Read in EnglishGuide de référence des concepts, protocoles et technologies clés en cybersécurité, en lien avec la gestion des mots de passe, les accès à privilèges et la posture de sécurité des entreprises.
Accès d’urgence (héritage numérique)
L’accès d’urgence permet à un utilisateur de désigner un contact de confiance qui pourra demander l’accès à son coffre-fort en cas de décès, d’incapacité ou de perte de ses identifiants. La demande ouvre un délai d’attente pendant lequel le propriétaire peut la refuser ; si le délai expire sans refus, l’accès est accordé. Bien conçu, le mécanisme est cryptographique et non administratif : la clé du coffre est chiffrée à l’avance pour la clé du contact de confiance, de sorte que le fournisseur reste incapable d’ouvrir le coffre lui-même et que le zéro-connaissance est préservé. C’est la réponse à la question la plus difficile du modèle zéro-connaissance : que se passe-t-il quand la seule personne capable de déchiffrer les données n’est plus là. Heimlane Vault propose l’accès d’urgence via un contact de confiance désigné et un délai d’attente.
Accès juste-à-temps (JIT)
L’accès juste-à-temps accorde un privilège uniquement lorsqu’il est nécessaire, pour la durée nécessaire, puis le retire automatiquement, au lieu de comptes détenant des droits d’administration en permanence. Une demande est formulée puis approuvée, ou accordée automatiquement selon une politique, le droit est créé, le travail est fait, et le droit expire. L’objectif est de réduire la fenêtre pendant laquelle un compte compromis a de la valeur : le privilège permanent est ce dont hérite un attaquant, et les droits d’administration restent inutilisés la très grande majorité du temps. C’est le moindre privilège appliqué au temps autant qu’au périmètre.
AES-256
AES-256 (Advanced Encryption Standard, 256 bits) est un algorithme de chiffrement symétrique utilisé dans le monde entier pour protéger les données classifiées et sensibles. Il est considéré comme inviolable avec les technologies de calcul actuelles. AES-256 est le standard de chiffrement utilisé par les gouvernements, les institutions financières et les organisations soucieuses de la sécurité pour chiffrer les données au repos et en transit. Heimlane Vault utilise AES-256-CBC avec HMAC-SHA256 pour chiffrer l’ensemble du contenu du coffre-fort côté client, avant toute transmission au serveur.
Agences nationales de cybersécurité
Les agences nationales de cybersécurité sont les organismes publics qui publient des standards de sécurité, émettent des alertes, certifient des produits et coordonnent la réponse à incident à l’échelle d’un pays ou d’une région. Leurs recommandations façonnent les exigences des marchés publics, les cadres réglementaires et le niveau de sécurité attendu dans leur juridiction. Les principales agences que vous rencontrerez dans le domaine :
- ACN (Agenzia per la Cybersicurezza Nazionale, Italie) est l’autorité nationale italienne de cybersécurité, créée en 2021. Elle coordonne la réponse à incident via CSIRT Italia et maintient le cadre du Perimetro di Sicurezza Nazionale Cibernetica pour les infrastructures critiques.
- ACSC (Australian Cyber Security Centre, Australie) publie les Essential Eight, l’un des rares cadres gouvernementaux à classer explicitement les contrôles de sécurité par priorité et niveau de maturité. Largement cité au niveau international comme point de départ pour le durcissement.
- ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information, France) est l’agence nationale française de cybersécurité. Elle publie le Référentiel Général de Sécurité, les schémas de certification CSPN et SecNumCloud, et constitue la référence incontournable pour les marchés publics français et les entreprises soumises à la réglementation française et européenne.
- BSI (Bundesamt für Sicherheit in der Informationstechnik, Allemagne) publie le cadre IT-Grundschutz et certifie les produits via le schéma national allemand.
- CCN-CERT (Centro Criptológico Nacional, Espagne) est le centre cryptologique national espagnol. Il publie l’ENS (Esquema Nacional de Seguridad), le cadre de sécurité obligatoire pour le secteur public espagnol.
- CISA (Cybersecurity and Infrastructure Security Agency, États-Unis) est l’autorité fédérale américaine en charge de la cyberdéfense et de la protection des infrastructures critiques. Son catalogue des vulnérabilités exploitées (KEV) fait autorité.
- ENISA (Agence de l’Union européenne pour la cybersécurité) est l’organisme à l’échelle de l’UE qui accompagne les États membres en matière de politique, de renforcement des capacités et d’application des directives telles que NIS2.
- NCSC (National Cyber Security Centre, Royaume-Uni) est l’autorité britannique en matière de menaces cyber et de bonnes pratiques. Son schéma Cyber Essentials est une certification de base largement adoptée.
- NIST (National Institute of Standards and Technology, États-Unis) publie la série SP 800 et le NIST Cybersecurity Framework (CSF), parmi les standards de sécurité les plus référencés au niveau mondial.
Ces agences convergent souvent sur les mêmes principes (moindre privilège, défense en profondeur, traçabilité, MFA), si bien que se conformer à l’une d’entre elles satisfait généralement la plupart des autres. La conception des produits Heimlane s’appuie sur les recommandations de plusieurs agences plutôt que sur une seule juridiction.
Argon2id
Argon2id est une fonction de dérivation de clé (KDF) moderne, conçue pour résister aux attaques par force brute en exigeant une quantité significative de mémoire et de temps de calcul. Vainqueur du Password Hashing Competition en 2015, il est recommandé par l’OWASP pour le hachage de mots de passe. Contrairement aux algorithmes plus anciens comme PBKDF2, Argon2id résiste aux attaques basées sur GPU et ASIC grâce à sa conception exigeante en mémoire. Heimlane Vault prend en charge Argon2id comme KDF recommandé pour dériver les clés maîtres à partir des mots de passe utilisateurs.
