Mots de passe et MFA : fermer la porte d’entrée des intrusions

Le DBIRData Breach Investigations Report — rapport annuel de Verizon sur les violations de donnéesPublié chaque année depuis 2008, il analyse des dizaines de milliers d'incidents et des milliers de violations confirmées dans plus de cent pays. C'est la référence statistique la plus citée du secteur pour identifier les vecteurs d'accès initiaux. L'édition 2026 a été communiquée le 19 mai 2026. 2026 de Verizon (communiqué du 19 mai 2026) marque une bascule : pour la première fois en dix-neuf éditions, l’exploitation de vulnérabilités logicielles devient le premier vecteur d’accès initial, avec 31 % des violations, devant les identifiants volés. La lecture erronée consisterait à en conclure que le mot de passe n’est plus un problème. La lecture juste : l’attaquant dispose désormais de deux portes équivalentes, et patcher son WordPress ne dispense pas de fermer l’autre. À titre de calibrage, l’édition 2025 créditait l’abus d’identifiants de 22 % des accès initiaux.

Côté volume, Microsoft indique que plus de 97 % des attaques contre les identités sont des attaques par mot de passe, et que les attaques sur l’identité ont bondi de 32 % au premier semestre 2025. L’ordre de grandeur communiqué par l’éditeur en 2024-2025 — de l’ordre de 7 000 tentatives bloquées par seconde sur son annuaire cloud — n’est pas une mesure fraîche de 2026, mais il donne l’échelle : le temps d’une pause déjeuner, des dizaines de millions d’ouvertures de session sont testées dans le monde. La technique dominante est la pulvérisation : un mot de passe très courant essayé sur des milliers de comptes, plutôt que mille mots de passe sur un seul compte, ce qui déclencherait le verrouillage.

Ces attaques ne sont pas isolées du reste de votre sécurité. Le rançongiciel est rarement le premier chapitre de l’histoire : dans une large majorité des cas documentés par le DBIR, les organisations victimes présentaient, dans les mois précédents, des identifiants d’entreprise exposés dans des fuites ou des journaux de logiciels voleurs de mots de passe. L’édition 2025 chiffrait déjà à 54 % la part des victimes dont le domaine apparaissait dans des dumps d’identifiants. Il y a une bonne nouvelle enfouie là-dedans : entre le vol de l’identifiant et le chiffrement des serveurs, il s’écoule souvent plusieurs mois — une fenêtre pour détecter et réagir.

D’où la triade à tenir ensemble. L’accès, c’est ce guide. La détection, c’est le rôle d’un EDREndpoint Detection and Response — détection et réponse sur les postesSuccesseur de l'antivirus classique : au lieu de comparer les fichiers à une liste de signatures connues, il surveille les comportements sur le poste et permet d'isoler une machine à distance. Il détecte ce qui est déjà entré, mais reste aveugle à une connexion parfaitement légitime effectuée avec un identifiant volé. plutôt que d’un antivirus de signature, qui repère le comportement anormal d’un compte pourtant légitime. La restauration, c’est la règle de sauvegarde 3-2-1, seule garantie que l’incident reste un incident. Chacune sans les deux autres laisse un trou : un EDR n’alerte pas sur une connexion parfaitement normale, et une sauvegarde n’empêche pas la fuite du fichier clients.

Sur le volet détection, les références que l’on croise réellement dans les consultations algériennes sont Microsoft Defender for Endpoint P1 et P2, Kaspersky Next EDR Optimum, ESET PROTECT Entry et Advanced, Bitdefender GravityZone Business Security, Sophos Intercept X, SentinelOne Singularity et CrowdStrike Falcon Go. Toutes détectent l’exécution anormale ; aucune ne sait, seule, distinguer votre comptable de quelqu’un qui utilise correctement le mot de passe de votre comptable. C’est précisément le trou que ce guide comble — et c’est aussi pourquoi la question « quel antivirus prendre ? » est mal posée tant que la question « qui peut ouvrir une session ? » n’est pas réglée. Pour situer les gammes les unes par rapport aux autres, notre comparatif des solutions Kaspersky détaille ce que chaque niveau apporte, du poste isolé au parc supervisé.

