Un mot de passe comme HotelBelleVue2023, partagé par toute l’équipe et recyclé sur Booking.com, Expedia et le channel manager : c’est exactement ce que cherchent les attaques de phishing (hameçonnage par faux site) qui visent aujourd’hui les hôtels. Bruno Lanvin, président de l’AICR France et co-fondateur de Dmbook Pro (racheté par LoungeUp puis par D-Edge), a déployé un gestionnaire de mots de passe au sein de l’hôtel qu’il dirige, Les Artistes (Paris Montparnasse), et détaille dans cet article, étape par étape, comment faire pareil en deux heures : un mot de passe unique par service, un partage sécurisé avec l’équipe (extras compris), et une double authentification qui verrouille le tout. Sans DSI, sans prestataire.
Un e-mail arrive à la réception. Expéditeur : Booking.com. Objet : action requise sur votre compte. Le logo est là, la mise en page est parfaite, le lien renvoie vers une page qui ressemble trait pour trait à l’interface habituelle. La ou le réceptionniste entre l’identifiant de l’hôtel et son mot de passe.
Sauf que ce n’est pas Booking.com.
C’est un faux site, conçu pour capturer les identifiants. En quelques secondes, quelqu’un quelque part a récupéré le login. Et comme ce mot de passe (`HotelBelleVue2023`) est aussi celui utilisé sur Expedia, sur le channel manager et sur l’extranet de l’hôtel, la suite se devine.
Ce type d’attaque s’appelle du phishing. Ce n’est pas de la sci-fi. C’est la manipulation la plus courante du moment, et les hôtels sont devenus des cibles de choix : beaucoup de services en ligne, des équipes qui tournent, des mots de passe partagés à la va-vite. Pas de formation cybersécurité.
Un gestionnaire de mots de passe aurait bloqué ça à deux niveaux. D’abord, il ne complète jamais automatiquement sur un site dont l’adresse ne correspond pas exactement. Sur un faux Booking.com, rien ne se passe. Ensuite, même si le mot de passe avait quand même été saisi, il n’aurait donné accès qu’à un seul service, les autres auraient des mots de passe complètement différents, générés aléatoirement.
Ce guide t’explique concrètement comment mettre ça en place. Avec Keeper, qui est ce que j’utilise aux Artistes mais il en existe pleins d’autres.
D’abord, pourquoi c’est un vrai problème
Dans un hôtel, tu te connectes à des dizaines de services : ton PMS, ton channel manager, Booking.com, Expedia, TripAdvisor, ton logiciel de caisse, ta banque en ligne… La plupart de ces accès sont partagés entre plusieurs collaborateurs, parce que les éditeurs ne permettent pas toujours de créer des logins individuels et même quand ils le font, l’opérationnel et le turnover font que ça ne se fait pas.
Résultat : tout le monde connaît le mot de passe. Il est simple, pour qu’on s’en souvienne. Et il ressemble à quelque chose comme `monhotel2024` ou `Reception123!`.
Le problème, c’est que si ce mot de passe est compromis (par phishing, par un collaborateur qui part, par une fuite de données d’un site tiers), les attaquants ne vont pas juste essayer ce mot de passe sur le site en question. Ils vont essayer sur tous les autres sites que tu utilises. Et des variations. Rapidement. Avec des machines.
Un gestionnaire de mots de passe règle ça en profondeur.
Ce qu’il fait pour toi :
– Il génère des mots de passe complètement aléatoires pour chaque service, impossibles à deviner et sans lien entre eux. Si un est compromis, les autres restent intacts.
– Il te permet de partager des accès avec tes collaborateurs de manière sécurisée, sans jamais afficher le mot de passe en clair.
– Il remplace les logins automatiquement dans ton navigateur. Plus besoin de mémoriser quoi que ce soit.
– Quand tu changes un mot de passe partagé, il se met à jour pour tout le monde, en même temps.
