Checklist sécurité 2FA : 12 étapes pour verrouiller vos comptes

Pourquoi une liste de contrôle de sécurité vaut mieux que les bonnes intentions

Quand un compte est piraté, la cause est généralement banale. Les attaquants ont rarement besoin d'outils exotiques : un mot de passe réutilisé depuis un autre site et un compte sans second facteur derrière suffisent. L'écart entre se sentir en sécurité et l'être tient rarement aux connaissances — il tient au suivi.

C'est là qu'une liste de contrôle prouve sa valeur. « Je devrais vraiment améliorer ma sécurité » est une inquiétude sans ligne d'arrivée. Une liste de contrôle la transforme en douze étapes concrètes à cocher, chacune vérifiable : fait ou pas fait. L'anxiété vague devient une liste de tâches finie, et les tâches finies se terminent.

Fixez-vous dès maintenant les bonnes attentes : c'est un travail d'une seule séance. Avec environ une heure de temps concentré, vous pouvez parcourir les douze étapes de cet article. Certaines prennent quelques secondes, d'autres un peu plus, et une ou deux vous feront chercher un code de récupération enregistré — mais aucune ne demande de compétence technique.

À la fin, vous saurez exactement quels comptes sont protégés, lesquels ne le sont pas, et quoi corriger en premier.

Étapes 1-3 : Auditez et renforcez vos mots de passe

Étape 1 : Listez tous les comptes qui comptent

Ouvrez une note et notez les comptes que vous ne pouvez pas vous permettre de perdre : votre adresse e-mail principale en premier, puis les applications bancaires et de paiement, le stockage cloud, le gestionnaire de mots de passe et votre opérateur téléphonique. L'e-mail vient en premier, car quiconque le contrôle peut réinitialiser les mots de passe de presque tout le reste.

Étape 2 : Adoptez un gestionnaire de mots de passe

Un gestionnaire de mots de passe génère et stocke un mot de passe long et unique pour chaque site, de sorte que vous n'ayez qu'une seule phrase de passe principale à mémoriser. Choisissez une option réputée, activez sa propre authentification à deux facteurs (2FA) et laissez-le remplacer les pense-bêtes et le remplissage automatique du navigateur sur lesquels vous vous fiez peut-être actuellement.

Étape 3 : Retirez les mots de passe réutilisés

Les mots de passe réutilisés constituent la plus grande faiblesse de cette liste de vérification. Lorsqu'un site est compromis, les attaquants essaient la même combinaison e-mail/mot de passe partout ailleurs. Laissez le rapport de sécurité du gestionnaire de mots de passe signaler les doublons, puis remplacez chacun d'eux, en commençant par vos comptes e-mail et financiers.

Lors de la création des remplacements, la longueur prime sur la complexité. Quatre ou cinq mots aléatoires sont plus faciles à mémoriser et bien plus difficiles à craquer qu'une courte chaîne de symboles.

Étapes 4-6 : Activez la 2FA partout où ça compte

Commencez par votre compte e-mail. Toutes les réinitialisations de mot de passe de tous les autres services passent par lui, donc quiconque contrôle votre boîte de réception peut déverrouiller tout le reste. Si vous n'activez la 2FA que sur un seul compte, que ce soit celui-ci.

Étape 4 : Priorisez votre e-mail

Activez la 2FA pour votre adresse e-mail principale dès aujourd'hui, puis progressez vers l'extérieur : banque, réseaux sociaux, stockage cloud, comptes professionnels. La plupart des services placent l'option dans les paramètres « sécurité » ou « connexion ».

Étape 5 : Choisissez la méthode la plus forte proposée

Les applications d'authentification génèrent des codes sur votre appareil, donc elles fonctionnent hors ligne et ne peuvent pas être interceptées en transit. Les clés de sécurité matérielles sont encore plus difficiles à hameçonner. Les codes SMS valent mieux que rien, mais les attaques de SIM swapping peuvent les rediriger — considérez les SMS comme le recours, pas le choix par défaut.

Étape 6 : Conservez vos codes de sauvegarde correctement

Quand un service affiche des codes de sauvegarde, ne les rangez pas dans vos brouillons d'e-mail — cela annule leur intérêt. Imprimez-les ou stockez-les dans les notes chiffrées d'un gestionnaire de mots de passe, quelque part où vous pouvez y accéder sans le compte que vous êtes en train de récupérer.

Étapes 7-9 : Sécuriser les options de récupération

Les canaux de récupération sont la porte dérobée de vos comptes. Quiconque contrôle votre e-mail ou votre téléphone de récupération peut souvent réinitialiser votre mot de passe et valider lui-même la réinitialisation ; c'est pourquoi les attaquants s'y attaquent en priorité.

Étape 7 : Vérifier l'e-mail et le téléphone de récupération

Commencez par votre compte e-mail principal, puis vérifiez la banque, les réseaux sociaux et le stockage cloud. Confirmez que l'e-mail et le numéro de téléphone de récupération listés sont à jour, accessibles uniquement à vous, et protégés eux-mêmes par 2FA. Si un contact de récupération est erroné ou manquant, corrigez-le avant de continuer.

