Les mots de passe de l'entreprise sont dans un fichier Excel : par quoi les remplacer ?

Le scénario en bref

Exemple, inventé pour illustrer. Une PME fictive de douze personnes range tous ses accès dans un seul fichier Excel, « Codes.xlsx », sur le partage commun : banque en ligne, compte administrateur de la messagerie, site web, portails des fournisseurs, alarme, Wi-Fi. Le fichier est protégé par un mot de passe que tout le monde connaît, parce qu'il faut bien l'ouvrir.

Au fil des années, le fichier a été envoyé par mail à un nouveau collègue, copié sur une clé USB pour un dépannage, ouvert sur un ordinateur portable resté dans une voiture. Un comptable parti il y a deux ans en a peut-être encore une copie. Personne ne peut dire qui l'a ouvert, ni quand. Et la plupart des mots de passe n'ont jamais changé.

Rien de grave n'est arrivé. Mais le jour où ce fichier sort de l'entreprise, ce n'est pas un compte qui tombe : ce sont tous les comptes à la fois.

Pourquoi le fichier Excel est une mauvaise cachette

Excel est un tableur, pas un coffre-fort. Microsoft le dit lui-même : la protection d'une feuille de calcul « n'est pas conçue comme une fonctionnalité de sécurité », elle empêche seulement de modifier des cellules. Et pour le mot de passe qui ferme tout le fichier, Microsoft prévient que « le verrouillage d'un fichier avec un mot de passe ne protège pas nécessairement celui-ci des intentions malveillantes ».

Le vrai problème n'est pas technique, il est pratique. Un fichier se copie, se transfère, se synchronise sur chaque ordinateur et chaque téléphone qui l'a ouvert. On ne peut pas le « reprendre » à quelqu'un qui part.

• Un seul mot de passe pour tout le monde : celui du fichier. Il circule de bouche à oreille, souvent par mail.
• Tout ou rien : la stagiaire qui a besoin du Wi-Fi voit aussi l'accès à la banque.
• Aucune trace : impossible de savoir qui a ouvert le fichier, copié une ligne ou gardé une copie.
• Des copies partout : pièces jointes, clés USB, téléchargements, corbeilles, anciens ordinateurs.
• Des mots de passe qui ne changent jamais : les changer oblige à mettre à jour le fichier et à prévenir tout le monde, alors on ne le fait pas.
• Un oubli sans retour : si le mot de passe du fichier est perdu, Microsoft précise qu'il n'est pas en mesure de le récupérer.

Or les mots de passe sont la cible numéro un. Dans son rapport annuel de défense numérique, Microsoft indique que plus de 97 % des attaques contre les identités sont des attaques sur les mots de passe, et que les attaques contre les identités ont augmenté de 32 % au premier semestre 2025.

Ce que recommandent les spécialistes de la cybersécurité

L'agence nationale de cybersécurité française (ANSSI), dont les guides servent de référence bien au-delà de la France, ne laisse aucune ambiguïté. Dans son guide sur l'authentification et les mots de passe, elle écrit que les solutions consistant à « utiliser un fichier bureautique protégé par un mot de passe sont à proscrire », car elles n'apportent pas le même niveau de protection qu'un outil conçu pour cela. Son guide pour les TPE et PME fixe ensuite quatre repères simples.

1. Une longueur adaptée à l'enjeu : au moins 15 caractères pour un service critique (banque, messagerie, comptabilité), au moins 9 pour un service peu critique, en mélangeant majuscules, minuscules, chiffres et caractères spéciaux.
2. Un mot de passe différent pour chaque service, pour que les dégâts restent limités si l'un d'eux fuit. Et jamais le même pour la messagerie personnelle et la messagerie professionnelle.
3. Un gestionnaire de mots de passe (l'ANSSI parle de « coffre-fort »), qui génère des mots de passe solides et les garde dans un fichier chiffré, ouvert par un seul mot de passe.
4. L'authentification multifacteur dès que le service la propose : en plus du mot de passe, un deuxième élément, comme un code sur le smartphone.

Quand un accès ne peut vraiment pas être individuel (Wi-Fi, ancien logiciel), le gestionnaire permet de le partager sans le dévoiler, et de retirer l'accès à une seule personne. Pour tout le reste, visez un compte par personne (voir plus bas).

