Mot de passe Biogroup : où le trouver et pourquoi il est refusé

« Mot de passe Biogroup » désigne trois accès différents

Regardez d'abord quel document vous avez sous les yeux. Un code imprimé sur le récépissé du prélèvement n'ouvre pas la même porte qu'un compte créé avec votre adresse e-mail, et aucun des deux ne donne accès à Mon espace santé, qui dépend de l'Assurance maladie et non du laboratoire. Les trois se disent « mon mot de passe du labo » au téléphone, ce qui explique une bonne partie des appels au standard.

Biogroup s'est construit par rachats successifs de laboratoires locaux, dont beaucoup ont gardé leur marque et leur serveur de résultats pendant la transition. Deux comptes rendus émis à deux ans d'intervalle par ce que vous considérez comme « le même » laboratoire peuvent donc pointer vers deux portails distincts, avec des identifiants qui ne se transposent pas de l'un à l'autre. Le domaine imprimé en bas du compte rendu fait foi, pas le raccourci enregistré dans le navigateur.

Accès	Où on l'obtient	Durée de vie
Code de consultation d'un compte rendu	Imprimé sur le récépissé remis au prélèvement, parfois doublé par SMS	Limitée, la date figure sur le document
Compte de l'espace patient	Créé par vous avec une adresse e-mail et un mot de passe choisi	Tant que le compte existe
Mon espace santé	Assurance maladie : numéro de sécurité sociale et code de vérification	Permanent, indépendant du laboratoire

Le code est refusé : les causes par ordre de fréquence

Avant de soupçonner une panne du portail, relisez la ligne complète du récépissé. Dans la majorité des cas signalés, le couple saisi n'est pas celui que le document donne.

Point pratique : si la page affiche un message générique du type « identifiants incorrects » alors que vous êtes certain du couple, regardez le code HTTP réel dans l'onglet réseau du navigateur. Un 401 (RFC 9110, section 15.5.2) signifie que l'authentification manque ou a échoué. Un 403 signifie que le serveur vous a identifié mais refuse la ressource, ce qui oriente vers un dossier clos ou archivé plutôt que vers une faute de frappe. En ligne de commande, `curl -sI https://portail-du-labo.fr/resultats | head -n 3` suffit à voir la différence, et à repérer une redirection 302 vers une page de connexion qui n'est pas celle attendue.

• Le code a expiré : l'accès à un compte rendu est ouvert pour une durée limitée, précisée sur le document. Passé ce délai, une saisie parfaitement exacte échoue quand même.
• Vous êtes sur le portail d'un autre laboratoire du groupe, hérité d'un ancien prélèvement.
• Confusion entre l'identifiant, souvent un numéro de dossier, et le mot de passe : les deux sont imprimés côte à côte, dans une police identique.
• Copier-coller depuis un PDF : un espace final ou une espace insécable part avec le code et le champ le refuse en silence.
• Caractères ambigus sur une impression thermique pâle : 0 et O, 1 et l, 5 et S. Le champ est presque toujours sensible à la casse.
• Tentatives répétées : plusieurs portails verrouillent le dossier après quelques échecs, ce qui transforme une simple erreur de frappe en blocage qui demande un appel au laboratoire.

Pourquoi ce mot de passe est court et jetable

Un résultat d'analyse est une donnée de santé. Son hébergement impose une certification HDS au titre de l'article L.1111-8 du code de la santé publique, et l'article 32 du RGPD demande des mesures de sécurité proportionnées au risque. Le laboratoire doit donc ouvrir un accès à quelqu'un qu'il ne connaît que physiquement, sans compte préexistant. Remettre en main propre un code à usage unique règle ce problème : le secret circule hors du réseau, sur papier.

Ce type de code reste modeste en longueur. Huit caractères alphanumériques donnent 62^8, soit environ 2,2 x 10^14 combinaisons, l'équivalent de 47,6 bits d'entropie. C'est nettement sous les 80 bits que la CNIL attend d'un mot de passe utilisé comme unique barrière (délibération n° 2022-100 du 21 juillet 2022), et cela reste acceptable ici pour deux raisons : le code meurt avec le compte rendu, et le serveur limite les tentatives. Retirez la limitation de tentatives et le raisonnement s'effondre.

Le tableau ci-dessous résume les seuils de la recommandation CNIL, utiles pour juger n'importe quel portail, médical ou non.

Situation	Entropie visée	Traduction concrète
Mot de passe seul	80 bits	12 caractères avec majuscules, minuscules, chiffres et symboles
Mot de passe plus blocage après échecs répétés	50 bits	8 caractères mêlant plusieurs familles
Code associé à un support matériel détenu par la personne	13 bits	4 chiffres, comme un code de carte bancaire

Vérifier le serveur avant de taper le code

Le scénario d'hameçonnage est connu : un SMS annonce que vos résultats sont disponibles et propose un lien raccourci. La page qui s'ouvre ressemble au portail, réclame le numéro de dossier, le mot de passe, puis la date de naissance et le numéro de sécurité sociale « pour vérification ». Aucun portail de résultats n'a besoin de votre numéro de sécurité sociale pour vous laisser lire un compte rendu déjà associé à votre dossier.

