Comment choisir un gestionnaire de mots de passe pour son cabinet comptable

Pourquoi un outil grand public ne suffit pas

Disons-le d’emblée : LastPass, Dashlane, 1Password ou Bitwarden sont des produits sérieux. Ils font très bien ce pour quoi ils ont été conçus, stocker et synchroniser les identifiants personnels d’un individu, ou les identifiants partagés d’une équipe. Un cabinet qui utilise l’un de ces outils est déjà très en avance sur celui qui conserve ses accès dans un classeur Excel.

Le problème n’est pas leur qualité, c’est leur modèle. Ces outils raisonnent en « coffres » ou en « collections » d’identifiants, pas en portefeuille de dossiers clients. Or c’est précisément la structure de travail d’un cabinet : le dossier SCI Martin regroupe un accès impots.gouv, un accès bancaire, un accès URSSAF ; le collaborateur qui reprend le dossier doit récupérer l’ensemble, et lui seul.

Concrètement, quatre limites reviennent systématiquement lorsque des cabinets tentent d’adapter un outil généraliste à leur activité :

• Pas d’organisation par dossier client. Il faut recréer artificiellement la logique métier à coups de dossiers et de conventions de nommage, qui se dégradent avec le temps.
• Pas de collecte auprès du client final. Aucun mécanisme ne permet de demander ses identifiants à un client sans qu’ils transitent par e-mail ou sans lui imposer de créer un compte. Le maillon le plus fragile, l’échange initial avec le client, reste hors du périmètre de l’outil.
• Un hébergement souvent hors Union européenne. Plusieurs acteurs majeurs hébergent tout ou partie de leurs données aux États-Unis, ce qui soulève des questions au regard du RGPD et du Cloud Act (nous y revenons au critère 2).
• Pas de logique métier cabinet. Ni import depuis les outils de production, ni notion de portefeuille collaborateur, ni rattachement des accès au cycle de vie d’un dossier (entrée, transfert, sortie).

Ces limites ne disqualifient pas les outils généralistes, elles indiquent simplement qu’ils répondent à une autre question que la vôtre. Voyons maintenant les critères qui permettent de comparer sérieusement les solutions.

Critère 1 : l’architecture zero-knowledge

C’est le critère éliminatoire. Une architecture dite zero-knowledge (« à divulgation nulle ») signifie que le chiffrement et le déchiffrement des données s’effectuent sur le poste de l’utilisateur, avant tout envoi vers les serveurs. L’éditeur ne détient jamais la clé de déchiffrement : même en accédant à sa propre base de données, il ne peut pas lire les identifiants de vos clients. Ni son équipe support, ni un administrateur système, ni un attaquant qui compromettrait ses serveurs.

La distinction est essentielle, car « données chiffrées » ne veut pas dire grand-chose en soi. Chiffrer les données au repos sur le serveur, avec une clé que l’éditeur détient, protège contre le vol physique d’un disque, pas contre une compromission de l’éditeur lui-même, ni contre un accès interne indélicat. Pour un cabinet tenu au secret professionnel, la différence n’est pas théorique : elle détermine qui, en dernier ressort, peut lire les codes d’accès bancaires et fiscaux de vos clients.

Un test simple : demandez au prestataire ce qui se passe si vous perdez votre mot de passe maître. Si le support peut « réinitialiser votre compte » en conservant vos données lisibles, c’est que quelqu’un d’autre que vous détient la clé. Une vraie architecture zero-knowledge implique qu’une perte totale des secrets de récupération rend les données irrécupérables, c’est contraignant, mais c’est justement la preuve que le dispositif tient.

Critère 2 : l’hébergement en France ou dans l’UE, et les certifications

Le RGPD n’interdit pas formellement l’hébergement hors Union européenne, mais il l’encadre fortement, et la jurisprudence européenne sur les transferts de données vers les États-Unis a montré la fragilité des mécanismes successifs d’adéquation. S’y ajoute le Cloud Act américain, qui permet aux autorités des États-Unis d’exiger d’un fournisseur américain la communication de données qu’il héberge, y compris sur des serveurs situés en Europe. Pour des identifiants donnant accès aux comptes fiscaux et bancaires d’entreprises françaises, le choix d’un hébergement français ou européen, opéré par une société de droit européen, simplifie considérablement l’analyse de risque, et la discussion avec vos clients les plus exigeants.