– Il peut aussi gérer le 2FA (on y revient plus loin). Fini les « t’as reçu un code par SMS ? » entre collègues.
Pourquoi Keeper
Il y a plusieurs bons gestionnaires sur le marché : Bitwarden, 1Password, Dashlane, LastPass… J’ai choisi Keeper pour deux raisons : leur offre Business est bien adaptée aux petites équipes, et leur fonctionnalité de partage temporaire (on y revient) est exactement ce qu’il faut pour gérer les extras. Mais ils se valent tous, n’hésitez pas à les comparer, je n’ai pas d’action chez Keeper.
Tarif indicatif : le plan Business Starter tourne autour de 2€ par utilisateur par mois. Pour une équipe de 5 personnes, on parle de 10€/mois. Rapporté au temps gagné et au risque évité, c’est sans question.
Règle absolue avant de continuer : 1 compte = 1 personne. Si deux réceptionnistes partagent le même compte Keeper, tu annules 99% de l’intérêt de l’outil. Chaque collaborateur qui travaille sur ordinateur doit avoir son propre compte.
Et dans l’opérationnel, c’est aussi beaucoup plus pratique qu’il n’y paraît. Un réceptionniste arrive en shift sur un ordinateur partagé. Il ouvre Keeper, entre son seul et unique mot de passe et il a instantanément accès à tout ce dont il a besoin. Un seul truc à retenir pour lui. Zéro friction.
Autre bénéfice qu’on ne voit pas venir : le gestionnaire de mots de passe devient aussi un gestionnaire de favoris. Fini le « c’est quoi l’adresse exacte du back-office Booking déjà ? ». Tout est là, classé, accessible en un clic. Plus besoin de mémoriser des URLs, plus de favoris qui diffèrent d’un navigateur à l’autre.
Cela peut paraître long à mettre en place (en 2h c’est fait), cela nécessite de changer un petit peu ses habitudes de gestion des mots de passe… certes… mais si tu te fais attaquer ce n’est pas une petite bousculade que tu vas vivre…
Étape 1 : Créer ton compte équipe
1. Va sur keepersecurity.com > clique sur Plans & Pricing > choisis Business
2. Commence avec le plan Business Starter (le plus simple, suffisant pour la plupart des petites équipes)
3. Crée ton compte avec ton adresse email professionnelle, c’est toi l’administrateur
4. Tu arrives dans la console d’administration. Garde cet onglet ouvert, on va l’utiliser tout de suite.
Étape 2 : Ton mot de passe principal
Avant d’aller plus loin, il faut parler du mot de passe principal. C’est le seul que tu devras retenir. Il donne accès à tout le reste. Il ne faut donc pas le rater.
Un mot de passe fort, ce n’est pas forcément un mot de passe compliqué à retenir. Les passphrases fonctionnent très bien : 4 ou 5 mots complètement aléatoires, sans lien entre eux. Pas le nom de tes enfants, pas ta date de naissance, des mots vraiment pris au hasard.
> Exemple : `bougie · tracteur · amalgame · vitriol`
C’est long (donc très long à casser par force brute), c’est prononçable (donc mémorisable), et c’est imprévisible.
Très simplement : prends un dictionnaire, un magazine, n’importe quel livre qui traîne, ouvre-le au hasard 4 ou 5 fois et note un mot à chaque page.
Une fois que tu as tes mots, tu y ajoutes un peu de structure pour satisfaire les exigences des sites (majuscules, chiffres, caractères spéciaux), mais sans te compliquer la vie. Tu te choisis une règle simple et tu t’y tiens : par exemple, un mot en majuscules, un séparateur (-, +, _), et un ou deux chiffres placés à un endroit logique pour toi.
> Exemple : `2bougies-TRACTEUR-amalgame-vitriol` ou `Bougie+5Tracteurs+Amalgame+Vitriol`
C’est long, imprévisible, et pourtant tu peux le retenir et le taper sans sourciller.
