Le mot de passe est perçu comme gratuit parce qu'il n'apparaît sur aucune ligne budgétaire. Son coût réel est pourtant bien présent : il est réparti entre le support, la productivité, les projets et le risque. L'objectif de cet article n'est pas d'avancer un montant — aucun chiffre générique n'a de sens ici — mais de fournir une méthode pour identifier les postes concernés et les évaluer avec vos propres données.
Pourquoi ce coût reste invisible
Trois raisons expliquent l'angle mort.
Il n'y a pas d'achat. Le mot de passe est une fonctionnalité native de chaque système. Aucun bon de commande, donc aucune ligne à arbitrer, donc aucune comparaison possible avec une alternative payante.
Il est distribué. Quelques minutes perdues par un collaborateur, un appel au support, un ticket de réinitialisation : chaque événement est négligeable. C'est leur récurrence, multipliée par l'effectif, qui construit le coût.
Il est porté par d'autres budgets. Le temps du support figure dans le budget du support, la perte de productivité nulle part, l'incident de sécurité dans une ligne exceptionnelle. Personne ne consolide.
Les postes de coût à instruire
| Poste | Ce qu'il recouvre | Où trouver la donnée chez vous |
|---|---|---|
| Support et réinitialisations | traitement des demandes, vérification d'identité de l'appelant, procédure de déblocage | catégories de tickets de l'outil ITSM, durée moyenne de traitement |
| Temps utilisateur | attente de déblocage, changement de mot de passe, saisies répétées | volume de tickets × délai de résolution × coût horaire chargé |
| Gestion des comptes | création, modification, désactivation, revues d'habilitations | temps consacré par les équipes d'exploitation et de sécurité |
| Outillage | gestionnaire de mots de passe, coffre, coût des SMS d'OTP, licences associées | contrats et facturation à l'usage |
| Sécurité opérationnelle | traitement des alertes liées aux identifiants, campagnes de sensibilisation, réponse aux tentatives de connexion suspectes | temps du SOC, plan de sensibilisation |
| Conformité et audit | preuves à produire sur la politique d'accès, écarts constatés lors des audits | plans d'action des rapports d'audit |
| Incidents | investigation, remédiation, notification éventuelle, indisponibilité | historique des incidents liés à une identité compromise |
| Friction commerciale (parcours clients) | abandons au moment de la connexion ou de la réinitialisation | entonnoir de conversion de vos parcours d'authentification |
Ce tableau n'a d'intérêt que rempli avec vos propres mesures. Un ordre de grandeur emprunté à une étude générique ne résistera pas à la première question du contrôle de gestion — et il n'a aucune raison de correspondre à votre organisation.
Une méthode de chiffrage en cinq étapes
- Extraire les volumes réels. Filtrez douze mois de tickets sur les catégories liées à l'authentification : réinitialisation, compte verrouillé, perte d'accès, ré-enrôlement d'un second facteur. Vous obtenez un volume et une saisonnalité.
- Mesurer le temps par événement. Prenez le temps de traitement réel côté support, et distinguez-le du délai de résolution subi par l'utilisateur : les deux comptent, mais dans des colonnes différentes.
- Appliquer des coûts horaires chargés propres à votre structure, en séparant les populations. Une heure d'attente pour un administrateur système ne représente pas le même coût qu'une heure pour un poste administratif.
- Ajouter les coûts directs : messages OTP facturés à l'unité, licences, matériel de secours. Ce sont les seuls postes déjà chiffrés, et ils servent de point d'ancrage crédible.
- Traiter le risque séparément. Ne mélangez pas un coût récurrent et un coût probabiliste. Présentez le risque comme un scénario documenté — durée d'indisponibilité, périmètre touché, charge de remédiation — et non comme une moyenne empruntée à un rapport externe.
Cette séparation entre coût récurrent et coût de risque est ce qui rend un dossier défendable. Le premier se constate, le second se discute.
Les coûts que l'on oublie systématiquement
La vérification d'identité au support. Réinitialiser un mot de passe suppose de s'assurer que l'appelant est bien le titulaire du compte. Fait sérieusement, c'est long. Fait rapidement, cela devient le vecteur d'attaque privilégié de l'ingénierie sociale — l'appel au support est un grand classique des compromissions récentes.
Le report d'usages. Un parcours d'authentification pénible pousse à contourner : partage de comptes, exports locaux, outils non validés. Ce coût n'apparaît nulle part avant l'audit.
Le coût de l'attente sur les astreintes. Un accès bloqué à trois heures du matin sur un périmètre critique se paie en minutes d'indisponibilité, pas en minutes de support.
Le coût de la sortie. Chaque application supplémentaire raccordée à une authentification par mot de passe augmente la dette à traiter le jour où l'organisation voudra en sortir.
Ce que change une alternative
Réduire ce coût suppose d'agir sur sa cause : le secret mémorisé. Une approche sans mot de passe supprime mécaniquement la réinitialisation, donc l'essentiel du volume de tickets et le point d'entrée privilégié de l'ingénierie sociale au support. Une approche IDless, comme celle du facteur cognitif, va plus loin en supprimant aussi l'identifiant permanent, ce qui retire à l'attaquant sa cible de reconnaissance.
L'arbitrage à présenter n'oppose donc pas « gratuit » à « payant ». Il compare un coût récurrent diffus et non maîtrisé à un coût de licence identifié, contractualisé et prévisible — auquel s'ajoute une réduction de la surface d'attaque. C'est la logique développée dans le calcul de retour sur investissement.
FAQ
Combien coûte réellement une réinitialisation de mot de passe ?
Il n'existe pas de montant universel, et les chiffres qui circulent proviennent de contextes très différents. Le calcul honnête additionne le temps du support, le temps perdu par l'utilisateur et les coûts directs associés, avec vos propres taux horaires.
Par où commencer si l'on ne dispose d'aucune mesure ?
Par l'outil de gestion des tickets. Douze mois d'historique filtrés sur les catégories liées à l'accès donnent en une demi-journée un volume défendable, et suffisent à engager la discussion budgétaire.
Le coût du risque doit-il figurer dans le dossier ?
Oui, mais séparé du coût récurrent et présenté comme un scénario. Mélanger les deux fragilise l'ensemble : un contrôleur de gestion qui conteste l'hypothèse de risque finit par contester aussi les coûts constatés.
Le passage au sans-mot-de-passe supprime-t-il tous ces coûts ?
Non. Il supprime l'essentiel du poste réinitialisation, mais il déplace l'effort vers l'enrôlement et les procédures de récupération d'accès. Ces postes doivent figurer dans le chiffrage cible pour que la comparaison soit sincère.
Aller plus loin : le principe du facteur cognitif · politique de mots de passe · réinitialisation et helpdesk · ROI de l'authentification forte