Il y a un geste qu'on a tous fait au moins une fois en démarrant sur ce métier : ouvrir un script trouvé sur un forum, ou en écrire un soi-même en vitesse, et taper le mot de passe du compte de service directement dans la ligne de commande. Ça marche. Tout de suite. Le lecteur réseau se mappe, la tâche planifiée tourne toute seule, plus personne ne ressaisit rien le matin. Sauf qu'il y a un endroit où ce mot de passe va se loger, et ce n'est pas un endroit secret du tout. On y revient, parce que ça vaut le coup de le vérifier sur ta propre machine avant de continuer à lire.

Pourquoi ce mot de passe en dur ne semble dangereux pour personne

Un mot de passe tapé dans un script, ça ne ressemble à rien de grave sur le moment. Il n'y a pas d'alerte rouge, pas de message d'avertissement de Windows, pas de virus qui s'allume. La ligne de commande s'exécute, le mappage se crée, tout fonctionne. Et c'est exactement ce silence qui pose problème : ton cerveau associe le danger à un signal visible. Pas de signal, pas de danger perçu. Sauf que la sécurité informatique ne fonctionne pas comme une alarme incendie. Elle fonctionne comme une serrure : soit elle protège, soit elle ne protège pas, et rien ne clignote pour te le rappeler.

Un fichier .ps1 ou un fichier de tâche planifiée XML, ce n'est rien d'autre qu'un fichier texte. N'importe qui peut l'ouvrir avec le Bloc-notes. Pas besoin de pirater quoi que ce soit, juste de savoir où chercher.

l'image à garder

C'est comme écrire le code de ton digicode au feutre, juste à côté de la porte, parce que c'est plus pratique que de le retenir par cœur. Personne ne force la porte. Personne n'a besoin de la forcer.

Le Planificateur de tâches : la salle d'attente que personne ne ferme à clé

Sur un poste Windows classique, n'importe quel utilisateur du poste peut ouvrir le Planificateur de tâches (taskschd.msc) et consulter le détail d'une tâche existante, y compris la ligne de commande exacte et ses arguments. Pas besoin d'être administrateur pour lire ça : un compte standard suffit, dans bien des configurations, pour voir ce qui a été écrit dans la commande. Et le fichier de définition de la tâche, lui, traîne sur le disque dans C:\Windows\System32\Tasks\, lisible comme n'importe quel fichier XML.

Le piège, c'est de croire qu'une tâche planifiée est un endroit privé parce qu'elle tourne en arrière-plan, invisible à l'écran. En réalité, c'est tout l'inverse : c'est un endroit public, accessible à quiconque a une session ouverte sur la machine, ou même un simple accès au disque.

// à retenir

Une tâche planifiée qui tourne sans fenêtre visible n'est pas une tâche cachée. C'est juste une tâche silencieuse. Silencieux et caché, ce n'est pas le même mot.

Le retournement : ce n'est presque jamais un pirate qui exploite ça

L'intuition naturelle, ici, c'est d'imaginer un attaquant extérieur, un malware qui scanne le disque à la recherche de mots de passe. Cette menace existe, mais dans la réalité du terrain, le scénario le plus fréquent est beaucoup moins spectaculaire : c'est un collègue curieux, un stagiaire qui traîne, ou simplement toi-même six mois plus tard, qui rouvre le script pour le modifier et tombe sur un mot de passe que tu avais oublié d'effacer avant de le transmettre. Le risque n'a pas besoin d'un génie du mal pour se réaliser. Il a juste besoin de quelqu'un qui regarde au bon endroit, sans même chercher à mal faire.

Et ce mot de passe en clair, une fois lu, donne un accès qui dépasse largement le simple lecteur réseau qu'on voulait automatiser. S'il s'agit d'un compte de service réutilisé ailleurs (ce qui arrive très souvent par flemme de créer un compte dédié), c'est une porte d'entrée vers bien plus que le partage \\serveur\commun visé à l'origine.

l'image à garder

Ce n'est pas un cambrioleur qui crochète la serrure. C'est un voisin qui passe arroser tes plantes pendant les vacances, voit la clé qui dépasse sous le pot de fleurs, et la prend en photo sans même y penser deux fois. Le danger ne vient presque jamais de là où on l'imagine.

Le coffre Windows : la bonne case pour ranger un mot de passe

Si un mot de passe ne doit jamais vivre dans un fichier texte, où doit-il vivre ? Windows a déjà la réponse intégrée depuis longtemps : le Gestionnaire d'identification, ce même coffre chiffré qui retient ton mot de passe Wi-Fi sans jamais te le réafficher en clair. La commande cmdkey /add permet d'y enregistrer un identifiant et un mot de passe pour un serveur donné, une seule fois, en saisie masquée. Une fois ce credential dans le coffre, Windows s'en sert tout seul pour authentifier les connexions à ce serveur, sans qu'aucun script n'ait jamais besoin de connaître le mot de passe, ni de le réécrire.

C'est exactement la bascule qui change tout : un script qui se contente de vérifier qu'un lecteur est bien monté, et de le remonter si besoin, n'a besoin de rien savoir. Il délègue entièrement la question du mot de passe au coffre Windows, qui s'en occupe en coulisses.

le bon réflexe

Avant d'écrire la moindre ligne d'automatisation réseau, pose-toi une question simple : est-ce que ce script a vraiment besoin de connaître le mot de passe, ou a-t-il juste besoin que la connexion fonctionne ? Dans l'immense majorité des cas, c'est la deuxième réponse qui est la bonne, et ça change toute la conception du script.

attention

Un mot de passe contenant un espace, et enregistré sans guillemets autour de lui dans une commande automatisée, sera tronqué silencieusement au premier espace rencontré. Le credential stocké sera alors faux sans le moindre message d'erreur, ce qui mène tout droit à un verrouillage de compte côté serveur après une série d'échecs répétés. C'est un piège différent de celui du mot de passe en clair, mais il vient de la même négligence : automatiser un mot de passe sans réfléchir à la façon dont il transite.

Ce que tu fais en vrai, concrètement

La prochaine fois qu'un script d'automatisation réseau te paraîtra plus simple à écrire avec le mot de passe collé dedans, tu sauras résister à cette facilité de cinq minutes. Le coffre Windows existe précisément pour ça, et une fois qu'on a pris l'habitude de s'appuyer sur lui, on ne revient jamais en arrière. Le digicode reste dans la mémoire, pas sur un post-it collé à la porte.

Sources

// à emporter
Deux scripts PowerShell · nettoyer puis sécuriser un mappage réseau cassé

Le premier supprime le mauvais credential et recrée un mappage propre, mot de passe saisi en mode masqué, jamais écrit en clair. Le second ajoute un filet de sécurité qui revérifie l'accès à chaque connexion, sans jamais stocker de mot de passe.

Télécharger · gratuit

Ce site est gratuit et le restera. Si un truc t'a aidé et que tu veux soutenir, tu peux m'offrir un café.