La réponse courte : quelle méthode pour quelle situation
La plupart des conseils sur le partage de mots de passe opposent des outils. La question utile est plus simple : combien de temps cet identifiant doit-il vivre, et qui en a besoin ? Répondez-y et la méthode s’impose d’elle-même.
| Situation | Méthode | Pourquoi |
|---|---|---|
| Un identifiant que toute l’équipe utilise pendant des mois (compte SaaS partagé, compte de service) | Coffre-fort partagé dans un gestionnaire de mots de passe | Il doit rester à jour, être renouvelé à un seul endroit et être retiré aux personnes qui partent. |
| Une transmission ponctuelle (premiers identifiants d’une nouvelle recrue, mot de passe administrateur d’un client, chaîne de connexion à une base de données pour un prestataire) | Lien secret à usage unique | La valeur est lue une fois, puis détruite. Rien ne reste dans une boîte de réception ni dans un historique de messagerie. |
| Un mot de passe pour quelqu’un qui n’a pas accès à votre coffre-fort (client, fournisseur, freelance) | Lien secret à usage unique, phrase de passe envoyée à part | Vous ne pouvez pas inviter des personnes extérieures dans le coffre-fort de l’entreprise ; un lien et une phrase de passe transmise par un autre canal ne leur demandent aucun compte. |
| Une clé Wi-Fi ou un code de porte, en personne | Le dire à voix haute | Aucune copie n’est créée. Cela ne passe pas à l’échelle et les fautes de frappe arrivent, mais pour une seule valeur, cela suffit. |
| Pour tout, toujours | Jamais l’e-mail, Slack, Teams ou les SMS | Tous les quatre gardent une copie consultable que vous ne maîtrisez pas. Voir pourquoi ce sont les pires canaux. |
Les 5 méthodes de partage de mots de passe en équipe, comparées
Chacune des méthodes ci-dessous est utilisée tous les jours quelque part. Le tableau les compare sur ce qui compte une fois le mot de passe envoyé, car c’est à ce moment-là que les problèmes surviennent.
| Méthode | Qui peut le lire plus tard | Durée de conservation | Révocable | Traçabilité | Effort pour le destinataire | Idéal pour |
|---|---|---|---|---|---|---|
| Coffre-fort d’un gestionnaire de mots de passe | Les membres du coffre-fort qui y ont accès | Jusqu’à ce que vous le renouveliez ou le supprimiez | Oui (retrait de l’accès) | Oui (journal des événements sur les forfaits équipe) | Un compte et une invitation | Identifiants durables de l’équipe |
| Lien secret à usage unique | Uniquement la première personne qui l’ouvre | Jusqu’à la première ouverture ou l’expiration (LinkPilot : 1 heure, 24 heures ou 7 jours sur tous les forfaits avec connexion, une date et une heure au choix avec Pro ; 7 jours par défaut pour l’outil sans compte) | Oui, tant qu’il n’a pas été ouvert | Oui (création, ouverture, destruction, révocation) | Aucun : un lien et, avec Pro, une phrase de passe | Transmissions, arrivée des nouvelles recrues, personnes extérieures |
| Messagerie (Slack, Teams, Signal) | Membres du canal, administrateurs, futurs arrivants, exports | Par défaut, toute la durée de vie de l’espace de travail sur les forfaits payants de Slack | La suppression retire une copie ; les exports et les captures d’écran restent | Partielle (audit côté administrateur, pas par secret) | Aucun | Rien de sensible : envoyez le lien, jamais la valeur |
| Les deux boîtes aux lettres, les deux fournisseurs, les sauvegardes, chaque appareil synchronisé | Indéfiniment | Non | Non | Aucun | Transporter le lien vers un secret, jamais le secret | |
| Oral, téléphone ou SMS | À l’oral : personne. SMS : les deux téléphones et l’opérateur | À l’oral : aucune. SMS : indéfiniment | Non | Non | Faible, mais sujet aux fautes de frappe | Une seule valeur, en personne |
Vérifié le 02/10/2026. La conservation par défaut de Slack et les chiffres sur l’échange frauduleux de carte SIM sont cités dans les sources à la fin de ce guide ; le fonctionnement de LinkPilot correspond à la page sur l’architecture de sécurité.
