Explorer le web en toute sérénité : astuces essentielles pour préserver votre identité numérique et prévenir l'usurpation

Un ami reçoit un jour un message de sa banque : « Une connexion depuis Bucarest a été détectée sur votre compte. » Il n'était jamais allé en Roumanie. Le message venait bien de sa banque, l'alerte était réelle, et pendant trois semaines il a passé ses soirées au téléphone avec un service client pour reprendre la main sur des accès qu'il croyait sûrs. Son mot de passe n'avait rien de ridicule. Il l'avait simplement réutilisé sur un forum de bricolage dont la base de données avait fuité deux ans plus tôt.

C'est le scénario ordinaire. Pas de piratage spectaculaire, pas d'attaque ciblée : une fuite chez un site tiers, un mot de passe recyclé, et des robots qui testent méthodiquement les combinaisons volées sur les grands services. On appelle ça le bourrage d'identifiants, et ça marche parce que la plupart d'entre nous utilisons trois mots de passe pour quarante comptes.

Ce qui suit ne demande ni compétences techniques ni budget. Quelques heures une fois, puis des habitudes. L'objectif n'est pas d'atteindre une sécurité parfaite, qui n'existe pas, mais de ne plus être la cible facile de la rue.

Le mot de passe unique compte plus que le mot de passe compliqué

On nous a longtemps répété qu'un bon mot de passe mélangeait majuscules, chiffres et symboles. Le conseil a vieilli. Il a surtout produit des générations de mots de passe imprononçables que les gens notent sur un post-it ou réutilisent partout, ce qui annule le bénéfice.

Deux propriétés comptent vraiment. La longueur d'abord : une phrase de passe de quatre ou cinq mots sans rapport entre eux résiste mieux qu'une suite de dix caractères tarabiscotés, et elle se retient. L'unicité ensuite, qui est le point décisif. Un mot de passe distinct par service transforme une fuite en incident isolé au lieu d'une réaction en chaîne.

Retenir quarante phrases différentes n'est pas humain. D'où le gestionnaire de mots de passe, qui reste le meilleur rapport effort/bénéfice de toute cette histoire. Un seul mot de passe à mémoriser, celui qui ouvre le coffre, et le logiciel se charge du reste : il génère, il stocke, il remplit les champs. Les solutions sérieuses chiffrent les données sur votre appareil avant tout envoi, ce qui veut dire que l'éditeur lui-même ne peut pas lire votre coffre.

Il existe des versions gratuites parfaitement utilisables, et les navigateurs proposent désormais leur propre gestionnaire intégré, moins complet mais infiniment mieux que rien. L'objection classique porte sur le fait de tout mettre au même endroit. Elle se comprend, mais la comparaison honnête n'est pas « coffre-fort contre rien » : c'est « coffre-fort contre le même mot de passe partout ».

La double authentification, l'heure de travail la mieux investie

Un mot de passe volé ne suffit plus quand un second facteur protège le compte. Le principe : après le mot de passe, le service demande une preuve supplémentaire que seul le titulaire possède.

Toutes les méthodes ne se valent pas. Le code envoyé par SMS reste le plus répandu et vaut mieux que rien, mais il repose sur une ligne téléphonique qu'un escroc peut détourner en se faisant passer pour vous auprès de l'opérateur. Une application d'authentification, qui affiche un code à six chiffres renouvelé toutes les trente secondes, ne dépend d'aucun réseau et vit sur votre appareil. Les clés physiques, ces petits objets à brancher ou à approcher du téléphone, offrent la meilleure protection contre les faux sites, parce qu'elles vérifient l'adresse réelle avant de répondre.

Le point sur lequel les gens se font piéger, ce sont les codes de secours. Chaque service en propose au moment de l'activation. Ils servent le jour où le téléphone tombe dans l'eau. Imprimez-les, rangez-les avec vos papiers importants. Sans eux, la perte du téléphone se transforme en perte du compte.

Reconnaître un site qui n'est pas celui qu'il prétend

Le faux site bancaire de 2010 était grossier : fautes d'orthographe, logo pixelisé, mise en page bancale. Ceux d'aujourd'hui sont des copies conformes, souvent produites automatiquement à partir du vrai site. Juger sur l'apparence ne fonctionne plus.

