Transmettre un mot de passe par e-mail ou dans une conversation instantanée paraît simple, jusqu’au jour où le message est transféré, enregistré ou consulté par la mauvaise personne. Pour un envoi de mot de passe sécurisé, il faut surtout choisir le bon canal, limiter la durée de validité et prévoir le renouvellement du secret. Je présente ici les méthodes les plus fiables, leurs limites et une procédure simple à appliquer au travail comme à la maison.
Les bons réflexes pour partager un accès sans exposer ses identifiants
- Évitez l’e-mail classique et les documents non chiffrés pour transmettre un secret.
- Privilégiez un gestionnaire de mots de passe ou un lien à usage unique.
- Utilisez deux canaux différents pour envoyer le lien et le code d’accès.
- Définissez une date d’expiration et forcez le changement après la première connexion.
- Ne partagez jamais un mot de passe réutilisé sur plusieurs services.
Pourquoi un mot de passe ne devrait pas voyager comme un fichier ordinaire
Un identifiant transmis par e-mail peut rester dans plusieurs boîtes de réception, sauvegardes et appareils. Même si la connexion utilise le chiffrement TLS, cela ne protège pas forcément le message une fois arrivé sur le téléphone ou l’ordinateur du destinataire. Le vrai risque vient souvent de la durée de conservation, des transferts et des copies oubliées.
J’observe aussi une confusion fréquente entre confidentialité et sécurité. Un message supprimé n’est pas nécessairement effacé des sauvegardes, et un fichier PDF protégé par un mot de passe n’est utile que si le code de déverrouillage est transmis séparément. Le chiffrement protège le contenu, mais il ne corrige pas un mauvais processus.
La CNIL déconseille déjà le stockage des mots de passe dans des fichiers texte, des post-it ou une messagerie. L’ANSSI recommande de son côté un mot de passe différent pour chaque service, suffisamment long et difficile à deviner. Ces deux principes sont liés : si un accès partagé fuit, il doit rester isolé du reste du système.
Les méthodes qui offrent le meilleur compromis
Il n’existe pas une seule solution adaptée à toutes les situations. Je distingue généralement le niveau de sensibilité du compte, le profil du destinataire et la possibilité de révoquer rapidement l’accès.
| Méthode | Protection | Usage conseillé | Limite principale |
|---|---|---|---|
| Gestionnaire de mots de passe | Élevée | Équipe, comptes récurrents, accès professionnels | Les deux personnes doivent maîtriser l’outil |
| Lien à usage unique | Bonne | Transmission ponctuelle à un client ou prestataire | Un lien transféré avant ouverture peut être intercepté |
| Fichier chiffré et code séparé | Correcte | Plusieurs informations à transmettre ensemble | Le fichier peut être conservé trop longtemps |
| Appel téléphonique | Variable | Secret temporaire et faible volume d’information | Identité du correspondant parfois difficile à vérifier |
| E-mail ou SMS en clair | Faible | À éviter pour un accès sensible | Copies, transferts et compromission du compte |
Pour un usage professionnel régulier, le gestionnaire de mots de passe reste mon premier choix. Il permet de partager un accès sans révéler nécessairement le secret, de retirer les droits d’un collaborateur et de conserver une trace des utilisateurs autorisés. Des solutions comme KeePassXC, cité par la CNIL parmi les outils adaptés, peuvent convenir à une personne ou à une petite équipe, à condition d’organiser correctement le coffre et ses sauvegardes.
Pour une transmission ponctuelle, un service de partage par lien à durée limitée est plus pratique. Le lien doit idéalement être valable une seule fois, expirer après quelques minutes ou quelques heures et permettre sa révocation. Une protection supplémentaire par phrase secrète améliore le dispositif, mais seulement si cette phrase est envoyée par un autre canal.
Comment envoyer un accès confidentiel étape par étape
La méthode compte, mais la préparation compte davantage encore. Avant tout envoi, je vérifie que le compte partagé n’est pas utilisé ailleurs et qu’il est possible de modifier ou de désactiver l’accès rapidement.
- Créez un secret dédié. Ne transmettez jamais le mot de passe personnel d’un salarié ou celui qui sert aussi à la messagerie.
- Générez une valeur aléatoire. Une longueur d’au moins 16 caractères constitue un bon repère pratique pour un nouveau compte, avec l’aide d’un générateur intégré au gestionnaire.
- Choisissez le canal adapté. Utilisez un coffre partagé ou un lien à usage unique plutôt qu’un message en clair.
- Séparez les informations. Envoyez le lien par e-mail et le code de protection par téléphone, messagerie chiffrée ou remise directe.
- Limitez la validité. Une expiration de 15 minutes à 24 heures suffit généralement pour une transmission ponctuelle.
- Forcez le renouvellement. Pour un prestataire ou un accès temporaire, prévoyez un changement dès la fin de la mission.
- Contrôlez l’accès. Vérifiez que le destinataire est bien la personne attendue avant de transmettre quoi que ce soit.
Le détail le plus souvent oublié est le dernier. Un lien sécurisé envoyé à une mauvaise adresse reste une fuite, même s’il est chiffré. Dans mes procédures, je fais confirmer l’identité du destinataire avec une information déjà connue, comme un numéro professionnel enregistré ou un appel initié par l’équipe, plutôt qu’avec une donnée présente dans le même e-mail.
