Clôture d’une mise en demeure et exigences de robustesse des mots de passe

L’autorité clôture en l’état le dossier et les procédures de contrôle après avoir pris en compte les mesures présentées concernant la robustesse des mots de passe. Ces mesures comprennent notamment un lien d’information, un indicateur de force, le blocage temporaire après plusieurs tentatives infructueuses et la réinitialisation obligatoire après blocage.

La clôture ne vaut pas validation complète du dispositif. L’autorité rappelle que les mots de passe doivent comporter au moins huit caractères alphanumériques et des caractères de types différents, conformément à la position de la CNIL mentionnée dans la décision.

La persistance ou la réitération des manquements lors de contrôles ultérieurs pourrait entraîner l’engagement d’une procédure de sanction sur le fondement des articles 45 et suivants de la loi du 6 janvier 1978 modifiée. La désignation d’un rapporteur pourrait alors être notifiée sans nouvelle mise en demeure préalable.

⬇️Télécharger la décision version officielle

À la suite d’une mise en demeure concernant la sécurité des mots de passe, la société a renforcé l’information des utilisateurs, évalué leur robustesse, instauré un blocage temporaire après plusieurs échecs et imposé une réinitialisation. L’autorité a clôturé en l’état le dossier et deux procédures de contrôle, tout en rappelant les exigences minimales applicables et le risque de sanction.

Une autorité administrative avait mis en demeure la Société X à la suite de contrôles portant notamment sur la sécurité des mots de passe.

La société a présenté plusieurs mesures destinées à renforcer cette sécurité : information des utilisateurs, indicateur coloré de robustesse, blocage temporaire après des tentatives infructueuses et réinitialisation obligatoire après blocage.

Après examen de ces éléments, l’autorité a clôturé en l’état le dossier ainsi que deux procédures de contrôle. Elle a toutefois rappelé les exigences minimales applicables aux mots de passe et précisé que la persistance ou la réitération des manquements pourrait conduire à une procédure de sanction sans nouvelle mise en demeure préalable.

• Présenter des mesures de renforcement de la sécurité des mots de passe
• Prévoir au moins huit caractères alphanumériques de types différents
• Informer les utilisateurs sur les exigences applicables
• Prévoir un indicateur de force du mot de passe
• Bloquer temporairement les comptes après des tentatives infructueuses
• Imposer la réinitialisation après le blocage
• Éviter la persistance ou la réitération des manquements

• Réponses adressées par la Société X après la mise en demeure
• Description du lien d’information destiné aux utilisateurs
• Existence d’un indicateur coloré de force du mot de passe
• Mécanisme de blocage temporaire après tentatives infructueuses
• Obligation de réinitialisation après blocage

La Société X bénéficie d’une clôture en l’état de son dossier et des procédures de contrôle, sans que cette clôture interdise une intervention ultérieure. L’autorité conserve la possibilité d’engager une sanction si les manquements persistent ou se répètent.n

• Clôture administrative du dossier en l’état
• Maintien d’une vigilance sur la sécurité des mots de passe
• Conservation des dispositifs d’information et de contrôle
• Exposition à une sanction en cas de nouveau manquement
• Possibilité de désignation d’un rapporteur
• Absence de nouvelle mise en demeure préalable

À faire

• Imposer huit caractères minimum
• Exiger plusieurs types de caractères
• Afficher un indicateur de robustesse
• Bloquer temporairement les comptes
• Réinitialiser les mots de passe bloqués

À éviter

• Conserver des mots de passe insuffisamment robustes
• Négliger l’information des utilisateurs
• Omettre le blocage après échecs répétés
• Maintenir un compte bloqué sans réinitialisation
• Ignorer une réitération des manquements

Les exigences de robustesse des mots de passe

nLa CNIL rappelle que les mots de passe doivent comporter au moins huit caractères alphanumériques et des caractères de types différents, notamment des majuscules, minuscules, chiffres et caractères spéciaux. Les mesures déclarées par la société incluent également l’information des utilisateurs, un indicateur de force, le blocage temporaire et la réinitialisation après blocage.n

La portée juridique de la clôture en l’état

nLa clôture en l’état intervient après la prise en compte des mesures présentées et met fin au dossier ainsi qu’aux procédures de contrôle concernées. Elle ne constitue toutefois pas une validation définitive de la conformité : la persistance ou la réitération des manquements peut encore justifier une procédure de sanction.n

Les conditions d’engagement d’une procédure de sanction

nEn cas de constat ultérieur de la persistance ou de la réitération des manquements visés dans la mise en demeure, une procédure de sanction peut être engagée sur le fondement des articles 45 et suivants de la loi du 6 janvier 1978 modifiée, sans nouvelle mise en demeure préalable. Une désignation de rapporteur peut alors être notifiée.

Article 45 et suivants de la loi du 6 janvier 1978 modifiée