Un mot de passe volé suffit souvent à un escroc pour lire vos courriels, se faire passer pour vous auprès de vos clients ou vider un compte. Ce guide s'adresse aux dirigeants de TPE, artisans, commerçants, indépendants et associations qui veulent mieux protéger leurs comptes sans devenir informaticiens. Vous y découvrirez la double authentification, les clés d'accès, appelées passkeys en anglais, et le gestionnaire de mots de passe, avec un ordre de priorité pour vous y mettre.
Pourquoi le mot de passe seul ne suffit plus
Les mots de passe fuient : piratage d'un site où vous aviez un compte, faux formulaire de connexion, logiciel espion. Et beaucoup de personnes réutilisent le même partout. Il suffit alors d'une seule fuite pour ouvrir toutes les portes. Vous pouvez vérifier si votre adresse figure dans une fuite connue grâce à des services de vérification réputés, mais l'essentiel est d'ajouter une seconde protection.
La double authentification
La double authentification consiste à demander, en plus du mot de passe, une preuve que c'est bien vous : un code, une validation sur votre téléphone, une clé physique. Même si le mot de passe est volé, l'escroc reste bloqué.
Toutes les méthodes ne se valent pas. Du plus solide au moins solide :
- Une clé d'accès ou une clé de sécurité physique, qui se branche ou s'approche du téléphone.
- Une application d'authentification, qui affiche un code changeant toutes les trente secondes.
- Une validation par notification sur votre téléphone.
- Un code reçu par SMS, qui reste bien mieux que rien.
Pour l'activer, cherchez dans les paramètres de chaque compte une rubrique « Sécurité », « Connexion » ou « Validation en deux étapes ». Notez les codes de secours proposés et rangez-les en lieu sûr, sur papier ou dans votre gestionnaire de mots de passe.
Un réflexe essentiel : si vous recevez une demande de validation alors que vous n'êtes pas en train de vous connecter, refusez-la. Quelqu'un tente d'entrer avec votre mot de passe : changez-le aussitôt.
Les clés d'accès, le plus simple et le plus sûr
Une clé d'accès remplace le mot de passe par le déverrouillage de votre téléphone ou de votre ordinateur : empreinte, visage ou code de l'appareil. Elle est liée au vrai site : un faux site imitant votre banque ou votre messagerie ne peut pas s'en servir. C'est la meilleure parade connue contre l'hameçonnage, ces faux messages qui vous poussent à saisir vos identifiants.
Google, Apple, Microsoft et un nombre croissant de services en ligne les proposent déjà.
- Ouvrez les paramètres de sécurité de votre compte et cherchez « Clés d'accès ».
- Créez une clé depuis votre téléphone ou votre ordinateur habituel.
- Créez-en une seconde sur un autre appareil, pour ne pas dépendre d'un seul téléphone.
- Conservez une méthode de secours, comme des codes de récupération.
Les clés d'accès se synchronisent généralement avec votre compte Apple, Google ou votre gestionnaire de mots de passe : si vous changez de téléphone, elles vous suivent.
Le gestionnaire de mots de passe
Un gestionnaire de mots de passe est un coffre-fort numérique : il retient et remplit pour vous un mot de passe différent et complexe pour chaque site. Vous n'avez plus qu'un seul mot de passe à retenir, celui du coffre.
- Choisissez un outil reconnu : celui intégré à votre navigateur ou à votre téléphone, ou un logiciel dédié comme Bitwarden ou KeePass, dont certaines versions ont été certifiées par l'ANSSI, l'agence nationale de la sécurité des systèmes d'information.
- Protégez le coffre par une phrase de passe longue, par exemple quatre ou cinq mots sans lien entre eux, et activez sa double authentification.
- Remplacez progressivement vos mots de passe réutilisés, en commençant par les comptes importants.
- Pour une équipe, préférez une version qui permet de partager des accès sans les envoyer par courriel.
Le site cybermalveillance.gouv.fr propose des fiches claires sur les mots de passe et la double authentification.
Par où commencer
Inutile de tout faire en un jour. Traitez les comptes dans cet ordre :
- Votre messagerie, qui permet de réinitialiser tous les autres comptes.
- Vos accès bancaires et de paiement.
- Le compte de votre nom de domaine et de votre hébergeur.
- Vos logiciels de comptabilité, de facturation et de caisse.
- Vos réseaux sociaux et votre fiche d'établissement Google.
La liste à cocher
- La double authentification est activée sur votre messagerie.
- Elle est activée sur votre banque, votre nom de domaine et vos réseaux sociaux.
- Vos codes de secours sont rangés en lieu sûr.
- Vous avez créé une clé d'accès sur au moins deux appareils pour vos comptes principaux.
- Vous utilisez un gestionnaire de mots de passe protégé par une phrase de passe.
- Aucun mot de passe n'est réutilisé sur vos comptes importants.
- Vous refusez toute demande de validation que vous n'avez pas déclenchée.
Ces réglages prennent souvent moins d'une heure pour l'essentiel. Si vous préférez être accompagné, un échange gratuit est possible sur /rendez-vous, et notre guide sur la sécurisation de la messagerie complète celui-ci dans la rubrique guides.
Questions fréquentes
Si je perds mon téléphone, je perds mes comptes ?
Pas si vous avez prévu une solution de secours : une clé d'accès sur un second appareil, des codes de récupération ou une clé synchronisée avec votre compte Apple, Google ou votre gestionnaire.
Le code par SMS est-il suffisant ?
C'est nettement mieux qu'un mot de passe seul. Une application d'authentification ou une clé d'accès offre toutefois une protection plus forte, notamment contre l'hameçonnage.
Le gestionnaire de mots de passe de mon navigateur suffit-il ?
Pour beaucoup de petites structures, oui, à condition que le compte associé soit protégé par la double authentification. Un outil dédié devient utile pour partager des accès dans une équipe.
Besoin d'un avis sur votre cas ?
Trente minutes offertes pour en parler, en visio ou par téléphone.
Choisir un créneau