Coffres-forts partagés dans un gestionnaire de mots de passe
Pour les identifiants qui vivent des mois, le coffre-fort partagé d’un gestionnaire de mots de passe (1Password, Bitwarden, Keeper, Psono et d’autres) est le bon choix par défaut. Le mot de passe se trouve à un seul endroit, son renouvellement le met à jour pour tout le monde, l’accès s’accorde par collection, un départ se règle en retirant une licence, et les forfaits équipe ajoutent un journal des événements. La contrepartie : toute personne qui a besoin du mot de passe doit être dans le coffre-fort. On ne peut donc pas remettre un élément du coffre-fort à un client, à un freelance ou à une nouvelle recrue dont le compte n’est pas encore créé.
Un lien chiffré à usage unique
Pour le moment de la transmission, le lien secret à usage unique est le bon outil. Collez le mot de passe, récupérez une URL et envoyez-la par le canal que vous utilisez déjà. Le destinataire l’ouvre une fois ; le contenu s’affiche puis est détruit, et l’URL qui reste dans la conversation ne mène plus à rien. Ajoutez une expiration courte pour qu’un lien non ouvert meure de lui-même, et une phrase de passe transmise par un second canal pour qu’un lien intercepté seul ne serve à rien. Vous pouvez en créer un tout de suite, sans compte ; LinkPilot vs Password Pusher et comment partager des clés API en toute sécurité appliquent le même mécanisme aux jetons.
Messagerie (Slack, Teams, Signal)
La messagerie paraît éphémère, et c’est tout l’inverse. La documentation de Slack indique elle-même que sur les forfaits payants, « les données sont conservées par défaut pendant toute la durée de vie de votre espace de travail », et les propriétaires de l’espace de travail peuvent les exporter. Teams et Google Chat relèvent de politiques de conservation et d’eDiscovery conçues pour que les messages ne puissent pas disparaître. Signal fait mieux, avec des messages éphémères et aucun historique côté serveur, mais il reste une copie sur deux téléphones, avec des captures d’écran et des sauvegardes que vous ne maîtrisez pas. Enfin, toutes les applications de messagerie génèrent un aperçu des liens dès qu’ils sont publiés : un lien à usage unique doit donc être conçu pour qu’un aperçu ne puisse pas le détruire.
Un mot de passe envoyé par e-mail reste en texte en clair sur le serveur de messagerie de l’expéditeur, sur celui du destinataire, dans les sauvegardes des deux et sur chaque appareil qui a synchronisé la boîte. Il survit au transfert, à l’archivage et au piratage du compte, et une fuite de la boîte des années plus tard expose tous les identifiants qui y sont passés. L’e-mail convient très bien pour transporter un lien vers un secret ; il ne convient jamais pour y mettre le secret.
Oral, téléphone et SMS
Lire un mot de passe à voix haute dans la même pièce ne crée aucune copie : c’est la seule méthode de cette page qui ne laisse aucune trace, et la seule qui ne passe pas à l’échelle. Le SMS en est le cousin dangereux : le message reste sur les deux téléphones et dans les registres de l’opérateur, et les numéros de téléphone se font voler. L’Internet Crime Complaint Center du FBI a enregistré 1 611 plaintes pour échange frauduleux de carte SIM, avec plus de 68 millions de dollars de pertes, pour la seule année 2021, contre 320 plaintes sur l’ensemble des années 2018 à 2020. Le SMS est acceptable pour une phrase de passe courte, inutile sans le lien transmis séparément ; il ne l’est pas pour le mot de passe lui-même.
Pourquoi l’e-mail, Slack et les SMS sont les pires canaux
L’e-mail, la messagerie et les SMS ont en commun une propriété qui les disqualifie : ce sont des systèmes de conservation. Chacun est conçu pour garder une copie fidèle de chaque message, pour toujours, à des endroits que vous ne voyez pas. Un mot de passe collé dans l’un d’eux est, en pratique, publié pour votre futur attaquant. En détail :
- Conservation indéfinie. Slack conserve par défaut les données des espaces de travail payants pendant toute leur durée de vie ; les serveurs de messagerie gardent les e-mails jusqu’à ce que quelqu’un les supprime, et les sauvegardes encore plus longtemps.
- Accès des administrateurs et exports. Les propriétaires d’un espace de travail peuvent exporter l’historique de la messagerie, et les administrateurs de messagerie peuvent ouvrir n’importe quelle boîte, sans l’autorisation de l’expéditeur.
- eDiscovery et conservation légale. Une conservation légale sert précisément à empêcher la suppression des messages. Un mot de passe qui s’y trouve ne peut plus être retiré.
