Identifiants MSP : 7 façons de sécuriser l’accès client

Sept pratiques qui s’appuient sur l’avis conjoint de cybersécurité de 2022 destiné aux fournisseurs de services gérés (MSP), éliminent la recherche d’informations d’identification dans de nombreux billets et vous permettent de montrer à vos clients qui a accédé à leurs systèmes.

12 novembre 2026

Steven Lafortune

Conservez les informations d’identification de chaque client dans un coffre distinct, donnez aux techniciens l’accès aux seuls clients qu’ils servent, injectez les informations d’identification au moment de la connexion au lieu de les partager, protégez le coffre avec l’authentification multifacteur (MFA) et considérez les journaux d’accès par technicien comme faisant partie de vos journaux les plus importants, en les conservant au moins six mois. Vous appliquez ainsi les recommandations sur le moindre privilège et la journalisation de l’avis conjoint de 2022 destiné aux fournisseurs de services gérés (MSP), et vous éliminez les recherches manuelles qui grugent votre temps facturable.

Pourquoi la gestion des informations d’identification est un problème à la taille d’un MSP

Un MSP détient un accès administrateur à de nombreuses organisations à la fois. Il devient donc une cible efficace : en compromettant un seul fournisseur, un attaquant peut atteindre tous les clients qu’il gère. En mai 2022, les agences de cybersécurité des États-Unis, du Royaume-Uni, du Canada, de l’Australie et de la Nouvelle-Zélande ont publié un avis conjoint qui mettait en garde contre cette tendance précise.

Au quotidien, dans bien des MSP, la réalité est moins spectaculaire, mais tout aussi coûteuse.

Les informations d’identification sont dispersées

L’accès d’un même client est réparti entre un chiffrier, une page de wiki, le gestionnaire de mots de passe personnel d’un technicien et un vieux billet. Personne ne sait quelle copie est à jour, et chaque copie est une chose de plus à protéger.

Chaque recherche est du temps non facturable

Trouver les détails du VPN, puis le mot de passe, puis taper les deux ajoute des minutes à de nombreux billets. Multiplié par toute une équipe sur un mois, c’est du temps que le MSP paie et qu’il ne peut pas facturer.

Les techniciens voient plus que nécessaire

Quand tout le monde peut tout ouvrir, un seul compte de technicien compromis expose tous les clients. Il devient aussi impossible de démontrer le moindre privilège, pourtant une recommandation clé pour les MSP.

Les clients demandent des preuves

L’avis demande aux clients de s’assurer que les comptes de leur MSP sont surveillés et audités. Attendez-vous donc à ce que vos clients, leurs auditeurs et leurs assureurs en cybersécurité vous demandent lesquels de vos employés ont accédé à leurs systèmes, et quand. Un chiffrier partagé ne peut pas répondre à cette question.

Sept pratiques de gestion des informations d’identification pour les MSP

Donnez à chaque client son propre coffre. Séparez les connexions et les informations d’identification de chaque client, afin de pouvoir accorder, réviser et révoquer l’accès client par client.
Accordez l’accès par client et mettez-le à jour quand les rôles changent. Les techniciens ne devraient atteindre que les clients qu’ils servent. L’avis conjoint de 2022 recommande d’appliquer le moindre privilège partout et de mettre à jour les privilèges rapidement quand les rôles administratifs changent.
Injectez les informations d’identification au lieu de les partager. Quand les connexions s’ouvrent avec les informations d’identification déjà remplies, les techniciens ne copient pas, ne collent pas et ne conservent pas les mots de passe des clients.
Gardez les détails de connexion avec les informations d’identification. Enregistrez les détails du VPN, de la passerelle et de l’hôte du client dans la même entrée, pour qu’un technicien passe du billet à la session en une seule étape.
Protégez le coffre avec la MFA. La plateforme qui contient les informations d’identification de tous vos clients ne devrait jamais être à un seul mot de passe d’une fuite.
Journalisez les accès par technicien et conservez les journaux. Notez qui a ouvert quelle entrée client, et quand. L’avis conjoint recommande de conserver les journaux les plus importants au moins six mois; vérifiez que votre durée de conservation respecte ce seuil.
Surveillez les expirations et gérez les départs rapidement. Recevez une notification avant que les informations d’identification des clients et d’autres entrées n’expirent, et retirez l’accès d’un technicien qui part en un seul endroit, le jour de son départ.

