Comptes, mots de passe et authentification

Capsules

1. 1

   Des phrases de passe longues, un compte à la fois

   3 min
   Capsule vidéo en tournage

   Des phrases de passe longues, un compte à la fois

   Un mot de passe long, différent pour chaque compte et bien rangé, protège mieux qu’un mot de passe partagé ou collé sous le clavier.

   Lire la capsule (transcription)

   À la réception d’une municipalité de 900 habitants, en Gaspésie, un papier jaune est collé sous le clavier. Dessus, un seul mot de passe. Il ouvre le courriel, le logiciel de paie et le site de la banque. La greffière explique : « C’est plus simple, on est trois, et tout le monde le sait. » C’est plus simple, c’est vrai. C’est aussi la porte grande ouverte.

   Voici l’idée centrale : un mot de passe long, différent pour chaque compte, et bien rangé. La Fédération québécoise des municipalités, la FQM, décrit la politique de mots de passe comme peu coûteuse et efficace, et rappelle que le facteur humain reste la principale porte d’entrée. Autrement dit, ce que vous faites chaque jour compte plus que ce que vous achetez.

   Premier élément : la phrase de passe, une par compte. Le Centre canadien pour la cybersécurité recommande une phrase de passe unique d’au moins 12 caractères pour chaque compte. Une phrase de passe, c’est une courte phrase qui n’a de sens que pour vous : trois ou quatre mots sans lien évident, par exemple. Elle est plus longue, donc plus difficile à deviner, et plus facile à retenir qu’une suite de symboles. Et elle ne sert qu’à un compte. Si le même mot de passe ouvre tout, une seule fuite ouvre tout.

   Deuxième élément : où les ranger. Pas sous le clavier, pas dans un fichier nommé « mots de passe » sur le bureau de l’ordinateur. Le Centre recommande un gestionnaire de mots de passe, ou un stockage hors ligne sécurisé. Le gestionnaire retient tout pour vous : vous n’avez à vous souvenir que de sa propre phrase de passe. Dans une très petite équipe, un carnet gardé sous clé, hors ligne, peut aussi faire l’affaire.

   Troisième élément : les mots de passe par défaut. Un routeur, une caméra, un système de la station d’eau arrivent souvent avec le mot de passe d’usine. On le change dès l’installation, parce qu’il est connu de bien du monde.

   Le piège, c’est la commodité : « C’est plus simple de tous partager le même. » Ça l’est, jusqu’au jour où un seul courriel piégé donne accès à tout. À retenir : une phrase de passe longue par compte, rangée dans un gestionnaire, et jamais un papier sous le clavier.

   • Une phrase de passe unique d’au moins 12 caractères pour chaque compte (Centre canadien pour la cybersécurité).
   • Un seul mot de passe pour tout, c’est une seule fuite pour tout ouvrir.
   • On range les mots de passe dans un gestionnaire de mots de passe ou dans un stockage hors ligne sécurisé, jamais sous le clavier.
   • Les mots de passe par défaut des appareils se changent dès l’installation.
2. 2

   L’authentification multifacteur : un second verrou

   2 min
   Capsule vidéo en tournage

   L’authentification multifacteur : un second verrou

   Un mot de passe seul ne suffit pas. Un second verrou protège même quand le mot de passe est volé, et il compte aussi devant l’assureur.

   Lire la capsule (transcription)

   La Ville de Hamilton, en Ontario, subit une attaque par rançongiciel en 2024, c’est-à-dire des fichiers bloqués contre une rançon. Plus tard, son assureur refuse environ 5 millions de dollars de réclamations. Sa raison : l’absence d’authentification multifacteur, une exclusion prévue à la police. La Ville conteste que cette mesure aurait changé l’issue. La dispute montre au moins une chose : ce verrou compte, jusque dans l’assurance.

   Voici l’idée centrale : un mot de passe seul ne suffit pas, il faut un second verrou. On l’appelle l’authentification multifacteur, ou AMF. Après le mot de passe, le système demande autre chose, un code sur votre téléphone, par exemple. Si quelqu’un a volé votre mot de passe dans un faux courriel, il reste devant une porte fermée.

