Politique de mots de passe : le guide des bonnes pratiques ANSSI et NIST

Pourquoi la politique de mots de passe reste un point faible majeur

Le mot de passe demeure le premier rempart de la grande majorité des accès, et donc la première cible. L'ANSSI rappelle régulièrement que la plupart des intrusions commencent par un identifiant compromis, qu'il ait été deviné, rejoué depuis une fuite antérieure, ou cassé hors ligne après récupération de son empreinte. Ce n'est pas un hasard si le cassage de mots de passe, à l'aide d'outils comme celui que nous décrivons dans notre article sur Hashcat en pentest, figure parmi les toutes premières manœuvres d'une mission interne.

Le problème n'est pas tant l'absence de politique que son inadaptation. Beaucoup d'organisations appliquent encore une politique de mots de passe héritée des années 2000 : huit caractères, trois classes de caractères obligatoires, expiration trimestrielle. Cette approche a été explicitement abandonnée par l'ANSSI en 2021 et par le NIST dans la révision 4 de sa publication SP 800-63B, parce qu'elle produit des mots de passe courts, prévisibles et incrémentés mécaniquement à chaque renouvellement. Le résultat est un faux sentiment de sécurité, où la conformité formelle masque une faiblesse réelle.

L'enjeu d'une politique moderne est donc double : élever le coût réel d'une attaque par cassage ou par devinette, sans dégrader l'expérience utilisateur au point de provoquer des contournements. C'est exactement l'équilibre que visent les référentiels actuels.

Une politique de mots de passe alignée sur l'ANSSI et le NIST

Plutôt que d'inventer une liste maison, il est préférable de s'appuyer sur les référentiels reconnus, qui convergent aujourd'hui vers les mêmes principes. Voici les règles à configurer.

Privilégier la longueur et l'entropie. L'ANSSI raisonne en entropie et vise un minimum de l'ordre de 80 bits, ce qui correspond en pratique à 12 à 14 caractères aléatoires, et davantage pour les comptes à privilèges. Le NIST recommande de son côté 15 caractères lorsque le mot de passe est le seul facteur d'authentification. Une cible pragmatique consiste à imposer au moins 12 caractères pour les comptes standards et au moins 15 pour les comptes sensibles.

Autoriser et encourager les phrases de passe. Le système doit accepter les mots de passe longs, au moins 64 caractères, et l'ensemble des caractères, espaces et Unicode compris. Une phrase de passe d'au moins sept mots, selon l'exemple donné par l'ANSSI, offre une entropie élevée tout en restant mémorisable.

Supprimer les règles de composition imposées. Le NIST proscrit désormais l'obligation d'inclure telle ou telle classe de caractères. Ces règles réduisent l'entropie réelle en produisant des schémas prévisibles. La robustesse doit venir de la longueur, pas d'un assemblage imposé de symboles.

Abandonner le renouvellement périodique pour les comptes classiques. Ni l'ANSSI ni le NIST n'imposent plus d'expiration systématique pour les comptes utilisateurs ordinaires. Un mot de passe ne doit être changé qu'en cas de compromission avérée ou suspectée. En revanche, les comptes à privilèges, administrateurs et comptes à droits étendus, restent soumis à un renouvellement encadré.

Bloquer les mots de passe compromis et trop courants. C'est une exigence désormais centrale : comparer chaque nouveau mot de passe à une liste de secrets connus, issus de fuites publiques ou de dictionnaires de mots de passe courants, et refuser ceux qui y figurent. Ce contrôle apporte plus de sécurité réelle que n'importe quelle règle de composition.

Imposer l'authentification multifacteur sur les accès sensibles. Le mot de passe seul ne suffit plus pour les accès externes, les comptes à privilèges et les interfaces d'administration. L'authentification multifacteur, de préférence résistante à l'hameçonnage, réduit drastiquement l'impact d'un mot de passe compromis.

Stocker les empreintes avec un algorithme robuste. Côté système d'information, les mots de passe applicatifs doivent être hachés avec une fonction lente et salée, Argon2id de préférence, à défaut bcrypt ou scrypt. Un simple SHA-256 est trop rapide et se casse trop vite. Dans un environnement Windows, cela suppose aussi de désactiver les formats de stockage hérités et le protocole NTLM lorsqu'ils ne sont plus nécessaires.