Le seul élément qui ne ment pas est l'adresse dans la barre du navigateur, et plus précisément le nom de domaine, c'est-à-dire ce qui se trouve juste avant le premier caractère « / ». Tout le reste peut être décoré à volonté. Un cadenas ne certifie que le chiffrement de la connexion, pas l'honnêteté du propriétaire : les sites frauduleux en ont un, comme tout le monde, et c'est gratuit.

La règle qui protège le mieux ne porte pas sur la vigilance mais sur l'itinéraire. N'arrivez jamais sur un site sensible en cliquant depuis un mail ou un SMS. Ouvrez un onglet, tapez l'adresse ou utilisez votre favori, connectez-vous. Si l'alerte du message était réelle, elle vous attendra dans votre espace client. Si elle n'y est pas, vous avez votre réponse.

Reste le signal d'alarme le plus fiable, qui n'est pas technique du tout : l'urgence. Un compte suspendu dans les vingt-quatre heures, un colis qui repart si vous ne payez pas deux euros aujourd'hui, une amende à régler avant ce soir. La précipitation est l'outil de travail de l'escroc, parce qu'elle empêche de vérifier. Une administration, une banque, un transporteur vous laissent toujours le temps de raccrocher et de rappeler par vos propres moyens.

Les mises à jour, la corvée qui répare vraiment quelque chose

Repousser une mise à jour est un geste banal. Le bandeau revient, on clique « plus tard », et six mois passent. Le problème est que ces correctifs comblent des failles déjà connues et déjà publiées. Le décalage entre la publication d'un correctif et son installation est exactement la fenêtre pendant laquelle un appareil est vulnérable, avec des attaques automatisées qui balaient le web sans choisir leurs victimes.

Trois éléments méritent d'être à jour en priorité : le navigateur, qui affiche du code venu de l'extérieur toute la journée ; le système du téléphone et de l'ordinateur ; et les extensions installées. Activez les mises à jour automatiques partout où c'est possible, ça règle la question sans y penser.

Un appareil qui ne reçoit plus de correctifs pose un problème différent. Un téléphone sorti du support constructeur continue de fonctionner mais accumule des failles non corrigées. Le garder pour la musique et la photo ne gêne personne. Y consulter ses comptes bancaires est un autre débat.

Les extensions de navigateur, angle mort de la plupart des gens

On installe une extension pour bloquer la publicité, traduire une page ou capturer une capture d'écran. Elle demande l'autorisation de « lire et modifier les données sur tous les sites », on accepte sans lire, et on l'oublie. Cette permission veut pourtant dire ce qu'elle dit : l'extension voit tout ce qui s'affiche, y compris les pages de votre banque et le contenu de vos mails.

Le risque n'est pas théorique. Une extension honnête peut être revendue à une société qui modifiera son comportement lors d'une mise à jour silencieuse. L'utilisateur, lui, n'est prévenu de rien.

Faites le tri une fois par an. Ouvrez la liste des extensions de votre navigateur, désinstallez celles dont vous ne vous souvenez pas, et pour celles qui restent, regardez les permissions demandées. Une extension de météo n'a pas besoin d'accéder à tous vos sites. Cinq minutes suffisent, et c'est souvent l'endroit où l'on trouve les plus mauvaises surprises.

Ce que vous laissez derrière vous

La vie privée en ligne se joue moins sur les fuites spectaculaires que sur l'accumulation ordinaire. Les questions de sécurité des sites bancaires portent sur le nom de jeune fille de votre mère ou le nom de votre premier animal. Ces réponses traînent souvent dans des publications publiques vieilles de dix ans. Rien n'oblige à répondre honnêtement à ces questions : une réponse fantaisiste, stockée dans le gestionnaire de mots de passe, est bien plus sûre.

Deux gestes complètent l'ensemble. Vérifier de temps en temps quelles applications ont accès à votre compte Google ou Apple, où l'on découvre régulièrement des services testés une fois en 2019 et jamais révoqués depuis. Et jeter un œil aux connexions actives sur vos comptes principaux : la plupart des services listent les appareils connectés et proposent de tout déconnecter d'un clic.