Étape 8 : Supprimer les anciens numéros et adresses abandonnées

Supprimez tout ce qui est périmé :

• Numéros de téléphone d'anciens opérateurs, forfaits ou emplois
• Adresses e-mail sur des domaines que vous ne contrôlez plus — une ancienne adresse sur un domaine expiré peut être réenregistrée par n'importe qui
• Le contact d'un partenaire ou d'un membre de la famille, si l'arrangement a changé

Les numéros de téléphone recyclés sont un risque réel : les opérateurs les réattribuent, et le nouveau propriétaire peut commencer à recevoir vos codes de réinitialisation.

Étape 9 : Repenser les questions de sécurité

Traitez les réponses comme des mots de passe, pas comme des faits. « Le nom de jeune fille de votre mère » ou « votre premier animal de compagnie » se trouve souvent sur les réseaux sociaux. Si le site permet de supprimer entièrement les questions de sécurité, faites-le. Sinon, stockez des réponses inventées dans votre gestionnaire de mots de passe.

Étapes 10-11 : Vérifier les sessions actives et les applications connectées

Étape 10 : Déconnecter les appareils que vous ne reconnaissez pas

La plupart des grands comptes (e-mail, réseaux sociaux, stockage en ligne) affichent une liste des sessions actives : les appareils actuellement connectés, avec la localisation approximative et la date de la dernière activité. Vous trouverez cela dans les paramètres de sécurité, souvent sous le nom « Appareils » ou « Où vous êtes connecté ».

Vérifiez chaque entrée. Vieux téléphones, ordinateurs portables empruntés et identifiants de bibliothèque oubliés comptent tous. Déconnectez tout ce que vous ne reconnaissez pas ou n'utilisez plus, puis changez votre mot de passe si une session semble suspecte.

Étape 11 : Révoquer l'accès des applications tierces

Au fil des ans, vous avez probablement accordé à des applications et services l'autorisation d'accéder à vos comptes : connexion avec Google, applications de quiz, outils de planification, vieilles extensions de navigateur. Chacune est une invitation permanente.

Dans les paramètres de sécurité de votre compte, cherchez « Applications connectées » ou « Accès tiers ». Supprimez tout ce que vous n'utilisez pas activement. Si vous ne vous souvenez pas à quoi sert une application, révoquez-la ; vous pourrez toujours la réautoriser plus tard.

Après toute alerte suspecte

Répétez les deux vérifications immédiatement après toute alerte de connexion inattendue. Les attaquants créent souvent de nouvelles sessions ou connexions d'applications avant que vous ne remarquiez quoi que ce soit d'autre.

Étape 12 : En Faire une Habitude

Les listes de contrôle de sécurité ne fonctionnent que si elles restent à jour. Un compte créé l'année prochaine mérite la même protection que ceux que vous venez de corriger.

Ajoutez Immédiatement les Nouveaux Comptes

Chaque fois que vous vous inscrivez à un nouveau service, appliquez les bases avant de passer à autre chose : un mot de passe unique issu de votre gestionnaire, la 2FA activée, des informations de récupération que vous contrôlez. Cela prend deux minutes tant que le compte est récent, et c'est bien moins pénible que de rattraper plus tard.

Refaites la Liste de Contrôle Deux Fois par An

Ajoutez un rappel récurrent dans votre calendrier — tous les six mois, parcourez à nouveau la liste complète. Déclenchez-la plus tôt si une actualité de violation de données concerne un service que vous utilisez : vérifiez ce compte en premier, changez le mot de passe si nécessaire, et confirmez que la 2FA est toujours active.

Faites Évoluer Votre 2FA Avec le Temps

La protection doit évoluer avec vos habitudes. Si vous recevez encore des codes par SMS, passez à une application d'authentification. Une fois que cela devient une routine, envisagez une clé de sécurité matérielle pour vos comptes les plus critiques — e-mail, gestionnaire de mots de passe, banque.

Que faire si une étape révèle un problème

Trouver un point faible n'est pas un échec — c'est la checklist qui fonctionne. Voici comment corriger les découvertes les plus courantes.

Signaux d'alerte : mot de passe ou session

Si un mot de passe est réutilisé, faible, ou si vous repérez une session que vous ne reconnaissez pas :

• Changez immédiatement le mot de passe, en commençant par le compte e-mail lié à vos autres identifiants.
• Utilisez l'option « déconnecter tous les appareils » dans les paramètres de sécurité du compte, puis reconnectez-vous.
• Activez la 2FA si elle n'était pas déjà active.

Recovery ou 2FA mal configurés

Si les informations de récupération pointent vers un ancien numéro de téléphone ou une ancienne adresse e-mail, ou si la 2FA a été configurée à la va-vite :

• Mettez d'abord à jour vos options de récupération, pour ne pas vous retrouver bloqué.
• Supprimez complètement la 2FA, puis reconfigurez-la de zéro.
• Enregistrez les nouveaux codes de sauvegarde en lieu sûr et hors ligne.

Activité suspecte

Prévenez vos contacts uniquement s'il existe de réelles preuves d'utilisation abusive — des messages envoyés depuis votre compte ou des réinitialisations de mot de passe que vous n'avez pas demandées. Sinon, inutile d'alarmer qui que ce soit.

De petites corrections faites aujourd'hui valent mieux qu'un plan parfait jamais réalisé.