Pour un accès administrateur, je vais plus loin avec un compte nominatif pour chaque utilisateur. Le partage d’un compte générique simplifie parfois la gestion, mais il rend l’attribution des actions beaucoup plus difficile en cas d’incident.
Quel outil choisir selon votre situation
Le meilleur outil n’est pas celui qui propose le plus de fonctions, mais celui que les utilisateurs appliqueront sans contourner la procédure. Une solution très sophistiquée perd tout intérêt si l’équipe finit par copier le mot de passe dans un tableur.
Pour un particulier
Un gestionnaire de mots de passe avec partage intégré suffit pour la plupart des besoins. Je conseille d’activer l’authentification multifacteur, de protéger le compte principal avec une phrase longue et de vérifier les options de récupération. Le coût peut être nul pour une utilisation basique, tandis qu’une offre familiale ou avancée se situe souvent autour de 20 à 60 euros par an selon le fournisseur et le nombre d’utilisateurs.
Pour une petite entreprise
Une offre professionnelle apporte généralement des coffres partagés, une gestion des rôles et la possibilité de retirer un utilisateur sans changer tous les accès. Le budget se situe souvent autour de 3 à 10 euros par utilisateur et par mois, selon les fonctions d’administration et de conformité. Le prix réel doit être comparé au temps passé à réinitialiser les comptes après un départ ou une fuite.
Lire aussi : HP Sure Start - Comment protéger et restaurer le BIOS de vos PC ?
Pour un prestataire externe
Je préfère donner un accès limité dans le temps, avec des droits réduits et, si possible, un compte individuel. Le prestataire ne devrait pas recevoir la clé d’un compte qui donne accès à toute l’entreprise. Une invitation dans un espace partagé est souvent plus propre qu’un mot de passe envoyé puis oublié.
Les fichiers ZIP ou PDF chiffrés peuvent dépanner, notamment lorsque plusieurs éléments doivent être transmis. Ils ne doivent toutefois pas devenir une habitude pour les comptes critiques. Un document conservé six mois sur un ordinateur reste une copie exploitable, même si le mot de passe a été modifié depuis.
Les erreurs qui annulent presque toute la protection
La plupart des incidents ne viennent pas d’une technique inconnue, mais d’un détail négligé. Voici les erreurs que je rencontre le plus souvent :
- Envoyer le mot de passe et le lien protégé dans le même message.
- Utiliser le même secret pour la messagerie, le VPN et un outil métier.
- Partager un compte administrateur au lieu de créer des accès individuels.
- Laisser un lien actif sans date d’expiration.
- Copier les identifiants dans un tableur partagé ou un ticket de support.
- Transmettre un code à une personne dont l’identité n’a pas été vérifiée.
- Oublier de révoquer l’accès après une mission, un remplacement ou un départ.
Le SMS n’est pas toujours catastrophique, mais je le réserve aux situations peu sensibles et aux codes temporaires. Pour un compte bancaire, un accès d’administration ou des données personnelles, je préfère un gestionnaire, une application de messagerie chiffrée ou une remise directe accompagnée d’un changement immédiat.
Il faut aussi distinguer un mot de passe d’un code à usage unique. Un OTP est conçu pour ne fonctionner qu’une fois ou pendant une courte période, alors qu’un mot de passe classique peut être réutilisé jusqu’à sa modification. Cette différence change complètement le niveau de risque en cas d’interception.
Mettre en place une règle simple dans une équipe
Une politique efficace tient parfois sur une page. Elle doit préciser quels outils sont autorisés, qui peut partager un accès, quelle durée maximale appliquer et quoi faire lorsqu’un collaborateur quitte l’organisation. La règle la plus utile reste souvent la plus concrète : aucun mot de passe en clair dans un e-mail, un chat ou un document partagé.
Je recommande également un contrôle trimestriel des coffres et des accès. Il suffit de supprimer les comptes inutilisés, de retirer les anciens prestataires et de vérifier que l’authentification multifacteur est active pour les services importants. Cette revue prend moins d’une heure dans une petite structure et évite de laisser traîner des autorisations pendant des années.
Si une fuite est suspectée, il faut agir dans cet ordre : modifier le secret, révoquer les sessions ouvertes, vérifier les journaux de connexion, prévenir les personnes concernées et rechercher une réutilisation sur d’autres services. Une réponse rapide réduit souvent davantage le dommage qu’un outil supplémentaire.
Le bon réflexe à retenir avant chaque transmission
Avant d’envoyer un identifiant, je me pose trois questions : qui doit réellement y accéder, pendant combien de temps et comment vais-je retirer cet accès ? Si la réponse est claire, le choix de la méthode devient généralement évident.
Pour un partage fréquent, adoptez un gestionnaire de mots de passe avec des comptes individuels. Pour un envoi ponctuel, choisissez un lien à usage unique, séparez le code de protection et imposez une expiration courte. Cette discipline demande quelques secondes de plus, mais elle évite qu’un simple copier-coller transforme un accès temporaire en problème durable.
