Guide
Comptes d’administration, mots de passe et double authentification
Les comptes d’administration sont les clés de votre informatique : un attaquant qui en obtient un peut tout faire. Comptes séparés, double authentification, mots de passe solides : voici les règles de l’ANSSI et de la CNIL, ramenées à ce qu’une PME doit faire.
Mis à jour le 18 octobre 2026 · Les chiffres sont sourcés en bas de page ; les appréciations sont celles d’IT CyberWall.
Pourquoi ces comptes sont la cible
Un attaquant qui obtient le mot de passe d’un compte d’administration peut tout faire : installer un rançongiciel sur tous les postes, effacer des données, créer des comptes pour revenir plus tard. Protéger ces comptes est la mesure qui réduit le plus les dégâts possibles. L’ANSSI y consacre plusieurs mesures de son guide d’hygiène informatique : inventaire des comptes privilégiés, distinction des rôles utilisateur et administrateur, authentification forte[1].
Des comptes d’administration à part
- Un compte d’administration distinct du compte de tous les jours, avec un mot de passe différent[2].
- Jamais de messagerie ni de navigation avec un compte d’administration[2][1].
- Des comptes nominatifs : on sait qui a fait quoi[2][1].
- Le moindre privilège : chacun n’a que les droits dont il a besoin, et les utilisateurs ne sont pas administrateurs de leur poste[2][1].
- Un inventaire tenu à jour des comptes privilégiés, y compris ceux des prestataires[1].
La double authentification
L’ANSSI recommande de privilégier l’authentification multifacteur[3] et d’exiger au moins deux facteurs pour l’administration[2]. En pratique, commencez par :
- les comptes d’administration (Microsoft 365, Google Workspace, serveurs, pare-feu, hébergeur, nom de domaine) ;
- les accès à distance (VPN, bureau à distance) ;
- la messagerie de tous les utilisateurs.
Une application d’authentification ou une clé de sécurité vaut mieux qu’un code reçu par SMS, plus facile à intercepter.
Des mots de passe qui tiennent
| Cas | Recommandation de la CNIL[4] |
|---|---|
| Mot de passe seul | 12 caractères avec majuscules, minuscules, chiffres et caractères spéciaux, ou 14 caractères sans caractère spécial imposé, ou une phrase de passe de 7 mots |
| Compte protégé par un blocage après plusieurs échecs | 8 caractères de 3 types différents, ou 5 mots |
- Pas de renouvellement forcé pour tout le monde : la CNIL et l’ANSSI ne l’imposent plus pour les comptes ordinaires, mais le maintiennent pour les comptes à privilèges[4][3].
- Un changement immédiat en cas de doute sur une compromission[3].
- Un gestionnaire de mots de passe fourni par l’entreprise[3].
- Les mots de passe par défaut des box, imprimantes, caméras et serveurs sont changés dès l’installation[3][1].
Votre liste de contrôle
- Qui est administrateur de quoi ? La liste existe et elle est à jour.
- Aucun administrateur ne lit ses e-mails avec son compte d’administration.
- La double authentification est active sur tous les comptes d’administration et les accès à distance.
- Les comptes des anciens salariés et des anciens prestataires sont désactivés.
- Le compte « propriétaire » de votre Microsoft 365 ou Google Workspace et de votre nom de domaine est au nom de l’entreprise.
Ce que fait IT CyberWall
Nous faisons l’inventaire des comptes privilégiés, séparons les comptes d’administration, activons la double authentification et mettons en place un gestionnaire de mots de passe. Nos propres accès à vos systèmes sont nominatifs, et vous en gardez la liste.
Vous ne savez plus qui est administrateur de quoi ?
Nous faisons l’inventaire de vos comptes et mettons en place la double authentification.
Sources
Sources consultées le 18 octobre 2026. Les tarifs des fournisseurs sont indiqués hors taxes, dans la devise et la région de la grille publiée, et peuvent évoluer : vérifiez toujours la page officielle avant de décider.
- ANSSI – Guide d’hygiène informatique, v2.0 (mesures 5, 8 à 13, 27 à 29) — messervices.cyber.gouv.fr/documents-guides/guide_hygiene_informatique_anssi.pdf
- ANSSI – Recommendations to Secure Administration of IT Systems, v2.0 (24 avril 2018) — cyber.gouv.fr/sites/default/files/2018/10/guide_anssi_secure_admin_is_pa_022_en_v2.pdf
- ANSSI – Recommandations relatives à l’authentification multifacteur et aux mots de passe, v2.0 (8 octobre 2021) — messervices.cyber.gouv.fr/guides/recommandations-relatives-lauthentification-multifacteur-et-aux-mots-de-passe
- CNIL – Délibération n° 2022-100 du 21 juillet 2022, recommandation relative aux mots de passe — www.cnil.fr/sites/cnil/files/atoms/files/deliberation-2022-100-du-21-juillet-2022_recommandation-aux-mots-de-passe.pdf