Attaque de la chaîne d’approvisionnement
Une attaque de la chaîne d’approvisionnement (supply chain) compromet une organisation par l’un de ses fournisseurs plutôt que frontalement : éditeur dont le mécanisme de mise à jour est détourné, dépendance open source reprise en main par un tiers, ou, cas le plus fréquent pour les entreprises ordinaires, prestataire dont l’accès distant aux systèmes de ses clients est détourné. Cette troisième variante explique pourquoi l’accès des tiers mérite les mêmes contrôles que celui des salariés : des comptes nominatifs plutôt qu’un compte partagé, un accès limité aux systèmes concernés et à la fenêtre d’intervention, des identifiants que le prestataire ne détient jamais, et un enregistrement de ce qui a été fait. Heimlane Realm a été conçu pour l’accès des prestataires et des tiers.
Bastion
Un bastion (aussi appelé bastion d’administration ou serveur de rebond) est un point d’entrée sécurisé qui sert de passerelle unique et contrôlée pour les administrateurs et les prestataires externes accédant aux serveurs et applications d’une organisation. Toutes les connexions à privilèges passent par le bastion, qui authentifie les utilisateurs, applique les politiques d’accès, enregistre les sessions et fournit une piste d’audit complète. En France, le terme “bastion” est largement utilisé comme synonyme des solutions de PAM (Privileged Access Management). Heimlane Realm fonctionne comme un bastion, offrant un accès navigateur aux cibles RDP, SSH et VNC avec enregistrement complet des sessions et injection d’identifiants. Pour aller plus loin : qu’est-ce qu’un bastion d’accès, à quoi sert-il et comment en déployer un.
Chiffrement de bout en bout
Le chiffrement de bout en bout (E2EE, End-to-End Encryption) signifie que les données sont chiffrées sur l’appareil de l’expéditeur et ne peuvent être déchiffrées que sur l’appareil du destinataire. Aucun intermédiaire, y compris le fournisseur du service, ne peut accéder au contenu en clair. C’est le fondement des architectures zéro-connaissance, où le fournisseur n’a jamais accès aux données des clients, même en cas de compromission de ses serveurs.
CLOUD Act
Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) est une loi fédérale américaine qui permet aux autorités des États-Unis d’exiger d’un prestataire de services américain la remise de données sous son contrôle, quel que soit le pays où elles sont stockées. Le centre de données européen d’une société américaine n’est donc pas hors de portée, pas plus que la filiale européenne d’une maison mère américaine. C’est le fondement juridique de l’essentiel des préoccupations de souveraineté numérique en Europe, et la raison pour laquelle « hébergé dans l’UE » ne suffit pas comme réponse : ce qui compte, c’est qui contrôle l’opérateur, et si les données sont chiffrées de telle sorte que l’opérateur soit tout simplement incapable de produire du clair.
Codes de récupération
Les codes de récupération sont des codes à usage unique remis lors de l’activation de l’authentification à deux facteurs, à utiliser en cas de perte du second facteur : téléphone volé, application d’authentification effacée, clé matérielle égarée. Chaque code ne fonctionne qu’une fois. Ils doivent être imprimés ou conservés à un endroit distinct de l’appareil et du coffre-fort qu’ils protègent, car les ranger dans le compte qu’ils permettent de déverrouiller annule leur intérêt. Ce sont des codes de secours pour le second facteur uniquement : ils ne récupèrent pas un mot de passe maître et ne déchiffrent pas un coffre zéro-connaissance. Heimlane Vault affiche une série de codes de récupération une seule fois, à l’activation de la 2FA.
Coffre-fort de mots de passe
Un coffre-fort de mots de passe est un espace numérique chiffré qui stocke les mots de passe, identifiants, notes, cartes de paiement et autres données sensibles. Un coffre-fort de mots de passe entreprise ajoute des fonctionnalités telles que le partage en équipe, les contrôles d’accès, les coffres-forts partagés et les pistes d’audit. Contrairement aux solutions grand public, un coffre-fort professionnel s’intègre aux outils de gestion des accès à privilèges pour permettre l’injection d’identifiants dans les sessions distantes, sans exposer les mots de passe aux utilisateurs.
Compte de secours (break-glass)
Un compte de secours, ou compte d’administration d’urgence, est un compte très privilégié tenu en réserve pour le jour où les chemins d’accès normaux tombent : fournisseur d’identité indisponible, MFA hors service, ou solution PAM elle-même injoignable. Il existe précisément parce que centraliser les accès crée un point de défaillance unique. La bonne pratique consiste à en garder très peu, à sceller les identifiants hors ligne ou dans un coffre distinct, à en proscrire l’usage courant, à alerter sur toute authentification et à documenter une procédure d’utilisation puis de rotation. Une procédure de secours qui n’a jamais été répétée n’est pas une procédure.
Comptes à privilèges
Les comptes à privilèges sont les comptes disposant de droits élevés sur un système d’information : administrateurs système, administrateurs de bases de données, comptes de service, comptes root. Ces comptes sont les cibles prioritaires des attaquants, car leur compromission donne un accès direct aux ressources les plus sensibles de l’organisation. La gestion des comptes à privilèges (PAM) vise à contrôler, surveiller et auditer l’utilisation de ces comptes pour réduire la surface d’attaque.