Les certifications servent ensuite à vérifier que l’hébergeur ne se contente pas de déclarations. La norme ISO 27001 atteste d’un système de management de la sécurité de l’information audité par un tiers. La certification HDS (Hébergeur de Données de Santé), bien que conçue pour le secteur médical, est un signal exigeant : elle impose des garanties contractuelles et opérationnelles parmi les plus strictes du marché français. Attention toutefois à bien distinguer les certifications de l’hébergeur de celles de l’éditeur : « hébergé chez un prestataire certifié ISO 27001 » ne dit rien des pratiques de l’éditeur lui-même.

Critère 3 : l’organisation par dossier client et la collecte auprès des clients

C’est ici que se joue la vraie différence entre un gestionnaire de mots de passe générique et un coffre-fort numérique pensé pour un cabinet. Dans un cabinet, l’unité de travail n’est pas l’identifiant isolé : c’est le dossier client. Un outil adapté doit refléter cette réalité, chaque dossier regroupe ses accès, et les droits, les transferts et l’historique se gèrent au niveau du dossier, pas identifiant par identifiant.

Le second volet est plus discriminant encore : la collecte des identifiants auprès du client final. Aujourd’hui, dans la plupart des cabinets, le client envoie ses codes par e-mail ou les dicte au téléphone. C’est le moment où les identifiants circulent en clair, hors de tout contrôle, et c’est précisément le maillon qu’aucun outil généraliste ne traite.

Une solution métier doit proposer un canal de collecte sécurisé : le cabinet envoie une demande, le client saisit ses identifiants dans un formulaire qui les chiffre dans son navigateur avant transmission, et ils arrivent directement dans le dossier concerné. Deux exigences pratiques à vérifier : les identifiants ne doivent jamais transiter en clair (ni par e-mail, ni sur les serveurs de l’éditeur), et le client ne doit pas avoir de compte à créer, chaque étape supplémentaire imposée au client se traduit par des relances, et par des codes qui finissent de nouveau par e-mail.

Critère 4 : les droits par collaborateur et la gestion des départs

La CNIL comme l’ANSSI le rappellent : les comptes doivent être nominatifs, et les accès limités à ce dont chacun a besoin, le principe du moindre privilège. Appliqué à un cabinet, cela signifie qu’un collaborateur doit voir les accès de son portefeuille de dossiers, et uniquement ceux-là. Un stagiaire n’a pas vocation à consulter les codes bancaires de l’ensemble de la clientèle ; un chef de mission, lui, doit pouvoir superviser son équipe.

Le moment de vérité, c’est le départ d’un collaborateur. Avec un fichier partagé, il est matériellement impossible de savoir quels accès la personne a consultés, notés ou mémorisés, la seule réponse rigoureuse serait de changer tous les mots de passe du cabinet. Avec un outil adapté, la révocation est immédiate : désactivation du compte, et la liste exacte des accès que la personne pouvait consulter permet de ne faire tourner que les mots de passe réellement exposés.

Vérifiez la granularité réelle des droits, pas seulement leur existence : distinction entre lecture et administration, gestion par portefeuille plutôt que par identifiant, et procédure de retrait qui ne dépende pas d’une intervention du support de l’éditeur.

Critère 5 : le journal d’audit

Le RGPD ne demande pas seulement d’être conforme : son article 5 impose de pouvoir démontrer sa conformité, c’est le principe d’accountability. Pour la gestion des accès, cette démonstration passe par un journal d’audit : qui a consulté quel identifiant, quand, qui l’a modifié, qui a partagé quoi et avec qui.

Au-delà de la conformité, le journal d’audit change la nature des situations de crise. Un client vous signale un mouvement suspect sur son espace professionnel ? Sans traçabilité, vous ne pouvez ni confirmer ni écarter l’hypothèse d’une fuite venue du cabinet, et le doute vous incombe. Avec un journal, vous répondez en quelques minutes, preuves à l’appui. La même logique vaut en cas de contrôle CNIL ou de déclaration de violation de données : documenter précisément ce qui s’est passé fait la différence entre un incident maîtrisé et un dossier à charge.

