« Minimum 8 caractères, une majuscule, un chiffre, un caractère spécial, à changer tous les 90 jours » : cette politique, encore appliquée dans de nombreux cabinets, ne correspond plus aux recommandations actuelles de la CNIL. Depuis 2022, l'autorité de protection des données a revu sa doctrine en profondeur, avec des conséquences concrètes pour la politique de mots de passe de votre cabinet.
Pourquoi la doctrine de la CNIL a changé
Pendant des années, la référence en matière de mots de passe était la délibération CNIL n° 2017-012, qui imposait des règles de complexité assez rigides. Elle a été abrogée et remplacée par la délibération n° 2022-100 du 21 juillet 2022, qui tire les conséquences de plusieurs constats :
- Imposer une complexité artificielle (majuscule + chiffre + caractère spécial) pousse souvent les utilisateurs vers des mots de passe prévisibles (« Cabinet2024! » plutôt qu'une vraie combinaison aléatoire)
- Les attaques modernes exploitent surtout la réutilisation de mots de passe entre services, pas uniquement leur complexité
- Le renouvellement périodique forcé encourage des variations mineures et prévisibles d'un même mot de passe, sans gain réel de sécurité
Ce que change concrètement la recommandation 2022
Avant (doctrine 2017)
Accent mis sur la complexité formelle (types de caractères imposés) et le renouvellement périodique systématique.
Depuis 2022
Accent mis sur la longueur et l'entropie réelle du mot de passe, avec des mesures complémentaires (blocage de compte, MFA) plutôt qu'un renouvellement forcé.
Ce que dit la recommandation CNIL de 2022
La délibération n° 2022-100 fixe des exigences techniques et organisationnelles minimales pour toute authentification par mot de passe dans le cadre d'un traitement de données personnelles — ce qui concerne directement le logiciel de gestion, la messagerie et l'ensemble des outils numériques d'un cabinet. Elle précise que ces dispositions correspondent à l'état de l'art permettant de satisfaire l'obligation générale de sécurité posée par l'article 32 du RGPD.
⚠️ Important : ces recommandations ne sont pas juridiquement contraignantes en elles-mêmes — elles n'ont pas de caractère normatif — mais elles définissent le niveau de sécurité minimal attendu pour respecter l'obligation légale de sécurité du RGPD. En cas de fuite de données liée à un mot de passe trop faible, la CNIL s'y réfère pour apprécier si le responsable de traitement a rempli ses obligations.
La notion centrale de la recommandation est l'entropie : la quantité de « hasard » contenue dans un mot de passe, qui détermine sa résistance à une attaque par force brute. Plus un mot de passe est long et imprévisible, plus son entropie est élevée — indépendamment du nombre de types de caractères utilisés.
Les 3 cas d'usage et leurs exigences minimales
La CNIL distingue trois configurations, selon le niveau de protection déjà apporté par des mesures complémentaires à l'authentification elle-même.
| Cas d'usage | Contexte | Exigence minimale |
|---|---|---|
| Cas n°1 — Mot de passe seul | Aucune restriction d'accès au compte (pas de blocage après échecs) | Entropie ≥ 80 bits |
| Cas n°2 — Mot de passe + restriction d'accès | Blocage ou ralentissement après plusieurs échecs de connexion | Entropie ≥ 50 bits |
| Cas n°3 — Code de déverrouillage | Authentification sur un appareil physique déjà détenu par l'utilisateur | Entropie ≥ 13 bits |
Cas n°1 — exemples conformes
- → 12 caractères minimum avec majuscules, minuscules, chiffres et caractères spéciaux
- → ou 14 caractères sans caractère spécial obligatoire
- → ou une phrase de passe d'au moins 7 mots
Cas n°2 — exemples conformes
- → 8 caractères minimum avec 3 des 4 catégories de caractères
- → ou une phrase de passe d'au moins 5 mots
- → mécanisme de blocage requis (ex. après 5 échecs)
Cas n°3 — exemples conformes
- → code personnel de 4 chiffres minimum
- → blocage du dispositif après 3 échecs
- → uniquement pour un matériel détenu en propre
💡 Bon à savoir : pour un logiciel de gestion accessible depuis Internet, sans restriction particulière d'accès au compte, c'est le cas n°1 qui s'applique : 12 caractères variés est le minimum recommandé, pas un objectif ambitieux. Une phrase de passe de plusieurs mots sans lien logique entre eux est une alternative aussi robuste et plus facile à retenir.
Faut-il encore imposer un renouvellement périodique ?
C'est le changement le plus visible pour les utilisateurs au quotidien : la CNIL recommande de ne plus imposer de renouvellement périodique systématique aux comptes des utilisateurs standards. Cette contrainte, longtemps considérée comme une bonne pratique, pousse en réalité les utilisateurs à choisir des variations prévisibles d'un même mot de passe (« Cabinet2025 » devenant « Cabinet2026 »), ce qui n'améliore pas la sécurité réelle.