Comptes de service
Un compte de service est une identité non humaine utilisée par une application, un script, une tâche planifiée ou un composant d’infrastructure pour s’authentifier auprès d’un autre système. Ces comptes sont en général plusieurs fois plus nombreux que les comptes humains, disposent de permissions larges et portent des mots de passe définis à l’installation puis jamais changés, souvent parce que personne ne sait avec certitude ce que cela casserait. Ils échappent presque toujours aux processus d’arrivée et de départ et sont rarement protégés par MFA, ce qui en fait une voie privilégiée pour le déplacement latéral. Les intégrer à un coffre-fort, donner à chacun une identité distincte, restreindre ce qu’il peut faire et faire tourner son secret est généralement le chantier d’accès à privilèges le plus rentable par lequel commencer.
Credential stuffing
Le credential stuffing est le rejeu automatisé de couples identifiant / mot de passe volés à un service contre de nombreux autres, en pariant sur la réutilisation des mots de passe. Il ne s’agit pas de deviner : les identifiants sont déjà valides quelque part, ce qui explique qu’un taux de réussite d’une fraction de pourcent suffise à être rentable à grande échelle, et que le trafic se distingue difficilement de simples échecs de connexion ordinaires. Les parades sont un mot de passe unique par service, ce qui suppose en pratique un gestionnaire de mots de passe, complété par la MFA et la surveillance des fuites pour qu’un identifiant divulgué soit changé avant que quiconque ne l’essaie ailleurs.
CSPN
La CSPN (Certification de Sécurité de Premier Niveau) est une certification de sécurité française délivrée par l’ANSSI. Elle valide qu’un produit répond à un ensemble défini d’exigences de sécurité, vérifié par un laboratoire d’évaluation accrédité. La CSPN est plus légère et plus rapide à obtenir qu’une certification Critères Communs (CC) et est largement reconnue dans les marchés publics français et les secteurs réglementés.
Cyber-assurance
La cyber-assurance est un contrat d’assurance couvrant les pertes financières et les responsabilités liées à un incident de cybersécurité (ransomware, vol de données, interruption d’activité). Les assureurs exigent de plus en plus la mise en place de contrôles de sécurité vérifiables, tels que la gestion des accès à privilèges, l’enregistrement des sessions, l’authentification forte et les politiques de mots de passe, avant d’accorder une couverture ou de réduire les primes.
Cyber Resilience Act (CRA)
Le Cyber Resilience Act est un règlement européen, en vigueur depuis décembre 2024, qui fixe des exigences de cybersécurité pour les produits comportant des éléments numériques mis sur le marché européen : matériels, logiciels et solutions de traitement de données à distance associées. Il impose une configuration sécurisée par défaut, un traitement des vulnérabilités avec divulgation coordonnée et des mises à jour de sécurité pendant une période de support définie, le tout matérialisé par le marquage CE. Ses obligations principales s’appliquent à partir de décembre 2027, les obligations de signalement des vulnérabilités dès septembre 2026. Là où NIS2 encadre la façon dont les organisations doivent fonctionner, le CRA encadre ce que les fournisseurs ont le droit de vendre.
Déplacement latéral
Le déplacement latéral (lateral movement) désigne ce que fait un attaquant après la compromission initiale : rebondir de la première machine ou du premier compte vers des cibles plus intéressantes, jusqu’à l’administrateur du domaine, l’hyperviseur ou les sauvegardes. Les techniques exploitent ce qui traîne déjà : mots de passe d’administrateur local identiques partout, identifiants en cache, comptes de service surprivilégiés, chemins réseau sans restriction entre postes et serveurs. Dans un incident de type ransomware, l’essentiel des dégâts se joue pendant cette phase et non au point d’entrée. Moindre privilège, identifiants uniques par machine, segmentation réseau et passage de tous les accès d’administration par un bastion sont ce qui casse la chaîne.
DORA
DORA (Digital Operational Resilience Act) est un règlement européen applicable depuis le 17 janvier 2025 qui harmonise les exigences de résilience opérationnelle dans le secteur financier : banques, assureurs, entreprises d’investissement, établissements de paiement, prestataires de services sur crypto-actifs et leurs fournisseurs informatiques critiques. Il couvre la gestion du risque informatique, la déclaration des incidents, les tests de résilience et surtout le risque lié aux tiers : les entités financières doivent tenir un registre de leurs prestataires informatiques et leur imposer des exigences contractuelles de sécurité. Ses attentes en matière de contrôle d’accès recoupent largement celles de NIS2 et ce que fournit déjà la gestion des accès à privilèges : authentification forte, moindre privilège et traçabilité auditable de l’activité d’administration.
Enregistrement de sessions
L’enregistrement de sessions consiste à capturer et stocker tout ce qui se passe pendant une session d’accès à privilèges (RDP, SSH, VNC ou web). Les enregistrements peuvent inclure la vidéo de l’écran, les frappes clavier, l’historique des commandes et les métadonnées telles que les horodatages et l’identité de l’utilisateur. L’enregistrement des sessions fournit une piste d’audit vérifiable pour la conformité, l’investigation post-incident et la surveillance en temps réel des actions d’administration. Heimlane Realm enregistre toutes les sessions à privilèges avec détection d’événements par OCR pour des pistes d’audit consultables.
Fatigue MFA
La fatigue MFA, aussi appelée push bombing, est une attaque dans laquelle un adversaire qui détient déjà un mot de passe valide déclenche des demandes d’authentification en rafale jusqu’à ce que l’utilisateur légitime en approuve une, par agacement, par confusion ou parce qu’il est trois heures du matin. Elle met en échec la MFA par simple approbation push, précisément parce qu’approuver ne demande rien de plus qu’un geste. Les parades sont la correspondance de nombre, qui oblige à lire un code affiché sur l’écran où l’on se connecte vraiment, la limitation du nombre de demandes, et mieux encore des authentificateurs résistants au phishing par construction comme les clés matérielles FIDO2.
