Réinitialiser le mot de passe d’une boîte mail

Si l’utilisateur d’une boîte mail, qu’il s’agisse d’un salarié, d’un proche ou d’un client, oublie son mot de passe ou si vous devez bloquer immédiatement un compte compromis, vous pouvez réinitialiser le mot de passe de la boîte depuis le tableau de bord TrekMail. Ce guide présente les deux méthodes : définir directement un nouveau mot de passe ou émettre un code d’accès à usage unique. Il explique aussi quand choisir chacune, comment remettre les nouveaux identifiants de manière sûre et comment réagir à un incident de sécurité.

Il s’agit du mot de passe de la boîte mail, utilisé dans le webmail, Outlook, l’iPhone et les autres clients. Ce n’est pas le mot de passe de connexion au tableau de bord TrekMail, réservé au propriétaire du compte et géré directement par celui-ci.

Quand intervenir

• Un utilisateur a oublié le mot de passe de sa boîte et ne disposait ni d’un code de récupération ni d’une adresse de récupération pour le réinitialiser seul. C’est le cas le plus fréquent.
• Incident de sécurité : vous pensez qu’une boîte a été compromise, par exemple à la suite d’un hameçonnage ou d’une fuite de mot de passe. Vous voulez bloquer immédiatement l’intrus, que le propriétaire légitime se souvienne ou non de son mot de passe.
• Départ d’un salarié : la personne a quitté l’organisation. Vous souhaitez garder la maîtrise de la boîte, vous définissez donc un mot de passe que vous seul connaissez, puis vous pourrez supprimer la boîte ou en transférer la propriété.
• Configuration d’un nouvel appareil : l’utilisateur préfère repartir avec un nouveau mot de passe lors d’une configuration propre.

Méthode 1 : Réinitialiser directement avec un nouveau mot de passe connu

C’est la méthode la plus rapide. Vous choisissez le nouveau mot de passe, la boîte est mise à jour et vous le transmettez à l’utilisateur.

1. Ouvrez la page Boîtes mail dans votre tableau de bord.
2. Cliquez sur Gérer à côté de la boîte. Recherchez d’abord son adresse si nécessaire.
3. Ouvrez l’onglet Sécurité. Les onglets disponibles dépendent du type, de l’offre et de l’état de la boîte.
4. Dans la carte Mot de passe de la boîte, saisissez deux fois le Nouveau mot de passe ou cliquez sur Générer un mot de passe robuste sous le champ pour en créer un aléatoire.
5. Cliquez sur Enregistrer le mot de passe.

Le bouton ne devient actif que lorsque le nouveau mot de passe respecte toutes les règles. Une fois la mise à jour du serveur de messagerie réussie, l’ancien mot de passe ne permet plus les nouvelles connexions au webmail, à IMAP et à SMTP. Mettez à jour les applications de messagerie et les scripts avant de vous attendre à ce qu’ils se reconnectent.

Règles du mot de passe, contrôlées en direct ; les quatre indicateurs doivent être verts :

• Au moins 12 caractères.
• Au moins une lettre majuscule.
• Au moins une lettre minuscule.
• Au moins un chiffre.

Cliquez sur Générer un mot de passe robuste si vous ne souhaitez pas en inventer un. Nous produisons une combinaison de 18 caractères avec majuscules, minuscules, chiffres et un petit ensemble de symboles sûrs. Les caractères faciles à confondre, tels que i, l, 0 et O, sont exclus. Le résultat remplit automatiquement les deux champs et s’affiche pour que vous puissiez le copier avant l’enregistrement.

L’ancien raccourci en forme de clé a été retiré de la liste des boîtes lors de la refonte de mai 2026. L’onglet Sécurité est désormais le seul emplacement du tableau de bord pour cette opération. Consultez Sécurité de la boîte mail pour découvrir les autres réglages de cet onglet.