Deux points de vigilance : le journal doit être infalsifiable (un administrateur du cabinet ne doit pas pouvoir effacer une entrée), et il doit être exploitable, consultable par dossier, par collaborateur, par période, et exportable pour être joint à une documentation de conformité.

Critère 6 : la réversibilité

C’est le critère que l’on oublie au moment de l’achat et que l’on regrette au moment du départ. Confier l’intégralité des accès du cabinet à un outil crée une dépendance mécanique : si quitter la solution est difficile, vous n’êtes plus client, vous êtes captif. Un prestataire sérieux n’a pas besoin de retenir ses clients en otage, il doit pouvoir vous expliquer, avant la signature, comment vous partirez.

La réversibilité se vérifie sur trois plans. D’abord l’export : la totalité des données (identifiants, organisation par dossier, métadonnées) doit pouvoir être exportée dans un format standard et réutilisable (CSV, JSON), par le cabinet lui-même, sans dépendre du bon vouloir du support. Ensuite le contrat : les modalités de réversibilité et de suppression des données en fin de contrat doivent figurer noir sur blanc dans le DPA (accord de sous-traitance au sens de l’article 28 du RGPD), que l’éditeur doit fournir spontanément. Enfin la suppression : après votre départ, l’éditeur doit s’engager sur un délai d’effacement effectif, sauvegardes comprises.

L’intégration au quotidien : le critère qui décide de l’adoption

Les six critères précédents jugent la solidité d’une solution. Reste une réalité que tout dirigeant de cabinet connaît : un outil que les collaborateurs contournent ne protège rien. La sécurité effective de votre cabinet sera celle de l’outil réellement utilisé, pas celle de l’outil acheté.

Trois éléments conditionnent l’adoption. D’abord l’extension de navigateur : si retrouver un code impots.gouv prend plus de temps qu’ouvrir l’ancien fichier Excel, l’Excel reviendra. Le remplissage automatique sur les portails du quotidien doit rendre le bon geste plus rapide que le mauvais. Ensuite la reprise de l’existant : vos accès sont aujourd’hui dispersés entre vos outils de production, Pennylane, Cegid, Sage, ACD, Tiime, et des fichiers Excel. Une solution qui sait importer depuis ces sources transforme une migration de plusieurs semaines en une opération de quelques jours.

Enfin, le mode de déploiement. La plupart des cabinets n’ont pas de DSI : personne n’est disponible pour paramétrer les droits, reprendre les données, former les équipes et répondre aux questions des premières semaines. C’est la limite du modèle « self-service » : l’outil est bon, mais le déploiement n’a jamais lieu, ou reste à moitié fait, ce qui est pire qu’un statu quo assumé, car il donne un sentiment de sécurité sans la réalité. À l’inverse, un déploiement accompagné, reprise des données, paramétrage des portefeuilles, formation des collaborateurs, point de suivi, compte autant dans le résultat final que les caractéristiques techniques de l’outil. Au moment de comparer les offres, demandez qui fait quoi pendant le premier mois : la réponse en dit long.

Par où commencer : l’état des lieux avant l’outil

Le réflexe naturel consiste à comparer des fiches produit. C’est pourtant la deuxième étape, pas la première. Avant de choisir un outil, un cabinet a besoin de savoir précisément ce qu’il protège : combien d’identifiants circulent, par quels canaux, qui y accède, quels dossiers sont les plus exposés, et quelles pratiques actuelles poseraient problème en cas de contrôle ou d’incident. Sans cet état des lieux, le choix se fait à l’aveugle, et le déploiement découvre en cours de route les cas particuliers qui auraient dû structurer la décision.

C’est la démarche que nous recommandons, et celle que nous pratiquons : commencer par un audit des pratiques d’accès du cabinet, avec un rapport écrit qui hiérarchise les risques et les actions. Vous en ressortez avec une vision claire de votre situation, et les six critères de ce guide deviennent une grille de lecture concrète, appliquée à votre cabinet plutôt qu’à des plaquettes commerciales.

Sources et références

• CNIL, Recommandation relative aux mots de passe (Délibération n° 2022-100)
• CNIL, Sécurité : authentifier les utilisateurs
• ANSSI, Recommandations relatives à l'authentification multifacteur et aux mots de passe
• Règlement (UE) 2016/679, RGPD (articles 5, 28 et 32)