- Transferts et captures d’écran. Chaque copie peut être copiée à nouveau ; le nombre d’endroits où se trouve un mot de passe en clair ne fait qu’augmenter.
- Aperçus de liens et analyseurs de sécurité. Les applications de messagerie et les passerelles de messagerie électronique récupèrent chaque URL dès sa publication. Un lien secret mal conçu est détruit par le robot d’aperçu avant que la personne ne l’ouvre. Voir comment LinkPilot l’évite.
- Échange frauduleux de carte SIM et regards indiscrets pour les SMS, sans compter la copie conservée par l’opérateur.
La solution n’est pas un meilleur outil de messagerie : c’est de changer ce qui transite par le canal, un pointeur qui meurt et non la valeur. Pour aller plus loin : pourquoi les URL laissent fuiter des informations sensibles.
Gestionnaire de mots de passe ou lien à usage unique : lequel choisir ?
Ils se complètent au lieu de se concurrencer. Le coffre-fort sert au stockage, le lien à usage unique à la transmission. Le coffre-fort garde l’identifiant aussi longtemps que l’équipe en a besoin ; le lien le fait parvenir à quelqu’un, une fois, sans rien laisser derrière lui.
Si un identifiant doit servir régulièrement au sein de votre organisation, partagez l’élément du coffre-fort. S’il doit parvenir à une seule personne, une seule fois, surtout à quelqu’un qui n’a pas accès à votre coffre-fort, envoyez un lien à usage unique. L’erreur est d’utiliser l’e-mail ou la messagerie pour l’une ou l’autre de ces tâches. Pour aller plus loin : liens secrets ou gestionnaires de mots de passe.
Comment fonctionne réellement un lien secret à usage unique
Pas de promesse de « chiffrement de niveau militaire » ici. Voici le modèle réel ; il correspond ligne pour ligne à notre page architecture de sécurité, et en cas de désaccord, c’est cette page qui fait foi.
Le chiffrement a lieu dans votre navigateur
Depuis le 29 septembre 2026, le contenu est chiffré côté client en AES-GCM-256 avec une clé de 256 bits générée dans votre navigateur, avant tout envoi. Ce qui nous parvient est du texte chiffré, stocké dans une table secret_links isolée des tables de statistiques de clics. Les fichiers joints sont chiffrés de la même façon avec une clé dérivée de celle du secret : un seul lien ouvre les deux. Détails techniques : le chiffrement côté client pour le partage de secrets.
La clé se trouve dans la partie du lien située après le #
Le lien de partage a la forme shrd.link/s/<slug>#k=<key>. Tout ce qui suit le # est la clé de déchiffrement, et les navigateurs n’envoient jamais cette partie du lien à un serveur : ni à nous, ni au CDN qui sert la page d’affichage. Nous ne recevons jamais la clé : nous ne pouvons donc ni lire le secret, ni le récupérer si le lien est perdu, ni reconstituer l’URL plus tard. Pour le dire clairement : qui détient le lien complet détient la clé.
La phrase de passe ajoute un second facteur
Avec Pro, la phrase de passe est étirée avec PBKDF2-SHA256 (210 000 itérations) puis combinée à la clé du lien par HKDF-SHA256 : ni le lien seul ni la phrase de passe seule ne déchiffrent le secret. Par ailleurs, un hash SHA-256 de la phrase de passe est envoyé pour que le serveur puisse refuser de renvoyer le texte chiffré à qui ne la connaît pas ; la phrase de passe en clair n’est jamais écrite dans notre base de données ni dans nos journaux. Les tentatives sont limitées à 5 par adresse IP, par minute et par secret, et chaque échec est inscrit dans le journal d’audit. À titre de comparaison, la norme NIST SP 800-63B exige que les secrets mémorisés stockés soient salés et hachés avec une fonction de dérivation de clé comme PBKDF2, avec au moins 10 000 itérations.
La destruction après lecture est atomique
Un lien à destruction après lecture laisse au destinataire une seule chance de voir le contenu. L’ouverture est enregistrée par une seule fonction de base de données avec verrouillage de ligne : deux personnes qui ouvrent le lien au même instant ne peuvent pas le lire toutes les deux. Une fois la limite d’ouvertures atteinte, le statut passe à « détruit » et le contenu stocké est écrasé par [REDACTED] ; les visites suivantes reçoivent une réponse HTTP 410 et une page claire indiquant « déjà consulté ». Les secrets expirés ou révoqués sont écrasés de la même façon, et il n’existe volontairement aucune restauration.