   Premier élément : où l’activer. Le Centre canadien pour la cybersécurité la recommande sur les appareils et sur les comptes. Commencez par les accès qui ouvrent le plus de portes : le courriel, la paie, la banque, et tout accès à distance aux systèmes, comme celui d’une station d’eau.

   Deuxième élément : tout le monde, sans exception. Une conseillère qui lit ses documents du conseil sur son téléphone, un employé des travaux publics qui se connecte de chez lui, une direction générale qui paie des fournisseurs : ils ont le même besoin. L’AMF n’est pas réservée aux techniciens, et personne n’est trop haut placé pour s’y soumettre.

   Troisième élément : l’assurance. Si votre municipalité a une garantie contre les cyberrisques, lisez ses conditions avant l’incident, pas après. L’exemple de Hamilton montre que les exigences d’une police comptent. Posez la question à votre assureur : quelles mesures demande-t-il ?

   Le piège, c’est l’agacement : « Encore un code, ça ralentit tout. » Quelques secondes de plus à chaque connexion, contre la perte possible de fichiers, de services, voire d’une couverture d’assurance. À retenir : un mot de passe ferme une porte, l’AMF la ferme une deuxième fois.

   • L’authentification multifacteur (AMF) demande un second élément après le mot de passe, comme un code sur votre téléphone.
   • Le Centre canadien pour la cybersécurité la recommande sur les appareils et sur les comptes.
   • Commencez par les accès qui ouvrent le plus de portes : courriel, paie, banque, accès à distance.
   • Lisez les conditions de votre police d’assurance avant un incident, pas après.
3. 3

   Un compte par personne, des accès qui se ferment

   2 min
   Capsule vidéo en tournage

   Un compte par personne, des accès qui se ferment

   Chaque personne a son propre compte, et chaque accès se retire quand le besoin finit : départ d’un employé d’été, fin de mandat d’une personne élue.

   Lire la capsule (transcription)

   Au service des loisirs d’une ville de 40 000 habitants, en Montérégie, un compte courriel « camp de jour » sert à six animateurs d’été, avec un seul mot de passe. En septembre, trois d’entre eux sont retournés aux études. Le mot de passe n’a pas changé. Personne ne sait plus qui a accès à quoi.

   L’idée centrale : chaque personne a son propre compte, et chaque accès se retire quand le besoin finit. Le Centre canadien pour la cybersécurité range les accès et les autorisations parmi ses contrôles de base. Ce n’est pas compliqué, mais cela demande de la rigueur.

   Premier élément : un compte par personne. Quand six animateurs partagent un mot de passe, on ne sait pas qui a fait quoi, et on ne peut pas couper l’accès d’un seul. Une boîte commune, comme « camp de jour », peut très bien exister : chacun y entre avec son propre compte.

   Deuxième élément : retirer les accès le jour du départ. Employés d’été, bénévoles, fournisseurs, personnes élues en fin de mandat. Après les élections de novembre 2025, selon le ministère des Affaires municipales, 42,8 % des personnes élues étaient de nouveaux membres : autant de comptes à ouvrir, et d’autres à fermer. Pour un appareil, on prévoit aussi de retirer les données de la municipalité quand l’usage prend fin.

   Troisième élément : savoir qui a accès à quoi. Dressez la liste des comptes et comparez-la, de temps en temps, à celle du personnel, des bénévoles et des fournisseurs actuels. Dans une municipalité de trois employés, la direction générale peut le faire elle-même, assez vite. Dans une grande ville, les ressources humaines et les TI, c’est-à-dire les technologies de l’information, le font ensemble.

   Le piège, c’est la gentillesse : « On se connaît tous, je ne vais pas lui fermer son compte, il pourrait revenir. » Fermer un compte n’est pas un reproche. Et si la personne revient, on le rouvre. À retenir : un compte par personne, et l’accès se retire le jour du départ.

