Sécuriser ses comptes sans devenir expert

Sécuriser ses comptes ne demande pas de devenir expert en cryptographie. Il faut surtout éviter qu’un seul incident — la fuite d’un site secondaire, la perte d’un téléphone ou un faux formulaire — donne accès à toute votre vie numérique.

Une bonne méthode repose sur quatre éléments : un secret différent pour chaque service, un second facteur solide, des moyens de récupération à jour et la capacité de repérer une connexion inhabituelle.

Votre messagerie est la clé principale

Lorsqu’un attaquant prend le contrôle d’une adresse électronique, il peut demander la réinitialisation de nombreux autres comptes. Il lit les confirmations, supprime les alertes et apprend quels services vous utilisez.

Commencez donc par la messagerie principale. Elle doit posséder :

• un mot de passe unique ;
• un second facteur ;
• une adresse et un numéro de récupération à jour ;
• des sessions actives régulièrement vérifiées ;
• aucune règle de transfert que vous n’avez pas créée.

Faites ensuite la même chose pour le gestionnaire de mots de passe, les comptes bancaires, les réseaux sociaux importants et l’administration de votre site ou activité professionnelle.

Pourquoi un mot de passe complexe ne suffit pas

Supposons que vous utilisiez un mot de passe de vingt caractères sur dix services. L’un de ces services est compromis et conserve mal les mots de passe. Les identifiants volés sont automatiquement testés sur la messagerie, les boutiques et les réseaux sociaux.

L’attaquant n’a pas besoin de casser votre mot de passe. Il le connaît déjà.

C’est le « credential stuffing », ou bourrage d’identifiants. Il explique pourquoi l’unicité compte davantage que les symboles ajoutés à la fin d’un mot réutilisé.

Chaque compte doit avoir un mot de passe différent. Comme personne ne peut raisonnablement en mémoriser cent, il faut un gestionnaire.

Choisir et utiliser un gestionnaire de mots de passe

Le gestionnaire génère des mots de passe longs et aléatoires, les conserve chiffrés et les remplit sur le bon site. Vous ne mémorisez qu’une phrase de passe principale.

Vérifiez quelques critères :

• chiffrement de bout en bout ;
• second facteur ou passkey pour ouvrir le coffre ;
• export possible dans un format exploitable ;
• politique de sécurité documentée et audits connus ;
• fonctionnement sur vos appareils habituels ;
• procédure claire si vous perdez un appareil.

Le gestionnaire intégré au navigateur ou au système constitue déjà une forte amélioration par rapport à la réutilisation. L’outil parfait que l’on n’utilise jamais protège moins qu’une solution simple adoptée chaque jour.

Lorsque le gestionnaire signale un mot de passe réutilisé, commencez par les comptes les plus importants. Inutile de tout corriger en une nuit.

Construire une phrase de passe principale

Choisissez plusieurs mots sans lien évident, suffisamment longs pour former une phrase mémorisable. Évitez les citations connues, paroles de chanson, dates familiales et variantes de `P@ssw0rd`.

Cette phrase ne doit servir qu’au gestionnaire. Ne la photographiez pas et ne l’envoyez pas par courriel. Si vous craignez de l’oublier, une copie papier conservée dans un endroit privé et approprié peut être plus sûre qu’un fichier non protégé.

L’objectif n’est pas de créer un secret impossible à taper, mais un secret long, unique et rarement exposé.

Second facteur, passkey et clé physique

Le second facteur ajoute une preuve que le mot de passe seul ne suffit pas.

### SMS

Le SMS vaut mieux que l’absence de protection, mais il dépend du numéro de téléphone et peut être visé par un détournement de carte SIM. Utilisez-le lorsque le service ne propose rien d’autre.

### Application d’authentification

Les codes temporaires offrent un bon niveau pour la majorité des comptes. Ils peuvent néanmoins être saisis sur une fausse page et transmis immédiatement au vrai service.

### Notification ou validation mobile

Elle est pratique, mais attention à la fatigue de validation. Un attaquant peut envoyer des demandes répétées jusqu’à ce que l’utilisateur accepte. Ne validez jamais une demande que vous n’avez pas déclenchée.

### Passkey ou clé de sécurité

Ces méthodes sont liées au domaine du site. Une imitation ne peut normalement pas les réutiliser. Elles offrent la meilleure résistance au phishing pour les comptes sensibles.

Enregistrez au moins une méthode de secours. Une protection trop dépendante d’un seul appareil peut vous exclure de votre propre compte.

Les moyens de récupération sont souvent la porte arrière

Vous pouvez protéger parfaitement la connexion principale et laisser une ancienne adresse de récupération accessible à un tiers.

Une fois par an, vérifiez :

1. que l’adresse de secours existe encore et est elle-même protégée ;
2. que le numéro de téléphone est le bon ;
3. que les codes de récupération sont conservés hors ligne ;
4. qu’aucun appareil inconnu n’est déclaré fiable ;
5. qu’aucune application tierce inutile n’a accès au compte.

Les anciennes questions secrètes doivent être traitées comme des mots de passe. Une réponse vraie — ville de naissance, nom d’un animal — est souvent publique. Stockez une réponse aléatoire dans le gestionnaire.

Que faire après une alerte de connexion

Ne cliquez pas directement sur le courriel d’alerte. Ouvrez l’application ou le site par votre chemin habituel et consultez l’historique des connexions.

Si l’accès est inconnu :

• changez le mot de passe ;
• révoquez toutes les sessions ;
• contrôlez les facteurs et moyens de récupération ;
• vérifiez les règles de messagerie ;
• recherchez les changements effectués pendant la session ;
• sécurisez les comptes où l’ancien mot de passe était réutilisé.

Sur un compte professionnel, prévenez le support ou la personne responsable. Un compte compromis peut avoir envoyé des messages à vos contacts même si rien ne semble modifié.

Faire le ménage sans y passer le week-end

Les comptes inutilisés restent des points d’entrée. Ils contiennent parfois une ancienne adresse, des documents ou une autorisation vers un service encore actif.

Deux fois par an, consacrez une demi-heure à :

• supprimer les services devenus inutiles ;
• révoquer les applications connectées ;
• vérifier les sessions ;
• corriger les mots de passe signalés comme compromis ;
• mettre à jour les codes de récupération ;
• confirmer que les sauvegardes du gestionnaire ou exports sont accessibles.

Un calendrier régulier est plus efficace qu’un grand nettoyage uniquement après un incident.

Pour une famille ou une petite équipe

Ne partagez pas un mot de passe par messagerie. Utilisez la fonction de partage sécurisé du gestionnaire. Chaque personne garde son compte nominatif ; le secret partagé peut être remplacé sans mélanger les identités.

Documentez aussi les accès critiques. Dans une association, qui peut récupérer le domaine, la banque, la messagerie ou les réseaux sociaux si la personne responsable est absente ? Une enveloppe scellée, un coffre numérique partagé ou une procédure avec deux responsables évite qu’un départ bloque toute l’organisation.

Ressources officielles

• Safeonweb — conseils pour se protéger en ligne
• CCB — compromissions de comptes observées en Belgique