Les mots de passe de l'entreprise sont dans un fichier Excel : par quoi les remplacer ?

Le scénario en bref

Exemple, inventé pour illustrer. Une PME fictive de douze salariés range tous ses accès dans un seul fichier Excel, « Codes.xlsx », sur le serveur partagé : banque en ligne, compte administrateur de la messagerie, site web, portails des fournisseurs, alarme, Wi-Fi. Le fichier est protégé par un mot de passe que tout le monde connaît, parce qu'il faut bien l'ouvrir.

Au fil des années, le fichier a été envoyé par mail à un nouvel arrivant, copié sur une clé USB pour un dépannage, ouvert sur un ordinateur portable resté dans une voiture. Une comptable partie il y a deux ans en a peut-être encore une copie. Personne ne peut dire qui l'a ouvert, ni quand. Et la plupart des mots de passe n'ont jamais changé.

Rien de grave n'est arrivé. Mais le jour où ce fichier sort de l'entreprise, ce n'est pas un compte qui tombe : ce sont tous les comptes à la fois.

Pourquoi le fichier Excel est une mauvaise cachette

L'Agence nationale de la sécurité des systèmes d'information (ANSSI) ne laisse aucune ambiguïté. Dans son guide sur l'authentification et les mots de passe, elle écrit que les solutions consistant à « utiliser un fichier bureautique protégé par un mot de passe sont à proscrire », car elles n'apportent pas le même niveau de protection qu'un outil conçu pour cela. Le même guide demande de ne pas « créer un fichier "mot de passe" sur le poste utilisateur ».

Microsoft, l'éditeur d'Excel, va dans le même sens : la protection d'une feuille de calcul « n'est pas conçue comme une fonctionnalité de sécurité », et « le verrouillage d'un fichier avec un mot de passe ne protège pas nécessairement celui-ci des intentions malveillantes ».

Au quotidien, les défauts sont surtout pratiques :

• Un seul mot de passe pour tout le monde : celui du fichier. Il circule de bouche à oreille, souvent par mail.
• Tout ou rien : le stagiaire qui a besoin du Wi-Fi voit aussi l'accès à la banque.
• Aucune trace : impossible de savoir qui a ouvert le fichier, copié une ligne ou gardé une copie.
• Des copies partout : pièces jointes, clés USB, téléchargements, corbeilles, anciens ordinateurs.
• Des mots de passe qui ne changent jamais : les changer oblige à mettre à jour le fichier et à prévenir tout le monde, alors on ne le fait pas.
• Un oubli sans retour : si le mot de passe du fichier est perdu, Microsoft précise qu'il n'est pas en mesure de le récupérer.

Or les mots de passe sont la cible numéro un. Dans son rapport annuel de défense numérique, Microsoft indique que plus de 97 % des attaques contre les identités sont des attaques sur les mots de passe, et que les attaques contre les identités ont augmenté de 32 % au premier semestre 2025.

Ce que recommandent l'ANSSI, Cybermalveillance.gouv.fr et la CNIL

Les trois organismes publics disent la même chose, chacun avec ses mots. Dans son guide « La cybersécurité pour les TPE/PME en 13 questions », l'ANSSI fixe des repères simples.

1. Une longueur adaptée à l'enjeu : au moins 9 caractères pour un service peu critique, au moins 15 pour un service critique (banque, messagerie, comptabilité).
2. Un mot de passe différent pour chaque service, et jamais le même pour la messagerie personnelle et la messagerie professionnelle.
3. Un coffre-fort de mots de passe, qui génère des mots de passe solides et les garde dans un fichier chiffré (illisible sans la bonne clé), ouvert par un seul mot de passe. L'ANSSI préfère un coffre-fort certifié par ses soins.
4. L'authentification multifacteur dès que le service la propose : en plus du mot de passe, un deuxième élément, comme un code sur le smartphone.

Le site Cybermalveillance.gouv.fr conseille d'apprendre à utiliser un gestionnaire de mots de passe sécurisé et déconseille d'inscrire ses mots de passe « dans un fichier non protégé de votre ordinateur ». Il cite KeePassXC, un logiciel gratuit « certifié par l'ANSSI dans sa version 2.7.9 ».

La CNIL, elle, a publié en 2022 une recommandation sur les mots de passe. Ce n'est « pas une norme » mais « l'état de l'art », c'est-à-dire ce qu'on attend d'une entreprise au titre de son obligation de sécuriser les données personnelles (article 32 du RGPD). Elle y cite le gestionnaire de mots de passe parmi les bonnes pratiques et ne maintient le changement périodique obligatoire que pour les comptes d'administrateur ou à droits étendus.