Méthode 2 : Émettre un code de récupération à usage unique

Cette méthode est utile lorsque :

• Vous ne voulez pas connaître le nouveau mot de passe, que l’utilisateur choisira lui-même.
• Vous travaillez à distance ou de manière asynchrone et préférez laisser l’utilisateur terminer la réinitialisation au moment qui lui convient.
• Vous avez besoin d’une trace indiquant que l’utilisateur a effectué la réinitialisation avec l’autorisation de l’administrateur, plutôt que d’un mot de passe défini par l’administrateur.

1. Ouvrez les réglages de la boîte → onglet Sécurité, au même endroit que pour la méthode 1.
2. Faites défiler la page jusqu’à la carte Code de récupération.
3. Cliquez sur Générer un nouveau code. Le nouveau code n’apparaît qu’une seule fois dans la boîte de dialogue. Copiez-le avant de fermer ; il expire au bout de 24 heures.
4. Envoyez le code à l’utilisateur par un canal sûr. Reportez-vous à la section « Remettre le nouveau mot de passe en toute sécurité » ci-dessous.
5. L’utilisateur ouvre la page de connexion au webmail, choisit Mot de passe oublié ?, sélectionne Code de récupération, saisit le code et définit son propre mot de passe.

Le code est à usage unique. Dès que l’utilisateur l’utilise, il est consommé et toute nouvelle tentative avec le même code échoue.

Si l’utilisateur perd le code ou ne l’utilise pas à temps, émettez-en un autre. Tout nouveau code remplace le précédent.

Méthode 3 : Utiliser l’adresse de récupération

Si une adresse de récupération est configurée pour la boîte, lors de sa création ou par l’utilisateur dans les réglages du webmail, celui-ci peut procéder sans votre intervention. Il ouvre la connexion au webmail → Mot de passe oublié ? → mode Adresse de récupération → saisit son adresse TrekMail → reçoit un lien de réinitialisation dans sa boîte de récupération.

C’est l’approche qui demande le moins d’intervention de votre part. Encouragez les utilisateurs à définir une adresse de récupération dès leur première connexion. Cela évite les demandes d’assistance.

Remettre le nouveau mot de passe en toute sécurité

Quelle que soit la méthode retenue, vous devrez communiquer quelque chose à l’utilisateur, un mot de passe ou un code. Ne l’envoyez pas en clair par e-mail.

Canaux sûrs :

• Partage depuis un gestionnaire de mots de passe, tel que 1Password Teams ou Bitwarden Send : le contenu est chiffré et expire après consultation.
• Signal, WhatsApp ou iMessage : message direct chiffré de bout en bout.
• Bitwarden Send ou un service comparable : créez un lien à usage unique qui se détruit après la première consultation.
• En personne ou par téléphone : convient aux codes courts et aux mots de passe générés.

À éviter :

• E-mail en clair : il reste lisible si la boîte de l’utilisateur est compromise, ce qui correspond précisément à la situation que vous cherchez souvent à résoudre.
• Canaux Slack publics : longue durée de conservation et contenu consultable par toute personne de l’espace de travail.
• SMS : acceptable pour un code court, mais sans chiffrement de bout en bout.

Effets immédiats d’une réinitialisation

• L’ancien mot de passe cesse de fonctionner pour les nouvelles connexions IMAP, SMTP et webmail après la réussite de la mise à jour. Les clients qui conservent l’ancien mot de passe échouent à s’authentifier jusqu’à leur mise à jour.
• Les sessions webmail actives ne sont pas fermées automatiquement lorsqu’un administrateur change le mot de passe. Si vous pensez qu’une session a été volée, suspendez les connexions et contactez l’assistance ou suivez votre procédure de réponse aux incidents. Ne supprimez pas et ne recréez pas la boîte par défaut.
• Aucun message n’est perdu. Tout le contenu de la boîte est conservé : réception, messages envoyés, dossiers, règles et contacts. Seuls les identifiants d’authentification changent.

