités territoriales : la CNIL prononce dix sanctions, 9 novembre 2026.
Où sont les mots de passe de votre équipe aujourd'hui ?
Trente minutes pour faire le point, et voir comment les ranger dans un coffre-fort que vous maîtrisez.