Protéger ses comptes en ligne : la méthode dans l’ordre

Commencez par la boîte mail, pas par les réseaux sociaux

Votre adresse e-mail est la clé de toutes les autres. Qui la contrôle déclenche un « mot de passe oublié » sur votre banque, votre hébergeur, votre compte marchand, intercepte les liens de réinitialisation et referme la porte derrière lui. Tant que la messagerie n'est pas verrouillée, renforcer les autres comptes revient à poser un verrou trois points sur une porte dont la fenêtre reste ouverte.

Sur cette boîte : mot de passe long et unique, second facteur matériel ou applicatif, et un contrôle des règles de filtrage. Une messagerie compromise garde souvent une règle discrète qui transfère ou supprime automatiquement les messages contenant « facture », « connexion » ou « réinitialisation ». Le mot de passe change, la règle reste, et l'attaquant continue de voir passer les alertes de sécurité sans que vous les receviez.

Deuxième réflexe : séparer l'adresse de récupération. Si le compte A sert de récupération au compte B et le compte B au compte A, la perte d'un seul bloque les deux. Une adresse dédiée, publiée nulle part, qui ne sert qu'à ça, casse la boucle.

• Règles de filtrage et transferts automatiques, y compris celles créées il y a des années
• Mots de passe d'application encore actifs pour un client IMAP ou SMTP oublié
• Adresse de récupération et numéro de téléphone associés au compte
• Applications tierces autorisées via OAuth
• Délégation de boîte ou accès partagé accordé à un autre compte

Un mot de passe par service, et un moyen de le vérifier

La réutilisation pose davantage de problèmes que la complexité. Quand une base fuit, les couples identifiant/mot de passe partent en credential stuffing : un script les rejoue automatiquement sur des centaines de sites. Un mot de passe unique par service transforme une fuite globale en incident isolé sur un seul compte.

Les règles héritées des années 2000 (une majuscule, un chiffre, un caractère spécial, rotation tous les 90 jours) ne sont plus recommandées. La publication SP 800-63B du NIST demande aux services d'accepter au moins 64 caractères, de ne pas imposer de règles de composition arbitraires, et de ne pas forcer de changement périodique en l'absence d'indice de compromission. Ce qui compte, c'est la longueur et l'imprévisibilité.

Une phrase de passe de cinq mots tirés au hasard dans la liste Diceware (7 776 entrées, soit 6 puissance 5) vaut environ 64,6 bits d'entropie. Un « P@ssw0rd2026! » de douze caractères tombe, lui, en quelques secondes face à un dictionnaire à règles. Gardez ce format de phrase pour ce que vous devez retenir de tête : le mot de passe maître du gestionnaire, la session de votre ordinateur, la boîte mail. Pour tout le reste, le gestionnaire génère vingt caractères aléatoires que vous ne lirez jamais.

Pour savoir si un mot de passe circule déjà, l'API Pwned Passwords fonctionne en k-anonymat : vous n'envoyez que les cinq premiers caractères de son empreinte SHA-1, le serveur renvoie tous les suffixes connus avec leur nombre d'occurrences. Le SHA-1 de « password » vaut 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8, donc la commande curl https://api.pwnedpasswords.com/range/5BAA6 | grep 1E4C9B93F3F0682250B6CF8331B7EE68FD8 renvoie un compteur qui se chiffre en millions. Aucun mot de passe complet ne quitte votre machine.

Le second facteur : les options ne se valent pas

Activer « la double authentification » sans regarder laquelle laisse passer une bonne partie des attaques réelles. Le SMS reste interceptable par échange de carte SIM auprès de l'opérateur, et le NIST classe l'authentification hors bande par le réseau téléphonique comme restreinte dans sa publication SP 800-63B.

Le TOTP décrit par la RFC 6238 dérive un code de six chiffres d'un secret partagé et de l'heure courante, par tranches de 30 secondes, via un HMAC généralement basé sur SHA-1. Le calcul se fait hors ligne : votre téléphone n'a besoin d'aucun réseau, seulement d'une horloge juste. Un appareil qui dérive de deux minutes fait échouer tous les codes, c'est la panne la plus fréquente et elle se règle en réactivant le réglage automatique de l'heure.