Trois vérifications tiennent en une minute et se font depuis un terminal. `dig +short portail-du-labo.fr` montre vers quelle adresse IP pointe le nom, et `whois` sur cette IP indique l'opérateur qui l'annonce. `openssl s_client -connect portail-du-labo.fr:443 -servername portail-du-labo.fr /dev/null | openssl x509 -noout -subject -dates` affiche à quel nom le certificat a été émis et jusqu'à quand. Un certificat valide ne prouve rien sur l'honnêteté du site, il prouve seulement que le nom affiché correspond au serveur joint : c'est le nom lui-même qu'il faut lire.

• Comparez caractère par caractère le domaine de la barre d'adresse avec celui imprimé sur le compte rendu.
• Méfiez-vous d'un domaine commençant par xn-- une fois copié dans un éditeur de texte : c'est du punycode, donc des caractères non latins qui imitent l'original.
• Un sous-domaine ne se lit pas de gauche à droite : dans labo.exemple-portail.fr, le propriétaire est exemple-portail.fr, pas labo.
• Si le lien vient d'un SMS et que le domaine ne figure nulle part sur votre document, tapez l'adresse du document à la main et laissez le SMS de côté.

Le compte de l’espace patient obéit à d’autres règles

Là, vous choisissez le mot de passe, et il vit des années. Visez les 12 caractères de la recommandation CNIL, ou une phrase de passe de quatre ou cinq mots sans rapport entre eux, plus facile à retenir qu'un salmigondis de symboles. Un gestionnaire de mots de passe règle la question sans effort de mémoire.

Ne réutilisez pas ici un mot de passe déjà employé ailleurs. Les attaques par bourrage d'identifiants rejouent des couples e-mail plus mot de passe issus de fuites anciennes sur des dizaines de sites, sans casser quoi que ce soit : elles se contentent d'essayer. Un espace patient contient un historique d'analyses, c'est-à-dire du matériel de chantage et d'ingénierie sociale bien plus exploitable qu'un compte de e-commerce.

Activez la double authentification si le portail la propose, et sécurisez d'abord la boîte e-mail rattachée au compte : c'est elle qui reçoit les liens de réinitialisation, donc elle qui commande tout le reste. Si vous soupçonnez un accès frauduleux, changez le mot de passe de la messagerie avant celui du portail, sinon l'attaquant refait le tour par la procédure d'oubli.

Questions fréquentes

J’ai perdu le code de mes résultats, comment le réinitialiser ?

Il n'existe pas de « mot de passe oublié » pour un code de compte rendu : il n'est lié à aucune adresse e-mail vérifiée, donc rien ne permet au serveur de vous reconnaître. Le laboratoire préleveur, celui dont le nom figure sur le récépissé, est le seul à pouvoir vous le redonner, en général sur présentation d'une pièce d'identité ou après vérification téléphonique.

Combien de temps mes résultats restent-ils consultables en ligne ?

Une durée limitée, indiquée sur le compte rendu. Cette durée n'est pas uniforme sur l'ensemble du réseau, chaque entité ayant conservé ses paramètres au moment des rapprochements : aucune valeur unique ne peut être donnée ici. Téléchargez le PDF dès la première consultation, cela évite la question.

Mon médecin a-t-il besoin de mon mot de passe pour voir les résultats ?

Non. Le prescripteur reçoit le compte rendu par sa messagerie sécurisée de santé (MSSanté) ou directement dans son logiciel métier. Une demande de mot de passe présentée comme venant d'un médecin ou d'un secrétariat est un signal d'alarme.

Quelle différence avec Mon espace santé ?

Mon espace santé est le carnet de santé numérique géré par l'Assurance maladie, ouvert par défaut depuis 2022 sauf opposition. Les laboratoires y déposent les comptes rendus, mais la connexion se fait avec le numéro de sécurité sociale et un mot de passe propre au service, avec vérification par code. Perdre le code du portail du laboratoire n'empêche donc pas de retrouver le document de ce côté.

Le portail me bloque après plusieurs essais, est-ce normal ?

Oui, et c'est voulu. Le verrouillage après quelques échecs est ce qui rend acceptable un code court : sans lui, un code de huit caractères se teste automatiquement. Enchaîner les tentatives au hasard prolonge le blocage, mieux vaut appeler le laboratoire dès le troisième échec.

Testez vos connaissances

À lire aussi

attaques mot de passe · brute force · 2fa · certificat ssl