Le chiffrement natif de Word repose, depuis Office 2013 et dans toutes les éditions Microsoft 365 actuelles, sur AES-256 comme standard de chiffrement. Ce niveau de protection est comparable à celui exigé par de nombreux cadres de conformité dans les secteurs financier et médical. Encore faut-il que le mot de passe choisi soit à la hauteur de l’algorithme qui le protège.
Chiffrement AES-256 dans Word : ce que le mot de passe protège réellement
Activer la protection par mot de passe dans Word ne se limite pas à verrouiller l’ouverture du fichier. Le document entier est chiffré : sans la clé dérivée du mot de passe, le contenu est illisible, y compris par un éditeur hexadécimal ou un outil tiers de lecture de fichiers OOXML.
La robustesse du chiffrement AES-256 rend les attaques par force brute extrêmement coûteuses en temps de calcul, à condition que le mot de passe dépasse un seuil de complexité raisonnable. Un mot de passe court ou prévisible (nom de projet, date de naissance) réduit cette protection à néant, parce que les outils de craquage testent d’abord les combinaisons les plus courantes via des dictionnaires optimisés.
Nous recommandons un minimum de douze caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux. Un mot de passe faible annule le bénéfice du chiffrement AES-256.
Mot de passe d’ouverture et mot de passe de modification dans Word
Word distingue deux niveaux de protection par mot de passe, et la confusion entre les deux est fréquente.
Mot de passe d’ouverture (chiffrement complet)
Accessible via Fichier, Informations, Protéger le document, Chiffrer avec mot de passe. Ce mot de passe déclenche le chiffrement AES-256 du fichier. Sans lui, le document ne s’ouvre pas.
Mot de passe de modification (restriction d’édition)
Configurable dans les options d’enregistrement ou via l’onglet Révision, Restreindre la modification. Ce second mot de passe empêche la modification du contenu, mais ne chiffre pas le fichier. Un utilisateur peut toujours ouvrir le document en lecture seule. La protection contre la modification repose sur un mécanisme plus léger, contournable avec certains outils spécialisés.
Pour une sécurité réelle du contenu, c’est le mot de passe d’ouverture qui compte. Le mot de passe de modification sert uniquement à encadrer les droits d’édition dans un contexte collaboratif.
Labels de sensibilité Microsoft Purview : chiffrer sans mot de passe manuel
Dans un environnement Microsoft 365 entreprise, la protection par mot de passe document par document atteint vite ses limites. Oubli du mot de passe, transmission par canal non sécurisé, impossibilité de révoquer l’accès une fois le mot de passe partagé : les failles sont opérationnelles autant que techniques.
Les labels de sensibilité Microsoft Purview répondent à ce problème en découplant le chiffrement de la gestion manuelle d’un mot de passe. Un label appliqué à un document Word peut simultanément :
- Classifier le fichier selon son niveau de confidentialité (public, interne, confidentiel, hautement confidentiel)
- Ajouter un marquage visuel (filigrane, en-tête, pied de page) pour signaler le niveau de sensibilité
- Chiffrer le contenu et restreindre les droits (lecture seule, interdiction de copier ou d’imprimer) en s’appuyant sur Azure Rights Management
Ces labels peuvent être appliqués manuellement par l’utilisateur dans Word, ou de manière automatique. Le déploiement automatique fonctionne en deux modes : côté client (pendant l’édition dans Word) ou côté service (sur les fichiers au repos dans SharePoint et OneDrive), avec des conditions basées sur des types d’informations sensibles ou des classifieurs entraînés.
Un piège courant : le label sans chiffrement effectif
Nous observons régulièrement des déploiements où les labels de sensibilité sont configurés pour le marquage visuel uniquement, sans activation du chiffrement. Le document affiche alors une mention « Confidentiel » dans l’en-tête, mais le fichier reste lisible par quiconque y accède. Vérifier que le label inclut bien une politique de chiffrement et de restriction des droits est une étape de configuration à ne pas négliger.
Bonnes pratiques pour un mot de passe Word réellement sécurisé
Le chiffrement AES-256 fait le travail côté algorithme. Le maillon faible reste le mot de passe lui-même et la manière dont il circule.
- Générer le mot de passe via un gestionnaire de mots de passe dédié, pas via une règle mentale (initiales + année) qui produit des combinaisons devinables
- Ne jamais transmettre le mot de passe dans le même canal que le document : si le fichier part par email, le mot de passe transite par messagerie instantanée ou par téléphone
- Stocker le mot de passe dans un coffre-fort numérique plutôt que dans un fichier texte sur le même poste ou le même espace OneDrive
- Documenter la procédure de récupération en cas de perte, en particulier dans un contexte professionnel où le départ d’un collaborateur peut rendre un fichier chiffré inaccessible
Pour les organisations disposant de Microsoft 365 E3 ou E5, l’outil DocRecrypt permet aux administrateurs de récupérer des fichiers protégés en déployant une clé de récupération avant que les documents ne soient chiffrés. Sans ce dispositif, un mot de passe perdu signifie un fichier définitivement inaccessible.
Word Online, la version navigateur, ne permet pas d’appliquer un mot de passe de chiffrement. La protection doit être configurée dans l’application de bureau avant de déposer le fichier sur OneDrive ou SharePoint.
Le choix entre mot de passe manuel et labels de sensibilité dépend du contexte. Pour un freelance qui envoie un contrat ponctuel, le chiffrement par mot de passe reste la solution la plus directe. Pour une équipe qui manipule quotidiennement des documents confidentiels, les labels Purview automatisent ce que le mot de passe ne peut pas gérer : la révocation d’accès, le suivi et la conformité à l’échelle.