Le texte de référence est la publication NISTNational Institute of Standards and Technology — institut américain des normes et de la technologieAgence fédérale américaine qui publie les référentiels de cybersécurité les plus repris dans le monde, dont la série SP 800-63 sur l'identité numérique. Sa révision 4, finalisée en juillet 2025, a renversé plusieurs règles historiques comme la rotation périodique des mots de passe. SP 800-63B-4, dont la révision 4 a été finalisée fin juillet 2025. Sa section 3.1.1 est explicite : les mots de passe utilisés comme facteur unique doivent faire au minimum quinze caractères, ceux protégés par un second facteur au minimum huit. Le vocabulaire normatif compte : SHALL est une obligation, SHALL NOT une interdiction, SHOULD une recommandation forte. L’interdiction de la rotation périodique est un SHALL NOT — pas un conseil qu’on pourrait négocier en comité.

Deux exigences passent souvent inaperçues et changent tout. La première est la liste noire : tout nouveau mot de passe doit être confronté à une base de secrets connus, courants ou compromis. Aucune règle de complexité ne détecte cela — un mot de passe déjà en vente peut parfaitement contenir majuscule, chiffre et caractère spécial. L’outil gratuit existe et fonctionne en anonymat partiel : vous n’envoyez que les cinq premiers caractères de l’empreinte du mot de passe, jamais le mot de passe lui-même. La seconde exigence rend formellement non conformes les sites — encore nombreux chez certaines banques et administrations — qui bloquent le collage dans le champ mot de passe.

Cette liste noire n’est pas un vœu pieux : elle s’implémente avec des outils qui existent et qui portent des noms. Sur un annuaire Microsoft, c’est Entra Password Protection, disponible en version cloud et en agent pour un Active Directory local, avec sa liste globale et sa liste personnalisée maison — où l’on met « youshop », « alger », le nom de la ville et celui du gérant. Chez les éditeurs tiers, Specops Password Policy et Enzoic for Active Directory comparent en continu à des bases de compromission. Côté service public et gratuit, l’API Pwned Passwords de Have I Been Pwned se branche en quelques lignes, et la vérification est intégrée nativement à Bitwarden, à 1Password sous le nom Watchtower et à Keeper sous celui de BreachWatch. Aucun de ces outils ne remplace le second facteur ; tous éliminent en revanche la catégorie de mots de passe qu’aucune règle de complexité ne voit passer.

Le référentiel définit enfin trois niveaux d’assurance, notés AALAuthenticator Assurance Level — niveau d'assurance de l'authentificateurÉchelle à trois barreaux définie par le NIST pour qualifier la robustesse d'une authentification. AAL1 correspond à un facteur unique, AAL2 exige plusieurs facteurs et qu'au moins une option résistante au phishing soit proposée, AAL3 impose un authentificateur cryptographique à clé privée non exportable.. Au niveau AAL2, le vérificateur doit proposer au moins une option d’authentification résistante au phishing : l’obligation porte sur l’offre, pas sur son usage imposé à l’utilisateur — nuance qui décide de la conformité d’un service. Au niveau AAL3, l’authentificateur cryptographique doit posséder une clé privée non exportable et fournir la résistance au phishing. Les délais de ré-authentification associés sont parlants pour un administrateur : 30 jours au maximum à AAL1, 24 heures à AAL2, 12 heures à AAL3 — un compte à privilèges n’a rien à faire connecté une semaine d’affilée.

Pour une PME, tout cela tient dans une phrase à glisser dans un cahier des charges fournisseur : « votre solution doit proposer au minimum une méthode FIDO2 ou passkey, conformément à NIST SP 800-63B-4 niveau AAL2 ». Elle élimine d’un trait les prestataires qui ne savent faire que du SMS, sans avoir à argumenter techniquement. Elle a sa place dans le même dossier que vos conditions de licence Microsoft 365 et que votre plan de sortie de Windows 10 : un poste qui ne reçoit plus de correctifs annule le bénéfice de la meilleure politique d’accès.