Les aperçus de liens ne peuvent pas le détruire
Un GET sur le point d’accès d’affichage ne renvoie que des métadonnées : le statut et la nécessité ou non d’une phrase de passe. Une ouverture n’est enregistrée que lors du POST explicite qu’une personne déclenche en cliquant sur Afficher, et chaque réponse d’affichage porte Cache-Control: no-store. Les applications de messagerie et les passerelles de sécurité de messagerie électronique récupèrent les liens par de simples requêtes GET : leurs aperçus ne voient rien et ne détruisent rien. Un test à faire vous-même : scanners de liens et secrets à usage unique.
Ce que nous voyons encore : trois limites, en toute franchise
- Les secrets créés avant le 29 septembre 2026 étaient stockés en texte en clair jusqu’à leur expiration. Ils n’ont jamais été réécrits en silence : ils ont continué de fonctionner comme avant et ont disparu à leur expiration. Un opérateur aurait pu en lire un tant qu’il était actif. Les pièces jointes importées avant cette date sont restées stockées sous forme de fichiers non chiffrés.
- Qui détient le lien complet détient la clé. Le chiffrement côté client nous place hors du périmètre de confiance, nous, notre base de données et nos serveurs de périphérie. Il ne protège pas un lien qui a été transféré, capturé en image ou enregistré dans un journal du côté du destinataire.
- Le nom, la taille et le type d’un fichier restent visibles pour nous. Ce sont des colonnes de métadonnées ; le contenu, lui, ne l’est pas. Pour chaque tentative d’affichage, nous conservons aussi un horodatage, une adresse IP hachée (SHA-256 avec un sel renouvelé chaque jour, tronquée), une géolocalisation approximative et l’agent utilisateur, mais jamais le secret, la phrase de passe en clair ni l’adresse IP brute, et aucun cookie chez le destinataire.
Traçabilité et conformité : ce que demande un auditeur
Quand des identifiants changent de mains, un auditeur pose trois questions : qui a envoyé quoi à qui, cela a-t-il été ouvert, et pouvez-vous prouver que tout a disparu ? Le coffre-fort répond à la première pour les personnes internes ; un lien à usage unique avec historique d’audit répond aux trois pour la transmission.
- Événements par secret. Chaque secret a son propre historique (création, ouverture, échec de phrase de passe, destruction, expiration, révocation), chaque événement avec un horodatage et une adresse IP hachée. Une ouverture inattendue est une interception dont vous n’auriez jamais rien su autrement : renouvelez l’identifiant.
- Preuve de non-conservation. Le contenu détruit, expiré ou révoqué est écrasé dans la base de données, pas seulement marqué. « Le mot de passe n’existe plus nulle part » repose sur cet écrasement, pas sur une promesse.
- Minimisation des données. Pas d’adresse IP brute, pas de cookie chez le destinataire, aucun contenu de secret dans les statistiques ni dans les fonctions d’IA ; les traitements sont séparés au niveau des données et du code. Notre page RGPD décrit notre position et la page de transparence couvre les demandes que nous recevons.
- Un périmètre honnête. LinkPilot ne revendique aucune attestation SOC 2, HIPAA ou PCI DSS pour les liens secrets. Considérez-le comme un canal de transmission maîtrisé au sein de votre propre programme de conformité, celui qui remplace l’e-mail et la messagerie, et non comme un système de référence certifié.
Les conditions des forfaits, pour que personne ne découvre une limite après coup : le forfait Free comprend 5 liens secrets actifs avec destruction après lecture et l’expiration par défaut ; la phrase de passe, l’expiration personnalisée et l’historique d’audit complet sont inclus dans Pro, à 29 $ par mois ; la révocation nécessite un compte, car l’outil sans compte n’a pas de tableau de bord. Détails sur la page Tarifs.