Comptes utilisateurs standards
Pas de renouvellement périodique imposé. Le mot de passe est changé uniquement à la demande de l'utilisateur ou en cas de suspicion de compromission.
Comptes à privilège (administrateurs)
Une procédure de modification périodique reste recommandée, avec une fréquence définie en fonction du niveau de risque associé à ces comptes.
Les comptes administrateurs d'un cabinet — accès complet au logiciel de gestion, à la messagerie, à la facturation — restent donc soumis à une vigilance renforcée, cohérente avec le niveau de risque qu'ils représentent en cas de compromission.
Comment écrire la politique de mots de passe de votre cabinet
1. Fixer une longueur minimale réaliste
12 caractères pour un accès sans restriction, ou une phrase de passe de plusieurs mots. Évitez d'imposer une liste de types de caractères trop contraignante qui pousse aux comportements prévisibles.
2. Interdire les mots de passe les plus courants
Un mécanisme qui refuse les mots de passe figurant dans les listes de mots de passe compromis les plus utilisés réduit fortement le risque, indépendamment de la longueur choisie.
3. Activer un mécanisme de restriction d'accès au compte
Temporisation après plusieurs échecs, captcha, ou blocage temporaire : ces mesures permettent de se contenter d'une entropie de mot de passe plus faible tout en gardant un niveau de sécurité équivalent.
4. Encourager l'usage d'un gestionnaire de mots de passe
Un gestionnaire permet à chaque collaborateur d'utiliser un mot de passe unique et complexe par service, sans effort de mémorisation. Ne bloquez jamais le collage de mot de passe dans les champs de connexion : cela nuit à l'utilisation de ces outils.
5. Coupler avec l'authentification à deux facteurs
Le mot de passe seul, même robuste, reste vulnérable au phishing. La MFA ajoute une barrière supplémentaire particulièrement recommandée pour l'accès au logiciel de gestion et à la messagerie.
6. Former les collaborateurs à la politique
Les personnes concernées doivent connaître les règles applicables et être sensibilisées aux comportements à adopter en cas de suspicion de compromission de leur mot de passe.
Et si un mot de passe est compromis ?
La recommandation CNIL est claire sur ce point : dès qu'une atteinte à la confidentialité d'un mot de passe est détectée ou suspectée, l'utilisateur concerné doit être informé sans délai et pouvoir le renouveler immédiatement. Le cabinet doit également évaluer le risque de compromission d'autres comptes utilisant potentiellement le même mot de passe.
❌ Erreur fréquente : attendre le prochain cycle de renouvellement périodique pour changer un mot de passe suspecté compromis. Un mot de passe potentiellement exposé doit être changé immédiatement, sans attendre une échéance calendaire.
Un journal d'audit qui trace les connexions et les tentatives échouées facilite la détection précoce d'une tentative de compromission, avant qu'elle ne se traduise par un accès non autorisé aux dossiers du cabinet.
FAQ
Une phrase de passe est-elle vraiment plus sûre qu'un mot de passe complexe ?
À longueur d'entropie équivalente, oui, et elle est plus facile à retenir. La CNIL cite explicitement l'exemple d'une phrase de passe de 7 mots de la langue française comme équivalente à un mot de passe de 12 caractères variés.
Faut-il quand même changer son mot de passe une fois par an « par précaution » ?
La recommandation actuelle ne l'impose plus pour les comptes standards, sauf risque particulier identifié. Mieux vaut consacrer cet effort à choisir un mot de passe unique et robuste, couplé à la MFA, plutôt qu'à un renouvellement systématique peu efficace.
Les gestionnaires de mots de passe sont-ils recommandés par la CNIL ?
Oui, la recommandation encourage explicitement leur usage et demande que la documentation liée à la sécurité informe les utilisateurs sur les bonnes pratiques associées, notamment la robustesse du mot de passe maître.
Cette recommandation s'applique-t-elle au logiciel de gestion du cabinet ou seulement au site internet ?
Elle s'applique à toute authentification par mot de passe dans le cadre d'un traitement de données personnelles, ce qui inclut le logiciel de gestion, la messagerie professionnelle et tout autre outil numérique manipulant des données clients.
En résumé
La politique de mots de passe de 2026 privilégie la longueur à la complexité artificielle, abandonne le renouvellement périodique systématique pour les comptes standards, et mise sur des mesures complémentaires — blocage de compte, gestionnaire de mots de passe, authentification à deux facteurs — plutôt que sur des contraintes qui poussent aux comportements prévisibles. Mettre à jour la politique du cabinet sur ces bases est une mesure simple, sans coût, et directement rattachable à l'obligation de sécurité de l'article 32 du RGPD.
Pour aller plus loin sur la sécurisation globale de votre cabinet, découvrez comment NetJuris protège l'accès à vos dossiers ou testez notre outil de diagnostic RGPD gratuit.
Sources : délibération CNIL n° 2022-100 du 21 juillet 2022 ; article 32 du RGPD.