Une passkey (WebAuthn côté navigateur, CTAP2 côté clé) ne transmet aucun secret. Le site envoie un défi, l'authentificateur le signe avec une clé privée qui ne sort jamais de la puce, et la signature est liée à l'identifiant du site. Un domaine sosie n'obtient rien : le navigateur refuse de signer pour une origine qui ne correspond pas. C'est la seule méthode grand public qui bloque l'hameçonnage par construction et non par vigilance de l'utilisateur.

À ne pas confondre avec un mot de passe enregistré dans le navigateur. Le serveur ne détient qu'une clé publique, donc une fuite de sa base ne livre rien d'exploitable. En revanche, une passkey synchronisée par iCloud ou par le gestionnaire Google ne vaut que ce que vaut le compte qui la synchronise : pour les comptes les plus sensibles, une clé matérielle FIDO2 non synchronisée reste supérieure.

Second facteur	Résiste à l'hameçonnage	Résiste au vol de SIM	Fonctionne hors ligne	Remarque
SMS ou appel vocal	Non	Non	Non	Classé restreint par le NIST (SP 800-63B)
Code envoyé par e-mail	Non	Oui	Non	Ne vaut que la sécurité de la boîte mail
TOTP, RFC 6238	Non	Oui	Oui	Secret copiable : sauvegardez la clé Base32
Notification push	Partiellement	Oui	Non	Sensible au harcèlement par validations répétées
Passkey / clé FIDO2	Oui	Oui	Oui	Signature liée à l'origine du site

Ce que le second facteur n’arrête pas

Le 2FA protège la connexion, pas la session qui en découle. Les kits d'hameçonnage actuels fonctionnent en proxy inverse : le faux site relaie en direct les pages du vrai service. Vous saisissez le mot de passe, puis le code à six chiffres, tout est transmis à l'original, et l'attaquant récupère non pas vos identifiants mais le cookie de session déjà authentifié. Evilginx et ses dérivés font cela depuis plusieurs années. Le code TOTP n'a rien empêché : il a été utilisé une fois, correctement, par un intermédiaire.

Même résultat par une autre voie avec les infostealers, ces logiciels malveillants qui aspirent les cookies stockés par le navigateur. Un cookie rejoué depuis une autre machine ouvre la session sans mot de passe ni second facteur.

D'où une règle simple : changer le mot de passe ne suffit jamais seul. Il faut révoquer les sessions actives, option que les grands services proposent sous un intitulé du type « Se déconnecter de tous les appareils ». Les jetons OAuth accordés à des applications tierces et les mots de passe d'application créés pour un client de messagerie survivent eux aussi au changement de mot de passe. Ces deux listes méritent un passage en revue.

Sessions actives, adresses IP et codes de secours

La plupart des services affichent un historique de connexion avec l'adresse IP, l'appareil et l'horodatage. Dans Gmail, le lien « Informations détaillées » en bas à droite de la boîte ouvre la liste des dernières activités avec les IP et le type d'accès (navigateur, IMAP, POP, mobile). Google, Microsoft, Facebook et GitHub proposent l'équivalent dans leurs réglages de sécurité.

Prudence sur l'interprétation. Une adresse inconnue ne prouve pas une compromission : un accès mobile sort par le CGNAT de l'opérateur et peut changer de ville d'une heure à l'autre, un VPN ou le relais privé iCloud réécrivent l'IP source, et la géolocalisation d'IP se trompe régulièrement de région. Ce qui doit alerter, c'est la combinaison : une IP hors de vos zones habituelles, un horaire incohérent, et surtout un type d'accès que vous n'utilisez pas, par exemple une connexion IMAP alors que vous n'ouvrez que le webmail.

Les codes de secours forment l'angle mort classique. Fournis par lots de huit à dix, à usage unique, ils contournent le second facteur par conception. Les laisser dans une note du téléphone ou dans un e-mail adressé à soi-même annule le bénéfice du 2FA. Imprimez-les, ou rangez-les dans le gestionnaire, mais jamais dans le compte qu'ils protègent. Régénérez-les après toute alerte.