Si vous êtes infogérant : arrivées, transmissions et départs
Un infogérant (MSP) partage des identifiants dans trois situations récurrentes, et chacune a sa propre forme. Le tableau indique la méthode adaptée, selon le même raisonnement que le reste de ce guide : la durée de vie de l’identifiant et les personnes qui en ont besoin.
| Situation | Méthode | Pourquoi |
|---|---|---|
| Arrivée d’un client : le premier mot de passe administrateur, l’accès à un routeur, un compte d’administrateur général M365 | Lien secret à usage unique, phrase de passe envoyée par téléphone ou SMS | Le client n’a pas de place dans votre coffre-fort. Un lien détruit à la première lecture ne laisse rien dans sa boîte de réception, et la phrase de passe envoyée par un second canal rend inutile un e-mail intercepté seul. |
| Transmission d’identifiants entre vos propres techniciens (un ticket qui change de mains, un changement d’astreinte) | Coffre-fort partagé pour l’identifiant permanent ; lien à usage unique pour la nouvelle valeur après renouvellement | Le coffre-fort garde la valeur actuelle à un seul endroit. Quand vous la renouvelez, la nouvelle valeur circule une fois, puis elle est détruite. |
| Départ d’un client ou d’un technicien | Renouveler dans le coffre-fort, puis retirer l’accès ; révoquer depuis le tableau de bord les liens non lus | Un lien jamais ouvert est un identifiant encore en transit. Le révoquer est plus rapide que de se demander s’il a été lu. |
| Preuves pour un audit ou un questionnaire de sécurité client | L’historique par secret (Pro) | Création, ouverture, destruction, expiration et révocation, chacune horodatée, répondent à la question « qui a eu accès, et quand » sans fouiller la messagerie. |
Deux remarques pratiques. D’abord, l’application LinkPilot pour Slack crée des secrets à usage unique depuis le canal où vos techniciens travaillent déjà : l’habitude du lien ne dépend pas de la mémoire d’un site web. Ensuite, le générateur de liens secrets à usage unique gratuit ne demande aucun compte, ce qui est utile quand le personnel d’un client doit vous envoyer un mot de passe : envoyez-lui le lien vers l’outil, pas une demande de coller le mot de passe dans la messagerie.
Une politique de partage des mots de passe à copier
Dans les petites équipes, la plupart des fuites d’identifiants viennent des habitudes, pas des attaquants. Six règles suffisent à changer ces habitudes ; copiez-les telles quelles dans votre manuel interne.
Politique de partage des identifiants
- Les mots de passe, clés API, jetons et chaînes de connexion ne sont jamais écrits dans un e-mail, une messagerie ou un SMS. Pas une seule fois, pas « juste pour cette fois ».
- Les identifiants partagés durables sont dans le coffre-fort de l’équipe. On partage l’élément du coffre-fort, pas la valeur.
- Les transmissions ponctuelles passent par un lien secret à usage unique, avec l’expiration la plus courte possible et la destruction après lecture activée.
- Le lien et la phrase de passe passent par des canaux différents (le lien par e-mail, la phrase de passe par téléphone ou par message privé), et une phrase de passe n’est jamais réutilisée.
- À l’arrivée d’une nouvelle recrue, ses premiers identifiants lui parviennent par des liens à usage unique et sont renouvelés à la première connexion. En cas de changement de poste ou de départ, l’accès au coffre-fort est ajusté le jour même et tout identifiant que la personne détenait hors du coffre-fort est renouvelé.
- Tout ce qui a été collé un jour dans une messagerie ou un e-mail est renouvelé la prochaine fois qu’on y touche, et le message est supprimé. Toute ouverture inattendue dans l’historique d’un secret entraîne un renouvellement immédiat.
Les fournisseurs et les prestataires sont traités de la même façon, avec un ajout : dans le coffre-fort, leurs identifiants ont une date d’expiration égale à la fin du contrat et sont renouvelés une fois cette date passée.
Créer dès maintenant un lien à usage unique pour un mot de passe
Collez le mot de passe, choisissez une expiration, envoyez le lien. Aucun compte n’est nécessaire pour un secret simple ; un compte ajoute la révocation et l’historique, et Pro ajoute la phrase de passe et l’expiration personnalisée.
Sources
- Slack : personnaliser les politiques de conservation des messages et des fichiers (« les données sont conservées par défaut pendant toute la durée de vie de votre espace de travail »)
- FBI IC3 : les criminels multiplient les fraudes à l’échange de carte SIM pour voler des millions de dollars au public américain (avis au public, 8 février 2022)
- NIST SP 800-63B : lignes directrices sur l’identité numérique, authentification et gestion du cycle de vie, §5.1.1.2 vérificateurs de secrets mémorisés
- Bitwarden : à propos de Send (Send de texte et de fichiers, expiration, nombre d’accès)
- LinkPilot : architecture de sécurité (la description de référence du modèle ci-dessus)