FIDO2 / WebAuthn
FIDO2 est une norme d’authentification ouverte de la FIDO Alliance, et WebAuthn est l’API navigateur qui l’implémente. Au lieu d’un secret partagé, l’authentificateur (une clé matérielle type YubiKey, ou un authentificateur de plateforme comme Windows Hello ou Touch ID) détient une clé privée et signe un défi envoyé par le site. La signature est liée à l’origine du site : un domaine sosie n’obtient donc rien de réutilisable. C’est ce qui rend FIDO2 résistant au phishing par construction, contrairement au TOTP ou aux codes SMS, qu’un utilisateur peut être amené à relayer à un attaquant en temps réel. Heimlane Vault prend en charge les clés matérielles FIDO2 / WebAuthn comme second facteur sur les offres payantes.
Fournisseur d’identité (IdP)
Un fournisseur d’identité est le système qui authentifie les utilisateurs et atteste de leur identité auprès des applications, lesquelles lui font confiance plutôt que de gérer leurs propres mots de passe. Microsoft Entra ID, Okta, Google Workspace et Keycloak en sont des exemples courants. Les applications s’y intègrent via SAML 2.0 ou OpenID Connect, et la même intégration transporte généralement l’appartenance aux groupes, qui pilote ensuite les autorisations. Centraliser l’authentification est ce qui rend possibles le SSO, une politique MFA homogène et un départ traité immédiatement ; cela concentre aussi le risque, puisqu’un attaquant qui contrôle le fournisseur d’identité contrôle tout ce qui en dépend. C’est pourquoi les comptes d’administration du fournisseur d’identité lui-même sont le premier périmètre à couvrir dans un projet d’accès à privilèges.
HSM
Un HSM (hardware security module, module matériel de sécurité) est un boîtier inviolable qui génère et conserve des clés cryptographiques et effectue des opérations avec elles sans que la clé ne quitte jamais le matériel sous une forme exploitable. Les applications demandent au HSM de signer ou de déchiffrer au lieu d’emprunter la clé. Les HSM sont certifiés selon des référentiels comme FIPS 140-3 et les Critères Communs, et sont obligatoires dans le paiement, les autorités de certification et la signature électronique qualifiée. Les fournisseurs cloud les proposent en service managé, généralement sous forme de service de gestion de clés adossé à un HSM. Ils protègent les clés qui protègent tout le reste, d’où leur place à la racine des hiérarchies de clés sérieuses.
Injection d’identifiants
L’injection d’identifiants est le processus d’insertion automatique des identifiants stockés (nom d’utilisateur, mot de passe) dans une session de connexion, sans les révéler à l’utilisateur. L’utilisateur se connecte à un système cible via une solution PAM, et celle-ci récupère les identifiants dans le coffre-fort de mots de passe pour les injecter de manière transparente. Cela élimine les mots de passe partagés, empêche le vol d’identifiants par keylogger, et crée une piste d’audit complète de qui a accédé à quoi, quand, et avec quel compte. Heimlane Realm récupère les identifiants depuis Vault et les injecte dans les sessions RDP, SSH, VNC et web.
ISO 27001
ISO/IEC 27001 est la norme internationale des systèmes de management de la sécurité de l’information (SMSI). Plutôt que de prescrire une liste figée de mesures, elle demande à l’organisation d’identifier ses risques, de choisir des mesures proportionnées dans l’annexe A et de démontrer que l’ensemble est mesuré et amélioré dans la durée. La certification est délivrée par un organisme accrédité après audit, pour trois ans, avec des audits de surveillance annuels. C’est la certification la plus souvent exigée dans les achats grands comptes et les questionnaires fournisseurs. Plusieurs mesures de l’annexe A, notamment les droits d’accès à privilèges, les informations secrètes d’authentification et la journalisation, correspondent directement à ce qu’apportent un coffre-fort et une solution PAM.
Isolation de session
L’isolation de session signifie que le poste de l’administrateur ne dialogue jamais directement avec le système cible : la connexion est établie par un composant intermédiaire, et seuls des pixels et des frappes clavier circulent jusqu’à l’utilisateur. Un poste compromis ne peut donc pas atteindre le réseau du serveur, un malware ne peut pas suivre le tunnel, et l’identifiant n’est jamais présent sur le poste. L’isolation offre en outre un point de contrôle où appliquer les règles de presse-papiers et de transfert de fichiers, et où enregistrer la session. Un bastion en mode navigateur isole par construction, puisque le client est une page web et non un chemin réseau. Heimlane Realm affiche les sessions RDP, SSH et VNC dans le navigateur en HTML5 : aucune route directe du poste vers la cible n’est nécessaire.
KDF (fonction de dérivation de clé)
Une fonction de dérivation de clé transforme un mot de passe humain en une clé cryptographique de longueur fixe. Comme les mots de passe sont courts et devinables, une KDF est délibérément lente et gourmande : elle applique un grand nombre d’itérations et, dans les conceptions modernes, exige une quantité importante de mémoire, afin que chaque tentative coûte à l’attaquant du temps et du matériel réels. C’est ce qui sépare un coffre-fort chiffré volé de son contenu. Argon2id et PBKDF2 sont les deux KDF couramment utilisées pour les coffres-forts de mots de passe, scrypt et bcrypt se rencontrant également. Choisir une KDF, c’est aussi choisir ses paramètres : nombre d’itérations, coût mémoire et parallélisme. Heimlane Vault dérive la clé maîtresse côté client avec Argon2id (recommandé) ou PBKDF2.
