Le problème des post-it : comment sécuriser vos mots de passe

Le problème des post-it, c’est qu’un mot de passe écrit sur un papier collé à l’écran ou caché sous le clavier est lisible par toute personne qui passe dans le bureau : un parent qui attend, un livreur, un remplaçant, un enfant curieux, un technicien, un cambrioleur. Pour sécuriser vos mots de passe, il faut remplacer le papier par un gestionnaire de mots de passe chiffré, donner à chaque personne son propre compte, et protéger les accès critiques par une double authentification. Le post-it n’est pas une faute de caractère, c’est le symptôme d’un système qui demande à des humains de retenir l’impossible.

Pourquoi le post-it existe, et pourquoi il est dangereux

Personne ne colle un mot de passe sur son écran par négligence. On le fait parce qu’on a quinze comptes, que chacun exige un mot de passe différent, que certains doivent changer tous les trois mois et qu’on ne peut pas retenir tout ça. Le Centre canadien pour la cybersécurité recommande des mots de passe d’au moins 12 caractères, ou des phrases de passe d’au moins 4 mots, uniques pour chaque compte (ITSAP.30.032). Sans outil, cette consigne mène directement au post-it, ou à la réutilisation : selon Pensez cybersécurité, 41 % des Canadiens utilisent le même mot de passe pour plusieurs comptes.

Le danger du post-it est double. D’abord, il est visible : dans un service de garde, le bureau de la direction est traversé toute la journée, et une photo prise discrètement suffit. Ensuite, il est invisible quand il disparaît : si la note est perdue, prise ou photographiée, personne ne le sait, et le compte reste ouvert avec le même mot de passe pendant des mois. Un mot de passe volé par hameçonnage déclenche souvent une alerte ; un mot de passe lu sur un papier ne déclenche rien.

Ce que le post-it donne accès à, dans un service de garde

Derrière le mot de passe du logiciel de gestion, il y a les dossiers des enfants, les fiches santé, les coordonnées des parents et les relevés fiscaux. Derrière celui du courriel, toutes les réinitialisations de mot de passe des autres comptes. Derrière celui de la banque, les frais de garde. Ce sont des renseignements personnels au sens de la Loi 25 ; leur consultation par une personne non autorisée est un incident de confidentialité à inscrire au registre et, en cas de risque de préjudice sérieux, à déclarer à la Commission d’accès à l’information (principaux changements de la Loi 25). Et le vol d’identité n’est pas marginal : Statistique Canada rapporte que 31 % des entreprises canadiennes touchées par un incident en 2023 l’ont été par vol d’identité.

La solution en trois morceaux

Un gestionnaire de mots de passe. Il génère, chiffre et retient tous les mots de passe derrière une seule phrase de passe maîtresse. Le Centre canadien pour la cybersécurité en décrit les critères dans ses Conseils de sécurité sur les gestionnaires de mots de passe (ITSAP.30.025) : chiffrement que le fournisseur lui-même ne peut pas lire, authentification multifacteur, plan de récupération. Les versions d’équipe permettent de partager l’accès à un compte sans jamais dicter le mot de passe.

Un compte par personne. Le post-it existe souvent parce qu’un compte est partagé par toute l’équipe. Avec des comptes individuels, chacun a ses accès dans son propre coffre, et le départ d’une employée ne force pas tout le monde à changer de mot de passe.

La double authentification sur les comptes critiques. Courriel, logiciel de gestion, banque. Même si un mot de passe est lu quelque part, il ne suffit pas. Microsoft évalue que l’authentification multifacteur bloque plus de 99,9 % des attaques de compromission de compte.

Et le papier, alors?

Le papier n’est pas interdit, il est mal placé. Il reste utile pour deux choses : la phrase de passe maîtresse du gestionnaire et les codes de récupération de la double authentification. Mais ces papiers vont dans une enveloppe scellée, dans le classeur verrouillé de la direction ou dans un coffret, et on sait qui a la clé. Un mot de passe sous clé n’est pas un post-it.

