Politique de mot de passe robuste

Définition

Une politique de mot de passe robuste est un ensemble de règles techniques et organisationnelles définissant les exigences de complexité, de longueur et de gestion des mots de passe au sein d'une organisation, dans le but de réduire les risques de compromission par force brute, credential stuffing ou devinette. Les recommandations actuelles du NIST SP 800-63B et de l'ANSSI ont fait évoluer les bonnes pratiques, privilégiant désormais une longueur minimale élevée, souvent douze à quatorze caractères, plutôt que l'obligation de renouvellement fréquent, jugée contre-productive car elle pousse les utilisateurs vers des variations prévisibles. Une politique robuste combine généralement un contrôle contre les mots de passe présents dans des listes de fuites connues, un blocage après un nombre limité de tentatives échouées pour contrer le brute force, et une interdiction des mots de passe triviaux ou liés à l'identité de l'utilisateur. Elle s'accompagne idéalement du déploiement d'un gestionnaire de mots de passe d'entreprise et de l'authentification multifacteur, MFA, qui réduit fortement l'impact d'un mot de passe compromis. La norme ISO 27001 et le référentiel NIST 800-53 exigent la formalisation de cette politique dans le système de management de la sécurité de l'information. Son efficacité dépend fortement de son application technique automatisée via l'annuaire d'entreprise plutôt que d'une simple charte déclarative.