Chiffriers, gestionnaires de mots de passe personnels ou plateforme centrale

Question	Chiffrier ou wiki	Gestionnaire de mots de passe personnel de chaque technicien	Plateforme centrale de connexions et d’informations d’identification
Séparation par client?	Seulement par onglet ou par page	Dépend de chaque personne	Un coffre par client
Moindre privilège?	Quiconque a le fichier voit tout	Aucun contrôle central	Accès par client, par rôle ou par groupe
Les techniciens voient-ils les mots de passe?	Oui	Oui	Non, grâce à l’injection des informations d’identification
Qui a accédé aux systèmes d’un client?	Inconnu	Inconnu	Piste d’audit par technicien
Départ d’un technicien	Changer tous les mots de passe qu’il a vus	Compter sur chacun pour supprimer ses copies	Retirer l’accès une seule fois
Temps entre le billet et la session	Chercher, copier, coller	Chercher, remplir automatiquement	Un clic, VPN compris

Comment Devolutions Remote Desktop Manager (RDM) soutient ces pratiques

Remote Desktop Manager répond aux sept pratiques ci-dessus (édition Team avec un espace de travail infonuagique ou auto-hébergé) :

Un coffre par client dans un espace de travail Devolutions Cloud ou Devolutions Server, avec des permissions par coffre, par dossier ou par entrée.
Un contrôle d’accès basé sur les rôles, avec des groupes d’utilisateurs que Devolutions Server peut lier à des groupes Active Directory ou importer depuis des fournisseurs d’identité comme Microsoft Entra ID, Okta ou PingOne.
L’injection des informations d’identification au lancement des sessions, dans une seule application qui couvre RDP, SSH, le Web et plus de 150 protocoles au total.
La gestion intégrée des VPN Microsoft, Cisco, SonicWall et IPsec.
La MFA avec Duo, YubiKey ou toute application TOTP.
Une piste d’audit, un audit de l’utilisation des mots de passe et l’exportation de rapports en CSV, ainsi que des notifications pour les entrées expirées et sur le point d’expirer.

Vous voulez voir comment RDM traite un billet client typique, de l’ouverture à la connexion? Réservez une démo en direct, téléchargez RDM ou consultez les prix.

Foire aux questions

Comment un MSP devrait-il stocker les mots de passe de ses clients?

Un MSP devrait stocker les mots de passe de ses clients dans une plateforme centrale et chiffrée, avec un coffre distinct pour chaque client, un accès accordé uniquement aux techniciens qui servent ce client, la MFA sur la plateforme et une piste d’audit par technicien. Les chiffriers, les wikis et les gestionnaires de mots de passe personnels ne permettent pas d’appliquer ni de prouver tout cela de façon fiable.

Que recommande l’avis conjoint de 2022 aux MSP?

L’avis conjoint AA22-131A, publié en mai 2022 par les agences de cybersécurité des États-Unis, du Royaume-Uni, du Canada, de l’Australie et de la Nouvelle-Zélande, recommande aux MSP d’imposer la MFA, d’appliquer le moindre privilège et de mettre à jour les privilèges quand les rôles changent, d’améliorer la surveillance et la journalisation, de segmenter les réseaux et de définir les responsabilités en matière de sécurité dans les contrats avec les clients.

Comment les techniciens peuvent-ils accéder aux systèmes des clients sans voir les mots de passe?

Grâce à l’injection des informations d’identification. Un outil comme RDM remplit les informations d’identification du client à l’ouverture de la connexion : le technicien travaille sur le système sans voir, copier ni conserver le mot de passe.

Combien de temps un MSP devrait-il conserver ses journaux d’accès?

L’avis conjoint de 2022 recommande de conserver les journaux les plus importants au moins six mois. Les contrats des clients, les règles sectorielles ou les polices d’assurance en cybersécurité peuvent exiger une durée plus longue; vérifiez-les aussi.

Que doit faire un MSP quand un technicien quitte l’entreprise?

Retirez l’accès du technicien à tous les coffres clients en un seul endroit, le jour de son départ. S’il pouvait voir les mots de passe directement, changez aussi les informations d’identification les plus sensibles des clients. Avec l’injection des informations d’identification, beaucoup moins de mots de passe lui ont été exposés.