MFA / 2FA
L’authentification multifacteur (MFA) et l’authentification à deux facteurs (2FA) exigent que les utilisateurs prouvent leur identité en utilisant au moins deux facteurs indépendants : quelque chose qu’ils connaissent (mot de passe), quelque chose qu’ils possèdent (téléphone, clé de sécurité) ou quelque chose qu’ils sont (biométrie). La MFA réduit considérablement le risque de compromission de compte par vol d’identifiants. L’OWASP et l’ANSSI recommandent toutes deux la MFA pour tous les accès à privilèges et les accès sensibles.
Moindre privilège
Le principe du moindre privilège dicte que les utilisateurs, comptes et processus ne doivent disposer que des permissions minimales nécessaires à l’exécution de leurs tâches. Appliquer le moindre privilège réduit la surface d’attaque en limitant ce qu’un compte compromis peut atteindre. Dans le contexte du PAM, le moindre privilège signifie accorder aux administrateurs l’accès uniquement aux serveurs et applications spécifiques dont ils ont besoin, pour la durée nécessaire, sans permissions permanentes.
Mot de passe maître
Le mot de passe maître est l’unique mot de passe qui déverrouille un coffre-fort. Dans une architecture zéro-connaissance, il ne quitte jamais l’appareil de l’utilisateur : il est passé localement à une fonction de dérivation de clé, qui produit la clé servant à chiffrer et déchiffrer le contenu du coffre, et le fournisseur ne stocke que du chiffré. La conséquence est absolue, et c’est justement l’objectif : personne, éditeur compris, ne peut réinitialiser le mot de passe maître ni récupérer le coffre sans lui. D’où l’importance d’une phrase de passe longue, unique, jamais réutilisée ailleurs, protégée par un second facteur et complétée par un accès d’urgence plutôt que par une copie oubliée dans un navigateur.
MSP / MSSP
Un MSP (Managed Service Provider, fournisseur de services managés) est une entreprise qui gère à distance l’infrastructure informatique d’un client : serveurs, réseaux, postes de travail et sécurité. Un MSSP (Managed Security Service Provider) se spécialise dans les opérations de sécurité. Les MSP et MSSP ont besoin d’outils nativement multi-tenants, leur permettant de gérer plusieurs clients depuis une plateforme unique tout en maintenant une isolation stricte des données entre les tenants.
NIS2
NIS2 (Network and Information Security Directive 2) est la directive européenne qui élargit les obligations de cybersécurité à un plus grand nombre d’organisations, y compris les entreprises de taille intermédiaire dans les secteurs essentiels et importants. NIS2 exige des mesures telles que le contrôle d’accès, la déclaration d’incidents, la gestion des risques, la sécurité de la chaîne d’approvisionnement et la responsabilité au niveau de la direction. L’article 21 traite spécifiquement du contrôle d’accès et de la gestion des accès à privilèges comme mesures de sécurité requises.
PAM
Le PAM (Privileged Access Management, gestion des accès à privilèges) est la discipline qui consiste à contrôler, surveiller et auditer les accès aux systèmes critiques par les utilisateurs disposant de permissions élevées (administrateurs, prestataires externes, comptes de service). Une solution PAM comprend typiquement un bastion ou une passerelle, un coffre-fort de mots de passe, l’enregistrement des sessions, des politiques d’accès et l’injection d’identifiants. Le PAM adresse le risque que les comptes à privilèges, s’ils sont compromis, donnent aux attaquants un accès direct aux systèmes les plus sensibles de l’organisation.
Passkey
Une passkey est un identifiant FIDO2 qui remplace le mot de passe au lieu de lui ajouter un second facteur. La clé privée réside dans le matériel sécurisé de l’appareil ou dans un trousseau synchronisé, et l’utilisateur la débloque par biométrie ou par code PIN : la connexion ne fait donc intervenir aucun secret partagé susceptible d’être volé, hameçonné ou réutilisé. Les passkeys résistent au phishing par construction, car l’identifiant est lié à l’origine du site et le navigateur refuse de s’en servir ailleurs. L’adoption reste inégale : excellentes là où elles existent, les passkeys restent absentes de la majorité des logiciels professionnels, qui attendent encore un mot de passe. Coffres-forts et passkeys vont donc coexister pendant des années plutôt que l’un remplacer l’autre.
Password spraying
Le password spraying essaie un petit nombre de mots de passe très courants contre un grand nombre de comptes, plutôt que de nombreux mots de passe contre un seul compte. Comme chaque compte ne voit qu’une ou deux tentatives échouées, les seuils de verrouillage ne sont jamais atteints et les tentatives se fondent dans le bruit de fond. C’est une ouverture classique contre les points d’authentification exposés : passerelles RDP, portails VPN, webmails et annuaires. La détection suppose une corrélation entre comptes plutôt que des compteurs par compte, et la parade structurelle reste la MFA associée au refus des mots de passe faibles ou déjà compromis au moment où ils sont choisis.
PBKDF2
PBKDF2 (Password-Based Key Derivation Function 2) est une fonction de dérivation de clé qui applique une fonction pseudo-aléatoire (typiquement HMAC-SHA256) à un mot de passe accompagné d’un sel, répétée sur un grand nombre d’itérations, pour produire une clé dérivée. Le nombre élevé d’itérations (600 000 est la recommandation actuelle de l’OWASP) rend les attaques par force brute coûteuses en calcul. PBKDF2 est largement supporté sur toutes les plateformes et reste le KDF par défaut des clients compatibles Bitwarden.
