La plupart des piratages de comptes ne cassent rien. Ils réutilisent un mot de passe qui a fuité ailleurs : un site marchand, un forum, un vieux service oublié. Si vous utilisez le même partout, une seule fuite ouvre toutes les portes.
Protégez d'abord ces cinq comptes
| Le compte | Pourquoi il passe en premier |
|---|---|
| Votre messagerie | Elle sert à réinitialiser tous les autres mots de passe |
| Le nom de domaine | Celui qui le contrôle contrôle votre site et vos e-mails |
| La banque en ligne | C'est par là que l'argent sort |
| La fiche Google Business | Un pirate peut y changer votre numéro de téléphone |
| L'hébergement et le site | Un seul accès suffit pour piéger vos visiteurs |
Si vous ne faites qu'une chose aujourd'hui, faites-la sur la messagerie. Tous les « mot de passe oublié » passent par elle.
Un gestionnaire de mots de passe remplace le carnet
Un gestionnaire de mots de passe retient tout à votre place, derrière un seul mot de passe principal. Il crée un mot de passe long et différent pour chaque compte, et le remplit tout seul, sur ordinateur comme sur téléphone.
Pour une équipe, prenez une version qui permet de partager des coffres : l'accès au compte fournisseur pour l'atelier, l'accès aux réseaux sociaux pour la personne qui s'en occupe. Chacun voit ce dont il a besoin, rien de plus. Et le jour où quelqu'un part, vous lui retirez l'accès en un clic.
La double authentification arrête presque tout
Avec la double authentification, le mot de passe ne suffit plus : il faut aussi un code qui s'affiche sur votre téléphone. Un pirate qui a volé votre mot de passe reste bloqué à la porte.
Préférez une application d'authentification au SMS quand c'est possible. Un numéro de téléphone peut être détourné auprès de l'opérateur, ce qui est bien plus difficile avec une application.
Gardez les codes de secours fournis à l'activation, imprimés, dans un endroit sûr. Le jour où le téléphone tombe à l'eau, ce sont eux qui vous rendent l'accès.
Les clés d'accès vont remplacer les mots de passe
De plus en plus de services proposent une clé d'accès : vous vous connectez avec l'empreinte ou le visage qui déverrouille votre téléphone, sans rien taper. Rien à retenir, et surtout rien à voler, car la clé ne fonctionne que sur le vrai site. Une fausse page de connexion ne peut pas la récupérer.
Quand un service vous la propose, acceptez. C'est aujourd'hui la protection la plus simple contre les faux e-mails qui volent les identifiants.
Le départ d'un salarié se prépare
- Tenez à jour, dans le gestionnaire, la liste des accès de chaque personne.
- Le jour du départ, retirez les accès partagés et changez ceux qu'il connaissait par cœur.
- Redirigez ses e-mails vers quelqu'un d'autre plutôt que de fermer la boîte du jour au lendemain.
- Vérifiez qu'aucun compte important n'était à son nom : la fiche Google, le domaine, la page Facebook.
Côté site, les accès, les mises à jour et les sauvegardes font partie de la maintenance, dès 49 € par mois. Vous savez qui a accès à quoi, et rien ne traîne au nom d'un ancien prestataire.