Un exemple concret dans une garderie

Imaginons une garderie de 70 places à Blainville. Sous le clavier de l’accueil, une feuille plastifiée liste les mots de passe du logiciel de gestion, du courriel « info », de la caisse enregistreuse et du Wi-Fi. Un remplaçant d’une journée la photographie, sans mauvaise intention au départ. Trois mois plus tard, en conflit avec un parent du milieu, il se connecte au logiciel de gestion depuis chez lui et consulte le dossier de l’enfant. La garderie ne l’apprend que par le parent, qui a reçu un message contenant des détails confidentiels. Incident à déclarer, confiance brisée, et aucune façon de savoir ce qui a été consulté d’autre. Dans la version corrigée, la feuille n’existe pas : chaque employée a son compte dans le gestionnaire, le remplaçant reçoit un accès temporaire limité qui expire le soir même, et le logiciel de gestion exige un code sur le téléphone de la titulaire du compte. La photo n’aurait rien donné.

Ce que ça change pour votre service de garde

1. Faites le tour des post-it aujourd’hui. Écrans, claviers, tiroirs, agendas, feuilles plastifiées, fichiers « mots de passe » sur le bureau de l’ordinateur. Retirez-les tous et changez les mots de passe qu’ils contenaient. Une heure, sans frais.
2. Déployez un gestionnaire de mots de passe pour la direction et l’administration. Versions d’équipe généralement entre 4 et 8 $ par utilisateur par mois ; versions individuelles souvent gratuites. Une demi-journée de mise en place, puis quelques minutes par compte transféré.
3. Créez un compte par personne, partout où c’est possible. Fini le compte « accueil » ou « educatrices ». Pour les outils qui n’offrent qu’un seul compte, partagez-le par le dossier d’équipe du gestionnaire, pas par un papier. Deux heures.
4. Activez la double authentification sur le courriel, le logiciel de gestion et la banque. Dix minutes par compte, inclus dans les abonnements.
5. Mettez sous clé ce qui doit rester sur papier. Phrase de passe maîtresse et codes de récupération dans une enveloppe scellée, classeur verrouillé, registre de qui a la clé. Vingt minutes.
6. Écrivez la règle dans la politique de sécurité. Une phrase : « Aucun mot de passe n’est écrit ou affiché dans le milieu ; les identifiants sont conservés dans le gestionnaire de mots de passe approuvé. » Rappel à l’embauche et une fois par année en réunion d’équipe.
7. Prévoyez les remplaçants et les départs. Accès temporaire pour un remplaçant, révoqué le soir même ; accès retirés et mots de passe régénérés le jour d’un départ. Dix minutes chaque fois, mais c’est ce qui ferme la porte derrière les gens.

Sources

• Centre canadien pour la cybersécurité : pratiques exemplaires de création de phrases de passe et de mots de passe (ITSAP.30.032)
• Centre canadien pour la cybersécurité : conseils de sécurité sur les gestionnaires de mots de passe (ITSAP.30.025)
• Pensez cybersécurité : renforcer les points faibles de votre cybersécurité (statistiques canadiennes)
• Statistique Canada, 21 octobre 2024 : l’incidence du cybercrime sur les entreprises canadiennes, 2023
• Microsoft Security, 20 août 2019 : prévenir 99,9 % des attaques de compte

À lire aussi

Recommendations

Comment éviter les pièges des médias sociaux au travail

4 avril 2023 · 7 min de lecture

Recommendations

Le parcours des données d’un enfant, de l’inscription au portail jusqu’à l’admission

1 novembre 2026 · 12 min de lecture

Recommendations

Votre fournisseur de logiciel de gestion de service de garde : 12 questions à lui poser avant de lui confier les données des enfants

31 octobre 2026 · 11 min de lecture