Meilleur gestionnaire de mots de passe sur site pour votre entreprise – Passwork
Cet article propose une analyse détaillée de Passwork, une solution de gestion de mots de passe auto-hébergée, conçue pour les entreprises.
L'importance d'utiliser des mots de passe robustes est un concept rebattu. Cependant, la réalité est que cela représente un véritable défi !
L'utilisateur moyen possède une multitude de comptes en ligne – j'en dénombre personnellement 202 – et la création de mots de passe complexes et difficiles à mémoriser est une tâche que beaucoup préfèrent éviter.
Un individu lambda ne peut pas retenir une combinaison unique de caractères pour chacun de ses comptes. De plus, la vieille méthode consistant à noter les mots de passe sur papier n'est plus une solution viable.
La solution réside dans l'utilisation d'un gestionnaire de mots de passe, à moins d'opter pour une authentification sans mot de passe.
Pour ceux qui découvrent ce type d'outil, un gestionnaire de mots de passe enregistre vos identifiants, génère des mots de passe complexes, propose la saisie automatique, et bien d'autres fonctionnalités visant à rendre la navigation sur internet plus sûre et plus aisée.
Malgré les avantages offerts par ces utilitaires, seulement 31 % des professionnels en utilisent un au travail :
Bien que la sécurité personnelle relève de la responsabilité individuelle, il est inacceptable de laisser votre entreprise subir les conséquences de votre négligence.
De plus, l'implémentation d'un gestionnaire de mots de passe sur site constitue l'option la plus sûre pour toute organisation. Cela permet de préserver la confidentialité de vos identifiants, même en cas de piratage du fournisseur de gestion de mots de passe.
Nous allons donc nous pencher sur Passwork, un logiciel de ce type qui peut être déployé à la fois sur site et dans le cloud. Les deux versions sont similaires, mais la version auto-hébergée offre davantage de fonctionnalités, et c'est cette version que nous allons explorer.
C'est parti.
Passwork : Une solution de gestion de mots de passe sur site
Basée en Finlande, Passwork peut être installé sur des serveurs Windows, Linux ou via une image Docker. Vous disposez de guides d'installation détaillés pour les différentes plateformes prises en charge.
Il intègre des fonctionnalités haut de gamme et conviviales, notamment :
- Cryptage AES-256
- Code source auditable
- Gestion des utilisateurs basée sur les rôles
- Journal d'activité exhaustif
- Authentification à deux facteurs
- Intégration AD/LDAP
- Compatibilité SSO SAML
- Application mobile
- Extensions de navigateur
- Import/Export en JSON/CSV
- API Passwork
- Thèmes sombre/clair
Les sections suivantes détailleront nos tests pratiques de certaines fonctionnalités afin de vous aider à évaluer si Passwork répond à vos attentes.
Création et partage de coffres-forts
En tant qu'administrateur, la première étape consiste à créer des coffres-forts pour stocker les mots de passe. Il existe deux types de coffres-forts : "Organisation" et "Privé".
Les coffres-forts "Organisation" sont gérés par l'administrateur du gestionnaire de mots de passe, qui est également le premier utilisateur à se connecter. L'administrateur a également la possibilité d'attribuer des droits similaires ou personnalisés à d'autres utilisateurs pour chacun de ces coffres-forts.
De même, l'administrateur du coffre-fort peut partager un coffre-fort spécifique via un lien de partage temporaire avec un accès limité. Cette option est accessible via le bouton "Créer un lien" situé en bas à droite de l'image précédente.
L'ajout d'utilisateurs à un coffre-fort se fait également en quelques clics. Vous pouvez inviter des utilisateurs déjà enregistrés en leur envoyant directement une invitation ou en créant un lien que vous partagerez avec le groupe concerné.
Toutefois, l'administrateur doit préalablement créer les profils utilisateurs (voir plus loin) avant d'envoyer les invitations.
Quant aux coffres-forts "Privé", ils sont gérés par leurs utilisateurs respectifs. Néanmoins, un utilisateur a la possibilité de partager son coffre-fort privé avec d'autres collaborateurs ou avec l'organisation.
