Sécuriser ses mots de passe : les bons réflexes pour protéger son site et son activité en ligne

Quand vous gérez un site web et une acti­vi­té en ligne, vous accu­mu­lez rapi­de­ment de nom­breux comptes cri­tiques (nom de domaine, héber­ge­ment, cPa­nel, admi­nis­tra­tion Word­Press, boîtes e‑mail, ser­vices de paie­ment, outils mar­ke­ting) tous reliés entre eux, tous récu­pé­rables à par­tir de votre adresse e‑mail. Si elle tombe, le reste tombe avec.

Cet article fait le tour de la ques­tion sans entrer dans la para­noïa. Nous ver­rons pour­quoi l’e‑mail est le point le plus sen­sible de votre dis­po­si­tif, com­ment car­to­gra­phier vos comptes, appli­quer quelques prin­cipes simples, prio­ri­ser vos efforts, gérer les accès par­ta­gés avec un col­la­bo­ra­teur ou un déve­lop­peur, et réagir vite si vous soup­çon­nez un piratage.

Commençons par une petite histoire

Le mois der­nier, un de mes clients a évi­té de jus­tesse une fraude au vire­ment de plu­sieurs mil­liers d’euros. L’attaque était soi­gnée : pen­dant 24 heures, un atta­quant s’était silen­cieu­se­ment connec­té à la boîte e‑mail d’une sala­riée, lisait les conver­sa­tions en cours, repé­rait les four­nis­seurs et leurs habi­tudes. Au bon moment, il s’est insé­ré dans un échange réel au sujet d’une vraie fac­ture, en fai­sant pas­ser son propre RIB pour celui du four­nis­seur. L’e‑mail frau­du­leux citait cor­rec­te­ment la fac­ture, joi­gnait la pièce jointe légi­time envoyée quelques minutes plus tôt, et uti­li­sait l’adresse du four­nis­seur dans le champ d’expéditeur. Seul le champ « répondre à » était sub­ti­le­ment détourné.

La fraude a été repé­rée parce que la sala­riée a eu un doute et qu’elle a décro­ché son télé­phone pour véri­fier auprès du four­nis­seur. Pas grâce à un anti­vi­rus, pas grâce à un filtre intel­li­gent : grâce à un réflexe humain. Si elle avait pro­cé­dé au vire­ment, le pré­ju­dice direct se serait chif­fré en mil­liers d’euros. Le risque réel, si l’attaque s’était pro­lon­gée sans détec­tion, se compte en dizaines de milliers.

Ce qui frappe dans ce type d’incident, ce n’est pas la sophis­ti­ca­tion. C’est la bana­li­té du point d’entrée : un mot de passe de boîte e‑mail com­pro­mis, et l’effet domi­no fait le reste.

À noter aus­si : le scé­na­rio aurait été beau­coup plus dif­fi­cile à mener si le domaine du four­nis­seur usur­pé avait été cor­rec­te­ment pro­té­gé contre l’usurpation d’adresse, avec une poli­tique SPF, DKIM et DMARC bien confi­gu­rée. La sécu­ri­té ne tient jamais à un seul acteur, c’est une chaîne, et chaque maillon compte. Cet article se concentre sur les maillons que vous, vous contrôlez.

1. Pourquoi vos mots de passe se gèrent ensemble, et pas un par un

Un mot de passe se défi­nit par sa qua­li­té intrin­sèque : sa lon­gueur, son uni­ci­té, l’ab­sence de mots du dic­tion­naire ou de séquences évi­dentes. Ces cri­tères sont essen­tiels et nous les détaille­rons. Mais ils ne suf­fisent pas à eux seuls à pro­té­ger vos accès.

Pour­quoi ? Parce qu’un mot de passe n’existe jamais iso­lé­ment. Il appar­tient à un compte, qui est lui-même relié à d’autres comptes par tout un tis­su de liens : adresse de récu­pé­ra­tion asso­ciée, e‑mail de noti­fi­ca­tion, comptes de secours, iden­ti­fiants par­ta­gés en équipe. Com­pro­mettre un compte, c’est sou­vent ouvrir une voie d’ac­cès indi­recte à plu­sieurs autres.