Phishing / adversary-in-the-middle
Le phishing consiste à obtenir les identifiants d’un utilisateur au moyen d’un message convaincant et d’une fausse page. L’adversary-in-the-middle (AiTM) en est la forme moderne : au lieu de collecter un mot de passe pour plus tard, la fausse page relaie la session vers le vrai service en temps réel, transmet le défi MFA à la victime et récupère le cookie de session obtenu. Le compte devient alors accessible sans le mot de passe et sans le second facteur. Les codes TOTP et les notifications push ne survivent pas à cette attaque ; les identifiants liés à l’origine comme FIDO2 et les passkeys y résistent, car le navigateur refuse de signer pour un domaine qui n’est pas le bon. Un gestionnaire de mots de passe aide également, puisqu’il ne remplira pas automatiquement un domaine qui ne correspond pas.
Piste d’audit
Une piste d’audit est le relevé chronologique de qui a fait quoi, quand et depuis où, conservé sous une forme opposable. Dans le domaine des accès à privilèges, elle se compose d’événements structurés (authentification, ouverture de session, cible atteinte, identifiant utilisé, fichier transféré, session fermée) plutôt que de vidéo, ce qui la rend consultable, exportable vers un SIEM et exploitable pour les rapports de conformité. Sa valeur dépend de son intégrité : les journaux doivent être écrits là où la personne journalisée ne peut pas les modifier, et conservés assez longtemps pour couvrir le délai de détection d’un incident réel, qui se compte en mois. L’enregistrement de sessions montre ce qui s’est passé à l’écran ; la piste d’audit est ce que l’on interroge.
PKI
Une PKI (public key infrastructure, infrastructure à clés publiques) est l’ensemble des autorités de certification, des processus d’enregistrement, des mécanismes de révocation et des politiques qui lient une clé publique à une identité. Elle sous-tend les certificats TLS des sites web, les certificats clients pour l’authentification des machines et des utilisateurs, la signature de code, le S/MIME et les autorités de certification SSH. La difficulté n’est pas la cryptographie mais le cycle de vie : émettre les certificats aux bonnes parties, les renouveler avant expiration et les révoquer sans délai quand une clé est compromise ou qu’une personne s’en va. Les certificats expirés restent l’une des causes les plus fiables de pannes auto-infligées.
Principe des quatre yeux
Le principe des quatre yeux exige deux personnes pour une action sensible : l’une l’exécute, l’autre l’approuve. Appliqué aux accès à privilèges, il signifie qu’une session sur un système critique ne peut pas démarrer tant qu’une seconde personne habilitée n’a pas validé la demande, et, dans ses variantes les plus strictes, qu’un superviseur observe la session en direct et peut y mettre fin. C’est le contrôle de référence partout où un administrateur seul détiendrait sinon un pouvoir sans contrepoids sur des systèmes de production ou des données financières, ce qui explique sa présence dans la réglementation bancaire et industrielle. On parle aussi de double validation ou de double contrôle.
Ransomware
Un ransomware est un logiciel malveillant qui chiffre les données d’une organisation et exige un paiement contre la clé de déchiffrement, aujourd’hui presque toujours associé à une exfiltration préalable permettant une seconde extorsion sous menace de publication. Les incidents actuels sont des opérations pilotées au clavier plutôt qu’un virus qui se propage seul : un opérateur obtient un accès, souvent via un identifiant volé ou un service RDP exposé, élève ses privilèges, se déplace latéralement, détruit les sauvegardes, et ne déclenche le chiffrement qu’ensuite. C’est pourquoi l’hygiène des identifiants, le contrôle des accès à privilèges et des sauvegardes hors ligne pèsent bien plus sur l’issue que la détection qui intervient en bout de chaîne.
RBAC
Le RBAC (Role-Based Access Control, contrôle d’accès basé sur les rôles) est une méthode de contrôle d’accès où les permissions sont attribuées à des rôles plutôt qu’à des utilisateurs individuels. Les utilisateurs sont ensuite affectés à des rôles en fonction de leur poste. Le RBAC simplifie la gestion des accès, réduit la charge administrative et facilite l’application du moindre privilège dans l’organisation. Lorsqu’un collaborateur change de fonction, ses accès évoluent avec son affectation de rôle, sans nécessiter de modifications individuelles.
RDP / SSH / VNC
Ce sont les trois protocoles d’administration à distance. RDP (Remote Desktop Protocol, Microsoft) donne un accès graphique à un poste ou à un serveur Windows. SSH (Secure Shell) ouvre une session en ligne de commande chiffrée sur les systèmes Linux, Unix et les équipements réseau, et transporte aussi des transferts de fichiers et des tunnels. VNC (Virtual Network Computing) partage un bureau graphique entre plateformes et se rencontre couramment sur les postes Linux, les hyperviseurs et les appliances. Les trois sont des cibles de choix : exposer RDP ou SSH directement sur internet attire des attaques par force brute en quelques heures, raison pour laquelle ils doivent se trouver derrière un bastion qui authentifie l’utilisateur, injecte les identifiants et enregistre la session. Heimlane Realm relaie les trois dans le navigateur en HTML5, sans logiciel client ni VPN.