Gestion des utilisateurs
La gestion des utilisateurs est une fonctionnalité clé pour toute entreprise. En fonction de votre abonnement, vous pouvez créer jusqu'à 100 comptes avec un seul forfait.
L'ajout de nouveaux utilisateurs se fait via le bouton "Créer des utilisateurs". Vous devez renseigner le nom d'utilisateur, son rôle, son adresse e-mail et son statut d'adhésion.
Vous obtiendrez ensuite des identifiants de connexion spécifiques à communiquer à l'utilisateur concerné.
De plus, vous pouvez définir des rôles et partager des liens d'inscription avec des invitations.
L'objectif principal de l'attribution de rôles est de constituer des groupes pertinents et de gérer les permissions de tous les membres d'un même groupe de manière centralisée.
De plus, cela permet de visualiser le nombre de participants par groupe et les coffres-forts auxquels ils ont accès.
Importation et exportation de mots de passe
L'importation de mots de passe est une fonctionnalité indispensable lorsque vous migrez depuis un autre gestionnaire de mots de passe ou lors de la configuration initiale. Dans les deux cas, vous devez préparer les données au format JSON ou CSV.
De la même manière, l'exportation des données vous permet de télécharger l'ensemble des coffres-forts ou une sélection d'entre eux, au format JSON ou CSV.
Toutefois, vous avez également la possibilité d'importer (ou d'exporter) des données directement dans un coffre-fort spécifique.
Il suffit de cliquer sur les trois points horizontaux (indiqués par la flèche) et de sélectionner l'option souhaitée dans le menu déroulant.
Il est également possible de saisir manuellement un mot de passe via le bouton "+ Ajouter un mot de passe".
Le générateur de mots de passe intégré permet d'utiliser des chiffres, des lettres minuscules et majuscules et des caractères spéciaux, ensemble ou séparément.
Il permet également de définir plusieurs noms d'utilisateur et mots de passe pour la même URL en une seule opération.
Sécurité
Les menaces à la sécurité des entreprises ne proviennent pas uniquement de l'extérieur, les employés peuvent également représenter un risque.
Passwork permet aux administrateurs de mettre en œuvre les meilleures pratiques de sécurité en fonction des besoins spécifiques de chaque organisation.
Le premier outil de surveillance est le journal d'activité. Il est accessible via l'option "Historique" (cachée sous les points de suspension horizontaux) dans chaque coffre-fort.
L'historique complet est également disponible dans le journal d'activité situé dans le menu latéral gauche.
Cette section est très pratique et affiche l'ensemble des activités de chaque utilisateur dans tous les coffres.
Il enregistre également les actions administratives telles que la création de coffres-forts et d'utilisateurs, la suppression et le partage de mots de passe, et quasiment toutes les actions effectuées dans les coffres-forts.
Il est important de noter que ces informations ne seront visibles que par les administrateurs des coffres-forts concernés.
La section "Paramètres" offre un contrôle précis sur la création des coffres-forts, leur contenu, leur partage, etc.
Par exemple, l'administrateur peut imposer l'utilisation de l'authentification à deux facteurs, réglementer le partage de mots de passe et la création de coffres-forts par les utilisateurs non administrateurs, activer la déconnexion automatique, utiliser des clés API temporaires, etc.
Le tableau de bord de sécurité est une autre fonctionnalité axée sur la protection des données.
En résumé, ce tableau de bord permet de surveiller la sécurité globale des mots de passe. Vous pouvez vérifier la complexité et l'ancienneté des mots de passe et les réinitialiser si nécessaire. De plus, Passwork signale automatiquement les mots de passe auxquels ont accédé des employés qui ont été supprimés du système. Cela permet de limiter très rapidement l'accès aux services de l'entreprise pour les collaborateurs qui ont quitté l'organisation.
En conclusion, Passwork accorde une attention particulière à la sécurité et propose la plupart des fonctionnalités nécessaires pour tous les types d'organisations.
Intégration LDAP/AD
Vous avez la possibilité d'intégrer Passwork à votre annuaire LDAP afin que vos utilisateurs n'aient pas à mémoriser un mot de passe supplémentaire.