Une fois que tu l’as, écris-le sur un bout de papier que tu glisses dans ton portefeuille. Pas dans un e-mail. Pas dans Notes. Pas sur un post-it au bureau. Et surtout : n’écris pas ce que c’est sur le papier. Si quelqu’un tombe dessus, il ne doit pas savoir que c’est ton accès à un gestionnaire de mots de passe.
Chaque collaborateur fait la même chose pour son propre compte.
Étape 3 : Inviter tes collaborateurs
Dans la console d’administration Keeper :
1. Va dans Users (Utilisateurs)
2. Clique sur Invite Users
3. Entre les adresses e-mail de tes collaborateurs. Leur e-mail professionnel si tu en as un pour chacun, sinon leur e-mail perso, ou crée-leur un Gmail pour l’occasion
4. Ils reçoivent une invitation, créent leur compte et leur mot de passe principal
À ce stade, tes collaborateurs ont un coffre vide. On va le remplir.
Étape 4 : Créer les dossiers partagés
Dans Keeper, les Shared Folders (dossiers partagés) sont le cœur de l’organisation. C’est là que tu décides qui voit quoi.
Commence simplement. Aux Artistes, j’ai par exemple :
– Réception : logins des OTA pour répondre aux commentaires, TripAdvisor, outils de la réception
– Direction : logins admin channel manager, PMS, banque
– Restauration : accès caisse, logiciel de réservation restaurant
Pour créer un dossier partagé :
1. Dans ton coffre Keeper, clique sur Create > Shared Folderp
2. Donne-lui un nom clair
3. Clique sur Manage Users pour définir qui y a accès. Tu choisis les droits : Can View (lecture seule) ou Can Edit
4. En général, les collaborateurs opérationnels ont Can View. Toi ou le manager, Can Edit.
Étape 5 : Ajouter les mots de passe
C’est le moment de faire le ménage. Pour chaque service :
1. Dans le dossier partagé correspondant, clique sur Create > Login
2. Entre l’URL du site, le nom d’utilisateur
3. Clique sur Generate Password. Laisse Keeper créer un mot de passe aléatoire fort
4. Va sur le site en question et change le mot de passe pour ce nouveau
5. Sauvegarde dans Keeper
Oui, ça prend un peu de temps la première fois. Mais une fois que c’est fait, c’est fait. Et tes collaborateurs ne voient jamais le mot de passe en clair. Keeper le complète automatiquement dans le navigateur.
> Note sur les accès admin : la règle d’or, c’est de ne jamais partager les accès admin dans un dossier collectif. Ton login administrateur sur le channel manager, ton accès principal au PMS, ça reste dans ton coffre personnel, individuel, avec un login dédié. Ce que tu partages avec la réception, c’est un login avec des droits limités, créé spécifiquement pour eux.
Étape 6 : Activer le 2FA
Le 2FA, c’est la double authentification. L’idée est simple : pour se connecter, il faut deux choses.
– Quelque chose que tu sais : ton mot de passe
– Quelque chose que tu as : ton téléphone
Même si quelqu’un vole ton mot de passe, il ne peut rien faire sans ton téléphone. C’est une protection majeure.
Je vais être direct : sans le 2FA, tout ce qu’on vient de construire ne sert à rien. Un gestionnaire de mots de passe sans 2FA, c’est un coffre-fort troué. Le mot de passe peut être volé par phishing, par une fuite de données, par une épaule indiscrète. Le 2FA, lui, ne peut pas être volé à distance. C’est la ligne de défense qui change tout.
Sur Keeper lui-même :
1. Va dans Account > Settings > Two-Factor Authentication
2. Active-le : choisis au minimum SMS avec ton numéro de téléphone
3. Active aussi les Recovery Options (options de récupération) : si tu perds ton téléphone, tu dois pouvoir récupérer ton accès sans tout perdre
Partout ailleurs, sans exception :
Ton channel manager. Ton PMS. Booking.com. Ton e-mail professionnel. Tous les services qui le proposent.
