La méthode habituelle pour attribuer une boîte mail à quelqu'un consiste à la créer, à choisir un mot de passe et à lui envoyer les deux. Tout le monde sait que cette pratique est mauvaise et presque tout le monde l'utilise, car l'autre solution a longtemps demandé davantage de travail. Les invitations d'activation éliminent cette excuse : l'administrateur ne choisit jamais le mot de passe et personne n'a besoin de le transmettre par email ou par messagerie instantanée.
Cet article explique le fonctionnement des invitations, pourquoi la décision de ne jamais partager de mots de passe est plus importante qu'elle n'en a l'air et ce qu'elle implique pour l'authentification à deux facteurs et la gestion des départs.
Pourquoi ne jamais partager de mots de passe, même lorsque tout va bien
La première raison de ne jamais partager de mots de passe est le risque le plus évident : l'interception. Un mot de passe envoyé par email ou par chat reste indéfiniment dans au moins deux boîtes, peut être retrouvé par une recherche et demeure présent dans chaque sauvegarde. Quiconque obtient plus tard l'accès à l'un des deux comptes le découvrira. Depuis des années, les recommandations du NIST déconseillent de transmettre des secrets de cette manière.
Le problème moins visible est que le mot de passe n'est jamais modifié. En théorie, l'utilisateur en choisit un nouveau lors de sa première connexion. Dans la pratique, il conserve celui que vous lui avez envoyé parce qu'il fonctionne et que rien ne l'oblige à le remplacer. Plusieurs mois plus tard, l'administrateur connaît encore un identifiant valide pour la boîte d'une autre personne. Il devient alors impossible d'affirmer sereinement que les actions effectuées dans cette boîte sont bien celles de l'utilisateur.
Ce dernier point est essentiel dès qu'une action est contestée. Si deux personnes connaissent le mot de passe, rien de ce qui est accompli avec le compte ne peut être attribué avec certitude à l'une ou à l'autre. Une organisation dans laquelle personne ne partage de mots de passe n'est pas seulement plus sûre. C'est une condition indispensable pour que la piste d'audit ait une réelle valeur.
Comment les invitations évitent tout partage de mot de passe
L'administrateur crée la boîte sans définir de mot de passe. Le système envoie un lien par email au futur utilisateur, qui l'ouvre et choisit son propre mot de passe. À aucun moment les identifiants ne passent entre les mains d'une autre personne.
Les identifiants n'existent donc jamais sous une forme que quelqu'un d'autre aurait vue. Rien ne reste dans un dossier de messages envoyés, rien ne subsiste dans l'historique d'une conversation et l'administrateur n'a rien à faire semblant d'oublier.
Les invitations peuvent être envoyées individuellement ou en masse. C'est ce qui transforme une bonne idée en méthode réellement utilisable. Provisionner quarante boîtes pour un nouveau client revient à envoyer quarante invitations en une seule opération, au lieu de générer, consigner et transmettre quarante mots de passe. La procédure est présentée dans notre guide sur la création groupée de boîtes mail.
L'authentification à deux facteurs complète la protection
Décider de ne jamais partager de mots de passe ferme une faille mais en laisse une autre : même un mot de passe connu uniquement de son utilisateur peut être faible ou réutilisé.
L'authentification à deux facteurs ferme cette seconde faille. L'utilisateur l'active dans les paramètres du webmail, et non pendant l'invitation. Il s'agit donc d'une demande et d'une habitude distinctes. Son adoption dépend de votre insistance plutôt que d'une obligation imposée par le parcours.
Demandez son activation au moment d'envoyer l'invitation, puis renouvelez la demande une semaine plus tard. La page de sécurité des boîtes dans le tableau de bord indique celles dont l'authentification à deux facteurs est active et la date de confirmation. Repérer les oublis consiste ainsi à parcourir une liste plutôt qu'à deviner.