L'objectif est d'utiliser votre annuaire LDAP/AD pour Passwork au lieu de configurer des identifiants de connexion natifs.
Pour activer cette fonctionnalité, la première étape consiste à configurer un serveur LDAP/AD en cliquant sur "Ajouter un serveur". Ensuite, entrez les détails du serveur, testez la connexion et enregistrez les paramètres.
Ensuite, vous devez activer l'option "Activer l'autorisation LDAP" sur la page des paramètres LDAP.
Vous pouvez également désactiver n'importe quel serveur via un simple interrupteur situé en face de chaque nom de serveur. L'option "Débogage" située sous le bouton "Ajouter un serveur" vous permet de vérifier l'autorisation LDAP/AD.
Paramètres d'authentification unique
L'authentification unique (SSO) vise à simplifier davantage la gestion des mots de passe.
En résumé, SAML SSO permet d'utiliser une combinaison unique de nom d'utilisateur et de mot de passe pour se connecter à un ensemble d'applications web. Cela réduit encore une fois le besoin de retenir plusieurs identifiants pour chaque compte.
Cette fonctionnalité est donc intéressante si vous utilisez déjà un fournisseur d'identité SAML ou si vous envisagez d'en utiliser un.
Pour utiliser le SSO, vous devez configurer les informations fournies (comme sur l'image) avec votre fournisseur d'identité (IdP). Cela permettra aux utilisateurs de se connecter à Passwork via l'IdP existant.
Le principe est similaire aux connexions via les réseaux sociaux, et cela simplifie l'accès pour les utilisateurs autorisés.
API Passwork
L'API est le moyen le plus rapide de créer ou de modifier le contenu des coffres-forts.
Vous pouvez récupérer votre clé API depuis les paramètres de l'API et l'utiliser pour créer, mettre à jour et récupérer des mots de passe à partir des coffres-forts que vous administrez ou auxquels vous avez accès.
La documentation de l'API, accessible via les "Manuels", est très détaillée et contient des exemples illustrant toutes les opérations que vous pouvez effectuer via l'API Passwork.
De plus, le connecteur JS permet de simplifier l'intégration avec votre infrastructure existante.
Extension de navigateur et application mobile
L'extension de navigateur Passwork est compatible avec Chrome, Firefox, Edge et Safari. Cliquez sur "Paramètres et utilisateurs" en haut de la page et cherchez "Extensions de navigateur" sous la section "CONNECT APPS".
Ensuite, téléchargez l'extension et saisissez l'adresse de l'hôte pour la rendre fonctionnelle.
L'extension de navigateur affiche tous les coffres-forts, propose un générateur de mots de passe et toutes les fonctionnalités essentielles de l'application web.
Vous pouvez épingler l'extension pour éviter de devoir saisir un mot de passe d'autorisation à chaque utilisation. De plus, l'interface de l'extension propose un choix de thèmes clairs ou sombres.
De la même manière, vous pouvez télécharger l'application mobile pour Android et iOS. À l'heure où nous écrivons ces lignes, Passwork requiert un accès aux serveurs d'hébergement via le réseau local ou un VPN pour les appareils mobiles.
Une fois l'application mobile téléchargée, elle vous demandera de scanner un code QR (depuis l'application de bureau) pour accéder aux coffres-forts.
Contrairement à l'extension de navigateur, l'application mobile est plus puissante et tente de reproduire l'expérience utilisateur de l'application de bureau sur un écran plus petit. Vous aurez accès à vos coffres-forts et pourrez utiliser les fonctionnalités collaboratives de l'application Passwork pour smartphone, ce qui en fait un outil idéal pour la gestion de mots de passe lors de vos déplacements.
Conclusion
Ceci conclut notre bref test pratique de la solution auto-hébergée Passwork pour les entreprises. La documentation complète et l'assistance rapide ont grandement facilité notre évaluation.
De plus, le compte de démonstration est idéal pour évaluer ses points forts et déterminer si ce logiciel correspond à vos besoins.