Excel ou coffre-fort : ce qui change concrètement

Un coffre-fort (ou gestionnaire) de mots de passe est un logiciel qui range les mots de passe dans une base chiffrée. Chacun l'ouvre avec son propre mot de passe principal, sur ordinateur et sur smartphone. Les versions « entreprise » ajoutent des coffres partagés par équipe et une console pour gérer les accès.

L'ANSSI rappelle une limite : un coffre-fort n'empêche pas l'hameçonnage. Si quelqu'un tape lui-même son mot de passe sur une fausse page, l'outil ne peut rien. D'où l'intérêt de l'authentification multifacteur sur les comptes importants.

Les questions à poser avant de choisir

L'ANSSI recommande que les responsables de l'informatique mettent un coffre-fort à disposition de tous et forment chacun à son usage. Plutôt qu'une marque, voici les points à vérifier avec votre prestataire informatique ou avec l'éditeur.

La migration en six étapes, sans rien casser

Passer d'un fichier à un coffre-fort demande surtout de la méthode, et l'ordre compte.

1. Faire l'inventaire du fichier. Ligne par ligne : ce compte existe-t-il encore ? Qui en a besoin ? Supprimez les accès morts et notez les comptes partagés.
2. Mettre en place l'outil et sécuriser le coffre. Activez l'authentification multifacteur pour tous, et prévoyez au moins deux personnes capables de gérer les accès, pour ne jamais dépendre d'une seule.
3. Créer les coffres par équipe. Direction, comptabilité, accueil, informatique : chacun ne reçoit que ce dont il a besoin.
4. Changer chaque mot de passe en le déplaçant. Le fichier a circulé : considérez que ses mots de passe sont connus. En les déplaçant, remplacez-les par des mots de passe générés par l'outil, en commençant par la banque, la messagerie et la comptabilité.
5. Supprimer le fichier et ses copies. Serveur partagé, pièces jointes dans les mails, téléchargements, clés USB, corbeilles. Un ancien fichier oublié garde les anciens mots de passe, d'où l'étape 4.
6. Former l'équipe. Une courte séance suffit : ouvrir le coffre, remplir un mot de passe, en créer un nouveau, savoir quoi faire en cas de perte du téléphone.

Le piège : importer le fichier tel quel dans le coffre-fort et s'arrêter là. Les anciens mots de passe restent valables, et des copies du fichier traînent encore. L'étape 4 n'est pas facultative.

Le second piège : garder « juste au cas où » une copie imprimée ou un nouveau fichier de secours. Le secours, c'est la procédure de récupération de l'outil, prévue dès l'étape 2.

Et là où on peut, supprimer le mot de passe partagé

Le meilleur mot de passe partagé est celui qui n'existe plus. Beaucoup de services permettent de créer un compte par personne au lieu d'un compte commun : la banque en ligne avec un accès par utilisateur, la messagerie avec des boîtes partagées accessibles depuis le compte de chacun, les portails fournisseurs avec plusieurs utilisateurs.

Chaque compte personnel peut alors recevoir sa propre authentification multifacteur, et se fermer le jour du départ sans rien changer pour les autres. Pour les PME qui utilisent beaucoup de logiciels, l'ANSSI cite aussi l'authentification unique (une seule connexion qui ouvre plusieurs applications). Le coffre partagé reste utile pour ce qui ne peut vraiment pas être individuel, comme le Wi-Fi ou un vieux logiciel métier.

Lundi matin : cinq gestes

1. Cherchez sur le serveur partagé et dans les mails les fichiers qui contiennent « mot de passe », « codes » ou « accès ». Vous saurez combien de copies existent.
2. Listez les trois accès les plus sensibles : banque, messagerie (compte administrateur), comptabilité. Ce sont les premiers à déplacer et à changer.
3. Vérifiez que l'authentification multifacteur est active sur ces trois comptes.
4. Demandez à votre prestataire informatique quel coffre-fort d'entreprise il recommande, s'il est certifié par l'ANSSI et comment il s'intègre à vos outils.
5. Fixez une date pour supprimer le fichier Excel, et tenez-la.

Rien de tout cela ne demande de compétences techniques. C'est surtout une question d'ordre, et de discipline le jour où quelqu'un quitte l'entreprise.

Mieux gérer vos mots de passe→