Pre­nons un exemple concret. Vous avez choi­si un excellent mot de passe pour votre admi­nis­tra­tion Word­Press, long et unique. Si le compte e‑mail asso­cié à cet admi­nis­tra­teur est, lui, mal pro­té­gé, un atta­quant qui prend la main sur cet e‑mail peut déclen­cher la pro­cé­dure de réini­tia­li­sa­tion depuis votre page de connexion Word­Press et reprendre votre admi­nis­tra­tion sans même connaître votre mot de passe. La qua­li­té du mot de passe Word­Press n’est pas en cause, c’est le maillon voi­sin qui a cédé.

C’est pour cela que la sécu­ri­té des mots de passe se pense à deux niveaux complémentaires :

• Le niveau indi­vi­duel : chaque mot de passe doit être suf­fi­sam­ment robuste et exclu­si­ve­ment atta­ché à un seul compte. C’est l’ob­jet des prin­cipes uni­ver­sels que nous ver­rons en par­tie 3.
• Le niveau d’en­semble : il faut avoir une vue claire de tous ses comptes et de leurs inter­dé­pen­dances, pour ne lais­ser aucun maillon faible. C’est l’ob­jet de la car­to­gra­phie, et c’est par là que com­mence le tra­vail concret.

2. Faire l’inventaire de ses comptes

Avant de pou­voir sécu­ri­ser ses mots de passe, encore faut-il savoir com­bien on en a, et les­quels. Cette étape paraît évi­dente, mais elle est presque sys­té­ma­ti­que­ment sau­tée. Résul­tat : on pro­tège bien deux ou trois comptes aux­quels on pense sou­vent, et on laisse de côté ceux qu’on a créés au fil des années et qui dorment avec des mots de passe faibles ou réutilisés.

Faire la liste de ses comptes prend du temps, mais c’est un inves­tis­se­ment ren­table : on ne peut pas pro­té­ger ce qu’on a oublié d’ins­crire sur la liste.

Les comptes qu’on a presque tous, sans toujours y penser

Quand vous gérez un site web et une acti­vi­té en ligne, voi­ci les comptes qui reviennent dans la plu­part des configurations :

• Le compte chez votre regis­trar, celui qui gère votre nom de domaine. Si ce compte tombe, l’at­ta­quant peut trans­fé­rer votre domaine ailleurs et vous en déposséder.
• Le compte chez votre héber­geur, qui donne accès à l’es­pace client et à la facturation.
• Le cPa­nel (ou l’é­qui­valent four­ni par votre héber­geur), qui contient la ges­tion des bases de don­nées, des e‑mails, des fichiers, des sauvegardes.
• Les comptes FTP/SFTP créés sur l’hé­ber­ge­ment, par­fois plu­sieurs si dif­fé­rents pres­ta­taires y ont accédé.
• Les comptes de bases de don­nées créés à l’ins­tal­la­tion de votre site, sou­vent oubliés parce qu’on ne s’y connecte presque jamais à la main.
• Les boîtes e‑mail liées au domaine, indi­vi­duelles ou partagées.
• L’ad­mi­nis­tra­tion Word­Press, et tous les comptes uti­li­sa­teurs qui y ont été créés (admi­nis­tra­teurs, édi­teurs, contri­bu­teurs, anciens prestataires).
• Les ser­vices tiers connec­tés à votre site : pas­se­relles de paie­ment, outils d’en­voi d’e-mails tran­sac­tion­nels, ser­vices d’a­na­ly­tics, outils de moni­to­ring, CDN, sau­ve­gardes externes.
• Les outils métier connec­tés à votre acti­vi­té : fac­tu­ra­tion, comp­ta­bi­li­té, signa­ture élec­tro­nique, outils mar­ke­ting, CRM, pla­te­formes sociales.

Cette liste n’est pas exhaus­tive. Elle vise juste à don­ner une base de départ, et il est pro­bable qu’en la par­cou­rant vous iden­ti­fiiez déjà des comptes que vous aviez per­dus de vue.