Deux réflexes d’acheteur complètent utilement cette phrase. Le premier : exiger la mention explicite de la norme dans la réponse du fournisseur, pas une formule creuse du type « solution sécurisée conforme aux standards internationaux » — c’est la même vigilance que celle qu’appelle la lecture d’une fiche technique de PC, où l’imprécision protège toujours le vendeur. Le second : traiter la politique d’accès comme une ligne du projet d’équipement au même titre que les postes, l’annuaire et le réseau, ce que notre checklist d’équipement d’un parc neuf place volontairement avant l’achat du premier ordinateur. Les éditeurs concernés, eux, savent répondre : Microsoft Entra ID en licence P1 ou P2, Google Workspace Business Standard et Plus, Okta Workforce Identity, Duo Security de Cisco, JumpCloud ou Keycloak en auto-hébergé proposent tous au moins une méthode FIDO2 ; c’est la brique de gestion réputée « incluse » dans un logiciel métier local qui, le plus souvent, n’en propose aucune.

C’est aussi la leçon à tirer de la fuite dite « 16 milliards d’identifiants » de juin 2025 : il ne s’agissait pas d’une nouvelle intrusion, mais de l’agrégation d’une trentaine de jeux de données, principalement des journaux de logiciels voleurs et d’anciennes fuites recyclées. Le nombre réellement unique est indéterminé. Le titre ne change rien à votre risque ; ce qui le change, c’est qu’un poste infecté livre en dix secondes l’intégralité de ce qui est enregistré dans le navigateur — messagerie, hébergeur, banque, réseaux sociaux de l’entreprise. La leçon n’est pas « changez tout », c’est « n’enregistrez pas vos mots de passe professionnels dans le navigateur ».

Le lien avec la loi est rarement fait, et c’est pourtant l’argument qui parle au dirigeant que la technique n’intéresse pas. En Algérie, la loi 18-07 du 10 juin 2018 encadre le traitement des données personnelles — une simple adresse de courriel client suffit à entrer dans son champ — et impose un contrôle d’accès limité aux personnes autorisées ainsi qu’une journalisation des accès et des modifications, sous le contrôle de l’ANPDPAutorité nationale de protection des données à caractère personnelAutorité algérienne instituée par la loi 18-07 du 10 juin 2018, chargée de veiller au respect des règles de traitement des données personnelles. Elle encadre notamment les obligations de contrôle d'accès, de journalisation et de sécurité qui pèsent sur toute entreprise traitant des données de clients ou de salariés.. Or un compte partagé du type « admin / admin2024 » utilisé par cinq personnes rend cette journalisation structurellement impossible : vous ne pouvez pas dire qui a consulté le fichier client. Le coffre à comptes nominatifs n’est donc pas un confort, c’est la condition technique de la traçabilité. Une modernisation de ce dispositif est évoquée par plusieurs cabinets algériens ; tant qu’elle n’est pas vérifiée au Journal officiel, tenez-vous-en au texte de 2018.

Contrainte locale à anticiper : le paiement d’abonnements étrangers restant malaisé depuis l’Algérie, une solution auto-hébergée sur un serveur privé virtuel est souvent la voie réaliste — à condition de la traiter comme un actif critique, c’est-à-dire de la sauvegarder et de la mettre à jour au même titre que l’ERP. Les ordres de grandeur du marché, tous éditeurs confondus, se situent autour de quelques dollars par utilisateur et par mois en mode hébergé, contre le coût d’un serveur que vous possédez déjà en auto-hébergé. Pour les entreprises réparties sur plusieurs des 69 wilayas, le coffre en ligne présente en outre l’avantage de partager un accès fournisseur sans l’envoyer par messagerie.

Concrètement, quatre familles se partagent le marché et il n’est pas très difficile de choisir. Pour une équipe hébergée chez l’éditeur, Bitwarden Teams et Enterprise, 1Password Business, Keeper Business, Dashlane Business, Proton Pass et NordPass font tous le travail, avec des différences qui portent davantage sur l’ergonomie et sur la gestion des droits que sur la cryptographie. Pour une entreprise qui préfère garder ses secrets chez elle, Vaultwarden — la réimplémentation légère compatible avec les clients Bitwarden — et Passbolt, conçu dès l’origine pour le partage en équipe, tournent sans difficulté sur un serveur modeste ; Psono et Devolutions Password Server visent des besoins plus riches. Pour un poste isolé ou un artisan, KeePassXC suffit. L’incident subi par LastPass fin 2022, où l’exfiltration de coffres chiffrés a exposé les utilisateurs dont le mot de passe maître était faible, a d’ailleurs rappelé la seule règle qui compte quel que soit l’éditeur : le coffre ne vaut que ce que vaut son facteur maître, et ce facteur maître mérite une clé matérielle.