Encadrer spécifiquement les comptes à privilèges. Longueur renforcée, renouvellement maintenu, isolation, et surveillance dédiée : les comptes administrateurs méritent une politique plus stricte que les comptes standards, car ils constituent la cible finale de la plupart des attaques par mouvement latéral.

Erreurs fréquentes observées

Au-delà des règles elles-mêmes, ce sont souvent les écarts de mise en oeuvre qui fragilisent une politique de mots de passe pourtant bien intentionnée.

Conserver l'expiration trimestrielle par habitude. Beaucoup d'organisations maintiennent le renouvellement forcé tous les 90 jours alors que les référentiels le déconseillent pour les comptes classiques. Le résultat est mécanique : les utilisateurs incrémentent un chiffre ou une saison à la fin de leur mot de passe, ce qui n'apporte aucune sécurité et facilite au contraire la devinette.

Ne pas vérifier les mots de passe contre les fuites connues. Une politique qui impose douze caractères mais accepte un mot de passe présent dans toutes les bases de fuites publiques laisse la porte grande ouverte. L'absence de blocage anti-compromission est l'une des lacunes les plus courantes.

Appliquer la même politique à tous les comptes. Traiter un compte administrateur de domaine comme un compte utilisateur standard revient à sous-protéger précisément les identifiants les plus convoités. La politique doit être différenciée selon le niveau de privilège.

Oublier les comptes de service et les secrets applicatifs. Les comptes de service avec des mots de passe statiques, jamais changés et parfois documentés en clair, échappent souvent à la politique générale. Ils constituent pourtant une cible de choix, car ils disposent fréquemment de droits étendus.

Négliger le stockage. Une politique de saisie irréprochable ne vaut rien si les empreintes sont stockées avec un algorithme faible ou obsolète. La robustesse du hachage fait partie intégrante de la politique de mots de passe, même si elle est invisible pour l'utilisateur.

Vue pentest : ce qu'une politique conforme laisse quand même passer

L'évaluation de la politique de mots de passe est l'un des tout premiers contrôles menés lors de nos audits, et l'écart entre la politique déclarée et la réalité du terrain est souvent révélateur. Une configuration conforme sur le papier ne garantit pas l'absence de chemin d'attaque.

Une politique de mots de passe robuste suffit-elle à se protéger ?

Non, pas à elle seule. Une politique solide élève le coût du cassage, mais elle ne couvre pas l'ensemble de la surface d'attaque. Un mot de passe long et unique reste inutile s'il a été capturé en clair via une interception réseau, rejoué par relais d'authentification sans jamais être cassé, ou extrait de la mémoire d'un poste compromis. La politique agit sur la robustesse du secret, pas sur toutes les manières de l'obtenir ou de le contourner.

Ce que nos pentesters vérifient systématiquement, au-delà du paramétrage de la politique :

Le respect réel de la politique sur l'ensemble du parc. Une stratégie de groupe peut afficher douze caractères minimum alors que des comptes anciens, des comptes locaux ou des exceptions historiques y échappent. Nous confrontons la politique déclarée à ce que les comptes appliquent réellement, à l'aide d'audits comme ceux que permet PingCastle.

La robustesse effective par cassage hors ligne. Après récupération d'empreintes, nos équipes évaluent le taux de cassage réel. Un pourcentage élevé de mots de passe retrouvés rapidement démontre concrètement, chiffres à l'appui, qu'une politique théoriquement conforme reste insuffisante en pratique.

Les comptes à privilèges et les chemins de mouvement latéral. Un compte de domaine à droits excessifs, un compte de service mal cloisonné ou une session administrative persistante restent exploitables indépendamment de la qualité des mots de passe, comme le révèle une cartographie des chemins d'attaque avec BloodHound.

Le stockage et les protocoles hérités. La présence de formats de hash faibles ou de NTLM non restreint réduit à néant une politique par ailleurs exemplaire. C'est aussi ce qui conditionne la résistance d'autres mécanismes Windows, comme nous le montrons dans notre analyse de DPAPI, dont la solidité repose directement sur celle du mot de passe.

Le message à retenir : une bonne politique de mots de passe est nécessaire, mais elle ne se substitue jamais à une évaluation indépendante. C'est précisément la différence entre avoir configuré une règle et avoir vérifié qu'elle protège réellement, ce que confirme ou infirme un pentest interne.