   • Un compte par personne : on sait qui a fait quoi, et on peut couper l’accès d’une seule personne.
   • On retire les accès le jour du départ : employés d’été, bénévoles, fournisseurs, personnes élues en fin de mandat.
   • Après les élections de 2025, 42,8 % des personnes élues étaient de nouveaux membres (ministère des Affaires municipales).
   • On compare de temps en temps la liste des comptes à celle du personnel et des fournisseurs actuels.
4. 4

   Comptes d’administration, antivirus et petite taille

   2 min
   Capsule vidéo en tournage

   Comptes d’administration, antivirus et petite taille

   Les comptes les plus puissants se gardent à part, l’antivirus n’est qu’un outil parmi d’autres, et aucune municipalité n’est trop petite pour être visée.

   Lire la capsule (transcription)

   Un 30 novembre, à Lac-Mégantic, une cyberattaque paralyse l’écocentre, l’hôtel de ville, le centre sportif et la station touristique Baie-des-Sables. La Ville affirme que les cyberattaques sont « de plus en plus fréquentes et complexes ». À Westmount et à Saint-Noël aussi, des municipalités ont été touchées.

   L’idée centrale : les comptes les plus puissants et les habitudes de tous les jours comptent plus que le sentiment d’être trop petit, ou d’avoir un antivirus. Selon la Fédération québécoise des municipalités, la prévention coûterait environ 1 % du coût d’une attaque.

   Premier élément : le compte d’administration. C’est celui qui peut tout changer : installer, supprimer, donner des accès. On l’utilise seulement pour administrer, jamais pour lire ses courriels ni naviguer sur le Web. Le Centre canadien pour la cybersécurité suggère même un poste d’administration isolé, sans navigation ni courriel. Et les mots de passe d’administration par défaut se changent.

   Deuxième élément : « On a un antivirus, ça suffit. » L’antivirus est un outil utile, mais pas une protection complète. Le Centre demande aussi l’authentification multifacteur, les mises à jour, des sauvegardes hors ligne, la formation du personnel et un plan d’intervention.

   Troisième élément : « On est trop petits pour être ciblés. » Les attaques sont automatisées et visent tout organisme qu’elles trouvent. Lac-Mégantic, Westmount et Saint-Noël ont été touchées. Pour un système d’eau ou un équipement relié à Internet, on retire les connexions inutiles, on change les mots de passe par défaut, et on protège l’accès à distance par l’AMF.

   Le piège, c’est la fausse sécurité : « On a un antivirus, on est petits, on verra bien. » Chacun de ces gestes coûte peu : un papier remplacé, un second verrou, un accès fermé. Aucun ne demande un gros budget, et aucun n’est réservé aux grandes villes. À retenir : l’administrateur à part, l’antivirus parmi d’autres mesures, et personne n’est trop petit.

   • Le compte d’administration sert seulement à administrer : jamais pour le courriel ni la navigation.
   • Le Centre canadien pour la cybersécurité suggère un poste d’administration isolé, sans navigation ni courriel.
   • L’antivirus ne suffit pas : AMF, mises à jour, sauvegardes hors ligne, formation et plan d’intervention comptent aussi.
   • Selon la FQM, la prévention coûterait environ 1 % du coût d’une attaque.

Un lundi à la municipalité

Comptes et mots de passe : l’essentiel

Une phrase de passe longue par compte, un second verrou, un compte par personne et des accès qui se ferment le jour du départ.

En cas de doute : Demandez à la personne désignée de votre organisation, ou consultez les mesures de base du Centre canadien pour la cybersécurité. Pour vos conditions d’assurance, posez la question à votre assureur.

Astuces de terrain

Ressources

• Centre canadien pour la cybersécurité : mesures de base pour les petites organisations
• Centre canadien pour la cybersécurité : introduction aux contrôles de base
• Fédération québécoise des municipalités : des cybermenaces bien réelles (février 2024)

Quiz