Une précision utile pour les entreprises déjà équipées d’une suite de sécurité : le gestionnaire de mots de passe est souvent déjà payé sans qu’on le sache. Il est inclus dans les éditions Kaspersky Plus et Premium côté poste isolé, et dans Kaspersky Small Office Security côté très petite structure, au même titre que Norton 360, Bitdefender Total Security ou Avast Ultimate le proposent dans leurs propres formules. Ce n’est pas un coffre d’entreprise à part entière — il n’offre ni la granularité des droits ni le journal nominatif d’un Bitwarden Enterprise ou d’un Passbolt —, mais pour une équipe de cinq personnes c’est infiniment mieux que le fichier partagé, et c’est disponible ce soir. Et puisqu’on parle de traçabilité, la même logique de journal nominatif s’applique aux documents eux-mêmes : c’est le cœur d’un projet de numérisation et de gestion électronique des documents, où savoir qui a ouvert quel contrat vaut autant que savoir qui détient quel mot de passe.

L’argument qui emporte l’adhésion d’une équipe réticente n’est pas un argument de sécurité, c’est un argument de temps. La documentation Microsoft de son annuaire cloud, mise à jour le 15 juin 2026, chiffre la connexion par passkey synchronisée à environ 3 secondes contre 69 secondes pour une combinaison mot de passe plus MFA classique, avec un taux de réussite de connexion passant de 30 % à 95 %. Sur vingt salariés qui se connectent trois fois par jour, 66 secondes économisées par connexion représentent un peu plus d’une heure de travail récupérée chaque jour. Une sécurité qui fait gagner du temps ne se négocie pas, elle s’installe.

Sur le matériel, l’éditeur recommande officiellement deux niveaux : clés physiques pour les comptes à privilèges élevés et les secteurs régulés, passkeys synchronisées pour tous les autres — en soulignant que les clés augmentent les coûts d’équipement, de formation et de support, en particulier lors des pertes et des récupérations de compte. Traduit pour une entreprise de vingt-cinq personnes : vous n’achetez pas vingt-cinq clés, vous en achetez six, et tout le reste passe sur des passkeys déjà présentes dans les téléphones.

Un point technique à trancher avant d’ouvrir la console : les profils de passkey introduits dans l’annuaire Microsoft remplacent le réglage unique par des règles ciblées par groupe, distinguant passkeys liées à l’appareil et passkeys synchronisées. Leur activation est une décision explicite de l’administrateur, et elle est irréversible — au moment où vous activez les profils, vos paramètres globaux existants sont transférés vers un profil par défaut. Contrairement à ce qu’affirment plusieurs blogs, aucune bascule automatique n’est imposée aux entreprises qui ne se positionnent pas : vérifiez dans votre propre console avant toute communication interne. Notez aussi que les passkeys synchronisées ne prennent pas en charge l’attestation : si vous l’exigez dans un profil, elles en sont automatiquement exclues.

Un mot enfin sur l’ordre des chantiers, parce que c’est là que la plupart des plans se perdent. Le déploiement des accès n’est pas un projet informatique isolé : il partage son calendrier, son budget et souvent son prestataire avec la vidéosurveillance, le contrôle d’accès physique et l’alarme. Une entreprise qui ouvre les trois en même temps s’épuise ; une entreprise qui les ordonne obtient les trois. L’ordre que nous recommandons est celui de la réversibilité : ce qui se défait en une console avant ce qui se coule dans un mur. Concrètement, les cinq vagues ci-dessus tiennent en dix semaines et n’immobilisent personne, alors qu’un projet de sécurisation complète d’un site industriel se compte en mois et suppose des travaux. Commencez par ce qui coûte le moins et protège le plus : les comptes.