Pendant un incident de sécurité

Si vous pensez qu’une boîte a été compromise, effectuez toutes les actions suivantes :

1. Réinitialisez le mot de passe avec la méthode 1 et un mot de passe robuste généré. Utilisez une valeur que l’utilisateur ne connaît pas encore.
2. Générez un nouveau code de récupération. Cette action invalide les anciens codes de récupération du mot de passe de la boîte, y compris un ancien code provenant d’une configuration précédente.
3. Suspendez les connexions de la boîte si vous devez bloquer l’accès pendant l’enquête. Conservez la boîte intacte afin que ses messages et ses réglages restent disponibles pour l’analyse.
4. Examinez les règles et les transferts de la boîte. Les attaquants créent souvent un transfert vers leur propre adresse pour détourner une copie des futurs messages. Vérifiez dans le webmail ou au moyen des Règles de messagerie.
5. Vérifiez le dossier Envoyés pour trouver les messages que l’attaquant aurait pu envoyer au nom de l’utilisateur. Supprimez-les s’il s’agit de spam ou d’hameçonnage ; sinon, consignez-les pour l’analyse forensique.
6. Prévenez l’utilisateur par un canal secondaire, par téléphone ou en personne. Expliquez-lui ce qui s’est produit.
7. Réinitialisez la 2FA uniquement si nécessaire, puis demandez au propriétaire de la boîte d’enregistrer à nouveau son propre authentificateur. La 2FA de la boîte protège les connexions au webmail. Maintenez séparée la sécurité du tableau de bord administrateur.

Erreurs fréquentes après la réinitialisation

• L’utilisateur ouvre l’URL du tableau de bord au lieu du webmail avec le nouveau mot de passe de la boîte. Le tableau de bord attend le mot de passe du propriétaire du compte, pas celui de la boîte. Précisez que le webmail se trouve à l’adresse https://trekmail.net/webmail/login, ou à votre URL personnalisée, tandis que le tableau de bord commence à https://trekmail.net.
• L’utilisateur met Outlook à jour, mais Outlook continue à utiliser l’ancien mot de passe en cache. Le Gestionnaire d’informations d’identification Windows, Panneau de configuration → Gestionnaire d’informations d’identification → Informations d’identification Windows, peut conserver les identifiants IMAP et SMTP. Supprimez les entrées correspondant aux serveurs entrant et sortant indiqués sous Applications et appareils, puis testez de nouveau le nouveau mot de passe.
• Le téléphone continue à afficher « Impossible de vérifier le mot de passe ». Ajoutez de nouveau le compte de messagerie sur le téléphone au lieu de simplement modifier son mot de passe. Certains clients mobiles, notamment les anciennes versions d’Apple Mail, gèrent mal les changements d’identifiants.

Ce que vous ne pouvez pas faire

• Vous ne pouvez pas consulter le mot de passe existant : les mots de passe sont hachés et nous ne conservons aucun texte en clair récupérable. La seule façon de « rappeler son mot de passe » à un utilisateur consiste à en définir un nouveau, méthode 1, ou à émettre un code, méthode 2.
• Vous ne pouvez pas réinitialiser le mot de passe d’une boîte d’un autre compte : les administrateurs ne peuvent agir que sur les boîtes des comptes qu’ils possèdent ou administrent.
• Vous ne pouvez pas contourner les règles de complexité, même avec la méthode 1. Les mêmes exigences s’appliquent : au moins 12 caractères avec une majuscule, une minuscule et un chiffre. Le bouton Générer produit un mot de passe conforme.

Articles associés

• Propriétaire d’une boîte : modifier soi-même son mot de passe
• Configurer l’authentification à deux facteurs (2FA) dans TrekMail
• Mot de passe TrekMail oublié ?
• Créer une nouvelle boîte mail
• Supprimer une boîte mail
• Créer des filtres et des règles de messagerie