Insistez en même temps sur la conservation des codes de récupération. Comme le propriétaire du compte ne peut pas supprimer le second facteur d'une boîte depuis le tableau de bord, un utilisateur qui perd à la fois son appareil et ses codes doit ouvrir une demande auprès de l'assistance. Toute la procédure est expliquée dans la résolution d'un blocage 2FA.
Comment évolue le rôle de l'administrateur
Le choix de ne jamais partager de mots de passe réduit surtout le travail de l'administrateur, moyennant un seul changement.
Vous cessez d'être le gardien des identifiants, ce qui élimine toute une catégorie de demandes. La question « Peux-tu me rappeler mon mot de passe ? » devient une réinitialisation réalisée par l'utilisateur lui-même. Vous n'êtes plus non plus la personne à laquelle tout le monde doit faire confiance, ce qui représente un vrai soulagement lorsque vous gérez les boîtes de clients plutôt que celles de collègues.
Le changement est que vous ne pouvez plus vous connecter à la boîte d'une autre personne pour y vérifier quelque chose. Cela paraît inconfortable la première fois et reste pourtant toujours la bonne pratique. Si l'entreprise doit accéder à la correspondance, la solution est une boîte mail partagée avec des membres, et non un administrateur qui connaît le mot de passe d'un utilisateur. Ces deux dispositifs impliquent des responsabilités différentes. Les confondre est précisément ce que l'absence de partage de mots de passe doit empêcher.
Les situations qui demandent encore de l'attention
Deux cas exigent un peu de réflexion au lieu d'une simple activation suivie d'un oubli. Mieux vaut les contrôler régulièrement que se fier à sa mémoire.
Les utilisateurs qui ne terminent jamais l'activation. Une boîte qui n'a pas encore été prise en charge n'est lue par personne, alors qu'elle reçoit peut-être déjà des messages. Il est normal que les invitations expirent, mais quelqu'un doit vérifier que le destinataire a réellement terminé la configuration plutôt que de le supposer.
Les adresses qui appartiennent à un objet plutôt qu'à une personne. Une boîte liée à un bien immobilier ou à un numéro de dossier n'a aucun utilisateur à inviter. Elle doit être créée dès le départ comme boîte partagée avec une liste de membres, afin que les accès reposent sur cette liste plutôt que sur des identifiants. Sans cela, vous finirez par revenir à un mot de passe partagé en empruntant simplement un autre chemin.
Les invitations expirent pour éviter tout partage accidentel
Un lien d'activation qui resterait valide indéfiniment ne serait qu'un mot de passe accompagné d'étapes supplémentaires. Les invitations ont donc une durée de validité et cessent ensuite de fonctionner.
Dans la pratique, provisionner les boîtes bien avant l'arrivée effective des personnes produit des liens expirés et une série d'emails confus le premier matin. Envoyez les invitations lorsque les utilisateurs sont prêts à s'en servir. Si l'une d'elles a expiré, émettez-en une nouvelle au lieu de tenter de récupérer l'ancienne, puisque l'opération ne prend que quelques secondes.
Ne partagez pas non plus les mots de passe des autres services
Dès que les identifiants des boîtes cessent de circuler, la même question se pose pour les autres systèmes et mérite la même réponse.
Un compte partagé pour le stockage, un mot de passe d'application commun à plusieurs appareils ou un même jeton d'API utilisé par trois scripts présentent tous la même faiblesse : retirer l'accès à l'un des utilisateurs oblige à interrompre celui de tous les autres. Des identifiants de stockage distincts pour chaque appareil résolvent le problème équivalent, comme l'explique notre guide sur la synchronisation de fichiers entre plusieurs appareils.
La règle se généralise : des identifiants connus de plusieurs parties ne peuvent pas être révoqués pour une seule d'entre elles et ne permettent pas d'attribuer une action avec certitude. Organiser les accès de manière à ne jamais partager de mots de passe ne concerne pas avant tout le secret. Il s'agit de pouvoir changer d'avis au sujet d'une personne sans perturber toutes les autres.