RGPD
Le RGPD (Règlement Général sur la Protection des Données, ou GDPR en anglais) est le règlement européen encadrant la collecte, le traitement et le stockage des données personnelles. Il impose aux organisations de mettre en place des mesures techniques et organisationnelles appropriées pour protéger les données personnelles, incluant le chiffrement, les contrôles d’accès et la capacité à démontrer la conformité. Le RGPD s’applique à toute organisation traitant des données de résidents de l’UE, quel que soit le lieu d’établissement de l’organisation.
Rotation des mots de passe
La rotation des mots de passe consiste à changer les identifiants selon un calendrier ou après un événement déclencheur : départ d’un administrateur, fin de contrat d’un prestataire, suspicion de compromission. La rotation périodique systématique des mots de passe utilisateurs est tombée en désuétude, et le NIST comme l’ANSSI déconseillent aujourd’hui de l’imposer sans motif, car elle pousse vers des variantes prévisibles du même mot de passe. Les comptes à privilèges et les comptes partagés relèvent d’une autre logique : ces identifiants sont connus de plusieurs personnes, rarement rattachés à un individu, et les faire tourner après usage ou au départ d’une personne est le seul moyen fiable de révoquer l’accès. L’injection d’identifiants rend la pratique tenable, puisque les utilisateurs ne voient jamais le mot de passe et ne subissent pas son changement.
RSA-2048
RSA-2048 est un algorithme de chiffrement asymétrique utilisant une paire de clés (publique et privée) pour chiffrer et déchiffrer les données. La longueur de clé de 2048 bits est considérée comme sûre pour les usages actuels et est recommandée par l’ANSSI et le NIST. En gestion de mots de passe, RSA est typiquement utilisé pour le partage chiffré de données entre utilisateurs : l’expéditeur chiffre avec la clé publique du destinataire, et seule la clé privée du destinataire peut déchiffrer. Heimlane Vault utilise RSA-2048 pour le partage zéro-connaissance en équipe au sein des organisations.
SCIM
SCIM (System for Cross-domain Identity Management) est le protocole REST standard de provisionnement des comptes utilisateurs entre systèmes. Là où le SSO répond à la question « cette personne peut-elle se connecter ? », SCIM répond à « cette personne a-t-elle seulement un compte ? » : le fournisseur d’identité propage les créations de comptes, les mises à jour d’attributs, les changements de groupes et surtout les désactivations vers chaque application connectée. Sans lui, le traitement des départs repose sur la mémoire de quelqu’un quant aux outils auxquels la personne avait accès. C’est une attente courante dans les achats grands comptes et un vrai contrôle de sécurité, les comptes dormants d’anciens salariés revenant régulièrement comme cause première dans les rapports d’incidents.
SecNumCloud
SecNumCloud est la qualification délivrée par l’ANSSI aux prestataires de services cloud. Elle va au-delà des mesures techniques : elle impose des exigences sur la structure juridique du prestataire, qui doit être immunisé contre les lois extraterritoriales non européennes comme le CLOUD Act, ainsi que sur la localisation des données, de l’administration et du support. C’est la référence des achats cloud du secteur public français dans le cadre de la doctrine « cloud de confiance », et de plus en plus celle des opérateurs d’importance vitale et des secteurs régulés. La qualification est exigeante et détenue par un petit nombre de prestataires, ce qui en fait un vrai facteur de différenciation plutôt qu’une case à cocher.
Sécurisation des accès
La sécurisation des accès désigne l’ensemble des mesures techniques et organisationnelles visant à protéger l’accès aux ressources d’un système d’information. Cela inclut l’authentification forte, le contrôle d’accès basé sur les rôles (RBAC), le principe du moindre privilège, l’enregistrement des sessions, et la gestion des accès à privilèges (PAM). Une sécurisation efficace des accès protège contre les accès non autorisés, les compromissions de comptes et les mouvements latéraux au sein du réseau.
Shadow IT
Le shadow IT désigne tout logiciel, service ou appareil utilisé pour le travail sans que la DSI en ait connaissance ou l’ait approuvé : un compte personnel de partage de fichiers, un abonnement SaaS d’équipe payé par carte, un assistant IA auquel on confie des données de l’entreprise. Il prospère parce que les outils officiels sont plus lents ou inexistants, non par malveillance. La conséquence est que des identifiants et des données se retrouvent dans des systèmes que personne ne surveille, qu’aucun processus de départ ne peut révoquer et qu’aucun plan de réponse à incident ne couvre. Fournir des outils réellement plus pratiques que l’alternative sauvage, et un coffre-fort où les identifiants restent visibles de l’organisation, en traite plus qu’une interdiction.
SIEM
Un SIEM (security information and event management) collecte les journaux de l’ensemble du système d’information, les normalise, corrèle les événements entre sources et déclenche des alertes sur des schémas qu’aucune source ne révélerait à elle seule. C’est l’outil dans lequel vit une équipe sécurité, et généralement le système de référence pour la conservation des journaux et l’investigation des incidents. Y verser les événements d’accès à privilèges, à savoir qui a ouvert quelle session, sur quelle cible et avec quel compte, est ce qui rend l’activité d’administration visible au même titre que le reste, le plus souvent via syslog, une API ou un export au format CEF. Splunk, Elastic, Microsoft Sentinel et Wazuh en sont des exemples courants.
SOC 2
SOC 2 est un cadre d’audit américain défini par l’AICPA, qui rend compte des contrôles d’un prestataire de services au regard de cinq critères de confiance : sécurité, disponibilité, intégrité du traitement, confidentialité et protection de la vie privée. Un rapport de type I évalue la conception des contrôles à un instant donné ; un rapport de type II teste leur efficacité opérationnelle sur une période, généralement de six à douze mois, et c’est celui que les acheteurs veulent réellement voir. Contrairement à ISO 27001, il produit un rapport d’auditeur et non une certification, et c’est l’exigence habituelle des achats nord-américains là où les acheteurs européens demandent ISO 27001.