Bonne nouvelle : Keeper peut stocker les codes 2FA directement dans chaque entrée. Au lieu d’attendre un SMS sur un téléphone partagé (« t’as pas reçu un code ? »), Keeper génère le code automatiquement au moment de la connexion. C’est transparent pour tes collaborateurs, et ça élimine le problème du login partagé avec un seul numéro de téléphone associé.
Les situations du quotidien
>> Un nouveau collaborateur arrive
1. Tu lui crées un compte Keeper depuis la console d’administration
2. Tu lui expliques le concept et l’importance du mot de passe principal
3. Tu crées ses accès individuels sur les outils qui le permettent (PMS par exemple), tu génères un mot de passe fort avec Keeper, tu le sauvegardes dans ton coffre, et tu le partages sur son coffre à lui
4. Tu lui donnes accès aux dossiers partagés dont il a besoin
Résultat : tu sais exactement ce à quoi il a accès, les mots de passe sont forts, et tu peux tout couper en un clic.
>> Un collaborateur part
1. Dans la console admin, désactive son compte Keeper immédiatement
2. Supprime ses accès individuels sur chaque service où il avait un login dédié
3. Pour les dossiers partagés auxquels il avait accès : idéalement, tu fais une campagne de changement de mots de passe. Dans l’opérationnel, c’est pas toujours réaliste mais si le départ se passe mal ou qu’il y a un doute, c’est non-négociable.
>> Un extra ponctuel
Les extras, c’est un cas particulier : tu ne veux pas créer un compte nominal pour quelqu’un qui vient une journée. La solution : un compte Keeper générique « Extra », avec accès uniquement aux dossiers dont il a besoin pour son shift.
Ce que tu partages à l’extra, ce n’est pas le mot de passe d’un service c’est le login de ce compte Keeper « Extra » lui-même, via la fonctionnalité One-Time Share :
1. Dans ton coffre, ouvre l’entrée du compte « Extra » de Keeper
2. Clique sur Share > One-Time Share
3. Choisis une durée d’expiration (une journée suffit)
4. Envoie le lien sur le poste de réception sur lequel il va travailler, pas à l’extra directement. La raison : Keeper limite l’ouverture à un seul appareil. Une fois le lien ouvert sur ce poste, il ne peut plus être utilisé ailleurs. L’extra ne peut pas le transférer, le copier, ou l’ouvrir chez lui le soir.
5. Il se connecte à Keeper avec ce lien, accède aux dossiers que tu lui as assignés, et travaille normalement, sans jamais voir un seul mot de passe en clair
Le lien expire. Après son départ, tu changes le mot de passe du compte « Extra » dans Keeper, au cas où il l’aurait noté. Et si tu veux être rigoureux, tu changes aussi les mots de passe des services auxquels il avait accès.
Et le 2FA du compte « Extra » ? C’est là que ça devient concret. J’ai acheté une carte SIM Free à 2€/mois et un téléphone d’entrée de gamme que je laisse dans la caisse de la réception. Le compte « Extra » de Keeper est associé à ce numéro. Quand l’extra se connecte, il prend le téléphone dans la caisse, reçoit le code par SMS, et valide. Le téléphone reste à la réception, il ne repart pas avec lui.
Si tu veux aller plus loin (et que ton équipe est à l’aise avec ça) : il existe des clés physiques type FIDO (une petite clé USB ou USB-C qu’on branche pour valider l’identité à la place du SMS). Même principe, même endroit dans la caisse. Un peu plus technique à mettre en place, mais encore plus solide.
Un gestionnaire de mots de passe, c’est deux heures à mettre en place et une tranquillité d’esprit pour tout le reste. Le coût, c’est quelques euros par mois et un bout de papier dans ton portefeuille.
Le vrai risque, c’est de ne pas le faire.
Article rédigé par Bruno Lanvin.