• Numéros de téléphone et adresses de récupération encore valides et encore à vous
• Appareils de confiance qui ne vous appartiennent plus (ancien téléphone revendu, poste de travail quitté)
• Applications tierces connectées en OAuth, dont celles testées une fois puis oubliées
• Mots de passe d'application, à supprimer dès que le client concerné n'est plus utilisé
• Méthodes 2FA enregistrées : une ancienne clé perdue et jamais retirée reste une porte ouverte
• Codes de secours : savez-vous encore où ils sont ?

Compte compromis : l’ordre des opérations

La séquence importe plus que la rapidité. Si vous nettoyez d'abord les comptes secondaires, un simple « mot de passe oublié » les rouvrira dix minutes plus tard depuis la messagerie encore aux mains de l'attaquant.

• Travaillez depuis un appareil sain : si le poste habituel est peut-être infecté, tout ce que vous y saisissez repart aussitôt.
• Reprenez la boîte mail en premier, puis le compte du gestionnaire de mots de passe.
• Changez le mot de passe, puis révoquez toutes les sessions actives, dans cet ordre.
• Inspectez les règles de filtrage et de transfert de la messagerie, notamment celles qui masquent les alertes de sécurité.
• Vérifiez les méthodes de récupération : un attaquant y ajoute souvent son propre numéro ou sa propre adresse.
• Révoquez les applications OAuth et les mots de passe d'application que vous ne reconnaissez pas.
• Régénérez les codes de secours et réenregistrez le second facteur.
• Changez enfin les mots de passe des comptes qui partageaient le même, banque et hébergeur d'abord.

Questions fréquentes

Le SMS comme second facteur, c’est mieux que rien ?

Oui, très nettement mieux que rien : il bloque le rejeu automatique d'un mot de passe fuité. Mais il reste vulnérable à l'échange frauduleux de carte SIM auprès de l'opérateur, et le NIST le classe comme méthode restreinte dans SP 800-63B. Gardez-le pour les services qui n'offrent rien d'autre, et évitez-le sur la boîte mail et la banque dès qu'une application TOTP ou une passkey est proposée.

Faut-il changer ses mots de passe tous les trois mois ?

Non, pas sans raison. Le NIST recommande de n'imposer un changement qu'en cas d'indice de compromission. La rotation forcée produit surtout des variantes prévisibles du type Ete2025!, Ete2026!, qu'un attaquant devine à partir d'une seule fuite ancienne. Changez immédiatement en revanche si le mot de passe apparaît dans une base fuitée ou s'il était réutilisé ailleurs.

Une passkey remplace-t-elle le 2FA ou s’y ajoute-t-elle ?

Elle peut remplacer entièrement le couple mot de passe plus code, parce qu'elle combine déjà deux facteurs : la possession de l'appareil qui détient la clé privée et le déverrouillage local par biométrie ou code PIN. Certains services l'acceptent comme méthode de connexion unique, d'autres la traitent encore comme un second facteur ajouté au mot de passe. Regardez ce que dit l'écran de configuration du service concerné, les implémentations diffèrent.

Un VPN protège-t-il mes comptes ?

Non, il répond à une autre question. Un VPN masque votre adresse IP au site visité et chiffre le trajet jusqu'au serveur du fournisseur, ce qui est utile sur un réseau Wi-Fi partagé. Il ne fait rien contre un mot de passe réutilisé, un site d'hameçonnage ou un cookie volé sur votre machine. Le trafic vers un site en HTTPS est de toute façon déjà chiffré de bout en bout.

Mettre tous ses mots de passe dans un gestionnaire, ce n’est pas risqué ?

C'est un compromis assumé. Le coffre est chiffré localement avec une clé dérivée de votre mot de passe maître, que l'éditeur ne connaît pas dans les modèles à divulgation nulle. Protégez-le par une phrase de passe longue et un second facteur, et sauvegardez une copie du coffre. L'alternative réaliste n'est pas une mémoire parfaite, c'est la réutilisation du même mot de passe sur quarante sites.

Mon adresse apparaît dans une fuite de données, que faire ?

Identifiez le mot de passe concerné et changez-le partout où il a servi, pas seulement sur le service touché. Révoquez ensuite les sessions actives de ces comptes et vérifiez leurs méthodes de récupération. Une fuite datant de plusieurs années reste dangereuse tant que le mot de passe est encore en service quelque part.

Testez vos connaissances

À lire aussi

authentification a deux facteurs 2fa · attaques mot de passe · attaque man in the middle · confidentialite en ligne