Supprimer les mots de passe échoue presque toujours pour la même raison : le projet inscrit de nouveaux facteurs sans jamais retirer les anciens. Tant que le mot de passe reste accepté quelque part sur un compte, l'attaquant emprunte ce chemin — et le déploiement n'a acheté que du confort. L'ordre des opérations compte donc plus que le choix de la technologie.
La règle qui commande tout le plan
Un compte protégé par une passkey et par un mot de passe en repli reste un compte protégé par un mot de passe. Cette phrase doit figurer en tête de votre note de cadrage, parce qu'elle disqualifie d'emblée la stratégie la plus courante : « on ajoute d'abord partout, on retirera plus tard ».
Un projet de suppression des mots de passe se pilote donc sur un seul indicateur : le nombre de parcours où un mot de passe est encore accepté. Le taux d'adoption d'une nouvelle méthode est un indicateur de conduite du changement, pas un indicateur de sécurité.
L'ordre de retrait, par parcours
| Rang | Parcours | Pourquoi ici | Remplacement adapté |
|---|---|---|---|
| 1 | Comptes d'administration et bastions | population la plus ciblée, la plus petite, la plus autonome | clé physique ou certificat, deux justificatifs |
| 2 | Récupération de compte et reset helpdesk | définit le plancher réel de tout le reste | second justificatif préinscrit, preuve non transmissible |
| 3 | Accès distants exposés à Internet | surface d'attaque automatisée permanente | facteur lié à l'origine, sessions courtes |
| 4 | Enrôlement et arrivée d'un collaborateur | plafonne la valeur de tous les facteurs ultérieurs | remise en main propre ou identité déjà attestée |
| 5 | Applications métier fédérées | volume important, effort unitaire faible | passkey via le fournisseur d'identité |
| 6 | Opérations irréversibles (virement, IBAN, signature) | l'enjeu porte sur l'action, pas sur la session | validation portant sur l'opération |
| 7 | Comptes de service et automatisation | ne relèvent pas du même modèle | coffre à secrets, rotation, identités de charge |
| 8 | Applications historiques non fédérables | coût élevé, gain unitaire faible | isolement, accès via bastion, plan de fin de vie |
Le rang 2 surprend souvent : pourquoi traiter la récupération avant les accès distants ? Parce qu'un parcours de récupération faible annule tout ce qui est déployé au-dessus. Le renforcer tôt évite de construire sur un plancher qui cédera.
Choisir le remplacement selon ce que vous voulez prouver
Le passwordless n'est pas une méthode unique. Le bon choix dépend de la question à laquelle chaque parcours doit répondre.
- « Un appareil enrôlé répond-il ? » → passkey ou clé physique. C'est le cas de la connexion courante, et la liaison à l'origine y suffit à neutraliser le relais.
- « La personne est-elle bien celle du titre présenté ? » → vérification d'identité outillée ou identité déjà attestée par un tiers qualifié. C'est le problème de l'enrôlement.
- « Un humain conscient veut-il cette action précise ? » → preuve portant sur l'opération. C'est le problème des virements, des changements d'IBAN et des actions d'administration irréversibles.
Attention au raccourci fréquent : le passwordless ne garantit pas la résistance au phishing. Un magic link ou un code à usage unique supprime le mot de passe tout en restant parfaitement relayable par un proxy inverse. Le critère discriminant est l'absence de valeur rejouable, pas l'absence de secret mémorisé.
Le périmètre résiduel : le nommer plutôt que le nier
Aucune organisation ne supprime la totalité de ses mots de passe. Il restera des applications anciennes, des équipements industriels, des interfaces d'administration matérielle, des comptes de dernier recours. La bonne pratique consiste à constituer un registre du résiduel :
| Élément à documenter | Utilité |
|---|---|
| Système concerné et raison du maintien | évite de rediscuter la décision tous les six mois |
| Population ayant accès | dimensionne le risque réel |
| Mesures compensatoires en place | isolement réseau, bastion, coffre, journalisation |
| Date de revue et échéance de sortie | empêche le résiduel de devenir permanent |
Ce registre est également ce qu'un auditeur ou un régulateur attend. Face à NIS2 ou DORA, une organisation qui présente un périmètre résiduel documenté, encadré et daté se défend nettement mieux qu'une organisation qui affirme avoir « supprimé les mots de passe » sans pouvoir le démontrer.
Les pièges qui font dérailler le projet
- Oublier les comptes de service. Ils ne se convertissent pas au passwordless : ils relèvent d'un coffre à secrets et d'une rotation. Les découvrir en cours de route décale tout le calendrier.
- Négliger les populations sans smartphone. Postes partagés, ateliers, terrain : sans alternative prévue, la dérogation devient la norme.
- Sous-dimensionner le support pendant les vagues. Un pic d'appels non absorbé produit des dérogations, et une dérogation est un mot de passe qui revient.
- Confondre inscription et bascule. Inscrire un facteur ne sécurise rien tant que le repli n'est pas retiré.
- Traiter la conduite du changement en dernier. L'adoption conditionne la sécurité réelle, parce qu'une méthode contournée ne protège personne.
Sur les parcours où la question n'est plus « qui se connecte ? » mais « qui décide ? », le complément naturel est un facteur d'intention humaine consciente, qui se déploie en superposition d'une MFA existante et évite de conditionner l'ensemble du plan à une refonte applicative.
FAQ
Combien de temps prend une suppression des mots de passe ?
Le facteur limitant est rarement technique. Ce sont l'inventaire des parcours, le traitement de la récupération de compte et l'accompagnement des utilisateurs qui déterminent le rythme. Une population pilote à fort enjeu donne un retour rapide et crédibilise la suite.
Faut-il commencer par les utilisateurs ou par les administrateurs ?
Par les administrateurs : population réduite, exposition maximale, autonomie forte. C'est le meilleur rapport entre effort consenti et risque retiré, et cela produit une référence interne pour les vagues suivantes.
Que faire des applications qui exigent un mot de passe dans leur protocole ?
Les isoler et les faire passer par un point d'accès contrôlé — bastion, passerelle, coffre à secrets — plutôt que d'attendre une modernisation improbable. Le mot de passe subsiste, mais il cesse d'être manipulé par l'utilisateur.
Un gestionnaire de mots de passe est-il une étape utile ?
Oui, comme mesure transitoire sur le périmètre résiduel : il supprime la réutilisation et améliore l'entropie. Il ne constitue pas une suppression des mots de passe, puisque le secret rejouable existe toujours.
Aller plus loin : pilier : authentification cognitive · panorama des méthodes sans mot de passe · migrer vers le passwordless · reset au helpdesk : le maillon faible