Et tout mettre au même endroit, est-ce prudent ? L'ANSSI ne cache pas le revers : le mot de passe principal du gestionnaire est « très critique », et sa compromission exposerait tous les mots de passe du coffre. Il doit donc être robuste et retenu de mémoire, et de nombreux outils permettent d'y ajouter un second facteur. Le risque reste bien plus faible que celui d'un fichier qui circule.

Excel ou gestionnaire : ce qui change concrètement

Un gestionnaire de mots de passe est un logiciel qui range les mots de passe dans une base chiffrée, c'est-à-dire illisible sans la bonne clé. Chacun l'ouvre avec son propre mot de passe principal, sur ordinateur et sur smartphone. Les versions « entreprise » ajoutent des coffres partagés par équipe et une console pour gérer les accès.

Ce dernier point compte plus qu'il n'y paraît : un gestionnaire ne propose de remplir le mot de passe que sur le site pour lequel il a été enregistré. Sur une fausse page de connexion, il reste muet, ce qui est déjà un signal d'alerte. Mais il n'empêche pas quelqu'un de copier ou de taper lui-même son mot de passe sur une fausse page : d'où l'intérêt de l'authentification multifacteur sur les comptes importants.

Les questions à poser avant de choisir

Plutôt qu'une marque, voici les points à vérifier avec votre prestataire informatique ou avec l'éditeur. L'ANSSI recommande d'ailleurs que les responsables de l'informatique mettent un gestionnaire à disposition de tous et forment chacun à son usage.

La migration en six étapes, sans rien casser

Passer d'un fichier à un gestionnaire demande surtout de la méthode, et l'ordre compte.

1. Faire l'inventaire du fichier. Ligne par ligne : ce compte existe-t-il encore ? Qui en a besoin ? Supprimez les accès morts et notez les comptes partagés.
2. Mettre en place l'outil et sécuriser le coffre. Activez l'authentification multifacteur pour tous, et prévoyez au moins deux personnes capables de gérer les accès, pour ne jamais dépendre d'une seule.
3. Créer les coffres par équipe. Direction, comptabilité, accueil, informatique : chacun ne reçoit que ce dont il a besoin.
4. Changer chaque mot de passe en le déplaçant. Le fichier a circulé : considérez que ses mots de passe sont connus. En les déplaçant, remplacez-les par des mots de passe générés par l'outil, en commençant par la banque, la messagerie et la comptabilité.
5. Supprimer le fichier et ses copies. Partage commun, pièces jointes dans les mails, téléchargements, clés USB, corbeilles. Un ancien fichier oublié garde les anciens mots de passe, d'où l'étape 4.
6. Former l'équipe. Une courte séance suffit : ouvrir le coffre, remplir un mot de passe, en créer un nouveau, savoir quoi faire en cas de perte du téléphone.

Le piège : importer le fichier tel quel dans le gestionnaire et s'arrêter là. Les anciens mots de passe restent valables, et des copies du fichier traînent encore. L'étape 4 n'est pas facultative.

Le second piège : garder « juste au cas où » une copie imprimée ou un nouveau fichier de secours. Le secours, c'est la procédure de récupération de l'outil, prévue dès l'étape 2.

Et là où on peut, supprimer le mot de passe partagé

Le meilleur mot de passe partagé est celui qui n'existe plus. Beaucoup de services permettent de créer un compte par personne au lieu d'un compte commun : la banque en ligne avec un accès par utilisateur, la messagerie avec des boîtes partagées accessibles depuis le compte de chacun, les portails fournisseurs avec plusieurs utilisateurs.

Chaque compte personnel peut alors recevoir sa propre authentification multifacteur, et se fermer le jour du départ sans rien changer pour les autres. Le coffre partagé reste utile pour ce qui ne peut vraiment pas être individuel, comme le Wi-Fi ou un vieux logiciel métier.

Lundi matin : cinq gestes

1. Cherchez sur le partage commun et dans les mails les fichiers qui contiennent « mot de passe », « codes » ou « accès ». Vous saurez combien de copies existent.
2. Listez les trois accès les plus sensibles : banque, messagerie (compte administrateur), comptabilité. Ce sont les premiers à déplacer et à changer.
3. Vérifiez que l'authentification multifacteur est active sur ces trois comptes.
4. Demandez à votre prestataire informatique quel gestionnaire d'entreprise il recommande et comment il s'intègre à vos outils.
5. Fixez une date pour supprimer le fichier Excel, et tenez-la.

Rien de tout cela ne demande de compétences techniques. C'est surtout une question d'ordre, et de discipline le jour où quelqu'un quitte l'entreprise.

Mieux gérer vos mots de passe→