Souveraineté numérique
La souveraineté numérique désigne la capacité d’une organisation ou d’un État à contrôler son infrastructure numérique, ses données et ses choix technologiques, sans dépendance vis-à-vis de fournisseurs ou de juridictions étrangères. En cybersécurité, la souveraineté numérique implique l’hébergement des données au sein de l’UE, l’utilisation de solutions développées en Europe, et la garantie qu’aucun gouvernement étranger ne puisse contraindre l’accès aux données des clients via des lois extraterritoriales telles que le CLOUD Act américain.
SSO
Le SSO (Single Sign-On, authentification unique) permet aux utilisateurs de s’authentifier une seule fois pour accéder à plusieurs applications, sans ressaisir leurs identifiants. Le SSO améliore l’expérience utilisateur et réduit la fatigue liée aux mots de passe, mais il concentre aussi le risque : si le fournisseur SSO est compromis, toutes les applications connectées sont exposées. Le SSO est généralement implémenté via des protocoles tels que SAML 2.0 ou OpenID Connect.
Surveillance des fuites de données
La surveillance des fuites consiste à vérifier si une adresse e-mail, un domaine ou un mot de passe apparaît dans des fuites de données et des dumps d’identifiants connus, diffusés publiquement ou sur les marchés criminels. Elle compare vos identifiants à des corpus agrégés comme Have I Been Pwned, normalement via un mécanisme de k-anonymat afin que le service n’apprenne jamais le mot de passe complet vérifié. Une correspondance ne signifie pas que votre coffre-fort a été compromis : elle signifie qu’un identifiant que vous utilisez quelque part est public et doit être changé. Heimlane Vault propose la vérification manuelle des fuites sur l’offre gratuite, et des vérifications automatiques et groupées sur les offres payantes, pour que les identifiants exposés remontent avant que quelqu’un ne s’en serve.
TLS 1.3
TLS 1.3 (Transport Layer Security, version 1.3) est la version la plus récente du protocole sécurisant les communications sur Internet. Par rapport à TLS 1.2, il supprime les suites de chiffrement obsolètes, réduit la négociation à un seul aller-retour (améliorant les performances) et impose le Perfect Forward Secrecy (PFS), ce qui signifie que même si la clé privée du serveur est compromise dans le futur, les sessions passées ne peuvent pas être déchiffrées.
TOTP
Le TOTP (Time-based One-Time Password, défini par la RFC 6238) est la norme derrière les codes à six chiffres qui défilent dans les applications d’authentification. Le service et l’application partagent une seule fois un secret, généralement en scannant un QR code, puis chacun dérive de son côté le même code à partir de ce secret et de l’heure courante, par fenêtres de 30 secondes en général. Plus rien ne circule entre eux ensuite : le TOTP fonctionne hors ligne et ne dépend pas du SMS, vulnérable au SIM swapping. Le TOTP bloque les attaques par mot de passe volé ou réutilisé, mais pas le phishing en temps réel : un code saisi sur une fausse page de connexion peut être rejoué par l’attaquant pendant sa durée de validité, raison pour laquelle les clés matérielles FIDO2 / WebAuthn restent préférables sur les comptes les plus sensibles. Heimlane Vault intègre un authentificateur : le secret TOTP est stocké sur l’identifiant concerné et le code est généré au moment voulu. Notre décodeur d’export Google Authenticator gratuit permet par ailleurs de récupérer des secrets existants depuis Google Authenticator pour les importer dans le coffre-fort ou dans n’importe quel autre outil.
Zéro-connaissance
L’architecture zéro-connaissance (zero knowledge en anglais) signifie que le fournisseur du service n’a aucune capacité d’accéder, de lire ou de récupérer les données des clients. Tout le chiffrement et le déchiffrement s’effectuent sur l’appareil de l’utilisateur (côté client), et le fournisseur ne stocke que du texte chiffré. Même en cas de compromission des serveurs du fournisseur, l’attaquant n’obtient que des données chiffrées, impossibles à déchiffrer sans le mot de passe maître de l’utilisateur. Le fournisseur ne peut pas réinitialiser les mots de passe ni récupérer les coffres-forts, car il ne détient jamais les clés de déchiffrement.
Zero trust
Le zero trust est un modèle de sécurité fondé sur le principe “ne jamais faire confiance, toujours vérifier.” Au lieu de supposer que les utilisateurs ou les appareils à l’intérieur du périmètre réseau sont de confiance, le zero trust exige une vérification continue de l’identité, de l’état de l’appareil et du contexte pour chaque demande d’accès. Les architectures zero trust combinent typiquement une authentification forte, la micro-segmentation, l’accès au moindre privilège et la surveillance continue. Le ZTNA (Zero Trust Network Access) implémente ce modèle pour l’accès distant aux applications et aux ressources.
ZTNA
Le ZTNA (Zero Trust Network Access) remplace les VPN traditionnels en fournissant un accès au niveau applicatif, basé sur l’identité et le contexte, plutôt qu’un accès au niveau réseau. Contrairement à un VPN, qui donne un accès large à l’ensemble d’un réseau, le ZTNA n’accorde l’accès qu’aux applications spécifiques que l’utilisateur est autorisé à utiliser. Le ZTNA fournit la couche de connectivité, tandis que le PAM fournit la couche de gouvernance : qui a accédé à quoi, quand, avec quels identifiants, et ce qu’il a fait pendant la session.