Ce que l’inventaire peut révéler

Une fois l’exer­cice fait, vous pou­vez tom­ber sur des situa­tions cou­rantes qui méritent d’être cor­ri­gées avant d’al­ler plus loin :

• Plu­sieurs comptes qui par­tagent le même mot de passe, ou des variantes proches.
• Des comptes encore actifs alors qu’ils ne servent plus depuis longtemps.
• Des comptes qui ont été par­ta­gés avec des col­la­bo­ra­teurs ou des pres­ta­taires qui ne sont plus dans la boucle.

Cha­cune de ces situa­tions devient un point d’ac­tion concret pour la suite.

3. Les principes essentiels

Une fois l’in­ven­taire fait, on peut s’at­ta­quer au cœur du sujet : ce qui fait qu’un mot de passe pro­tège réel­le­ment un compte, et com­ment en gérer une tren­taine sans s’y perdre.

Longueur et unicité, les deux propriétés qui comptent vraiment

Pen­dant long­temps, on a conseillé aux uti­li­sa­teurs de créer des mots de passe « com­plexes » : huit carac­tères, une majus­cule, un chiffre, un carac­tère spé­cial. Cette approche a été recon­si­dé­rée par les orga­nismes spé­cia­li­sés. L’ANSSI en France et le NIST aux États-Unis recom­mandent aujourd’­hui de pri­vi­lé­gier la lon­gueur plu­tôt que la com­plexi­té seule.

La rai­son est mathé­ma­tique. Un mot de passe court et tor­du comme P@ssw0rd! reste cas­sable rapi­de­ment par un logi­ciel spé­cia­li­sé. Une phrase de passe longue, com­po­sée de plu­sieurs mots assem­blés, est à temps de cal­cul équi­valent hors de por­tée. La lon­gueur ajoute des com­bi­nai­sons à explo­rer dans des pro­por­tions que la com­plexi­té seule n’at­teint pas.

Une cible rai­son­nable pour les comptes impor­tants : au moins 16 carac­tères. Par exemple, une phrase de passe comme tapis-orage-citron-brouillard (28 carac­tères, 4 mots assem­blés par des tirets) est à la fois solide et plus facile à mémo­ri­ser qu’un mot de passe court et tordu.

Atten­tion tou­te­fois : l’ef­fi­ca­ci­té de cette méthode tient à un point pré­cis, les mots doivent être choi­sis au hasard et sans lien séman­tique entre eux. Une phrase signi­fiante comme MonChatAdoreLesCroquettes est longue mais bien plus pré­vi­sible, parce que les logi­ciels d’at­taque modernes testent aus­si des phrases cou­rantes, des pro­verbes, des paroles de chan­sons. Les bons ges­tion­naires de mots de passe pro­posent jus­te­ment un géné­ra­teur de phrases de passe qui tire les mots aléa­toi­re­ment dans un dic­tion­naire, c’est la méthode la plus simple pour obte­nir une phrase à la fois solide et mémorisable.

L’uni­ci­té est l’autre pro­prié­té fon­da­men­tale. Chaque compte doit avoir son propre mot de passe, sans excep­tion. Quand un ser­vice en ligne se fait pira­ter, les listes d’i­den­ti­fiants et de mots de passe se retrouvent en cir­cu­la­tion. Les atta­quants testent ensuite ces couples sur d’autres ser­vices, à la chaîne. Si vous avez uti­li­sé le même mot de passe pour un compte de forum en 2018 et pour votre cPa­nel en 2026, le second tombe sans qu’on ait à le pira­ter spé­ci­fi­que­ment. Cette attaque, appe­lée cre­den­tial stuf­fing, est mas­sive et automatisée.

Le gestionnaire de mots de passe, la pièce centrale

Si vous appli­quez les prin­cipes ci-des­sus à une tren­taine de comptes, vous obte­nez une tren­taine de phrases longues et uniques, impos­sibles à mémo­ri­ser. Il faut donc les sto­cker quelque part. C’est le rôle du ges­tion­naire de mots de passe.

Et le ges­tion­naire inté­gré au navi­ga­teur ?
Il rem­plit la fonc­tion de base : il stocke vos mots de passe, les rem­plit auto­ma­ti­que­ment, pro­pose par­fois d’en géné­rer de nou­veaux. Si vous l’u­ti­li­sez sérieu­se­ment et que vous pro­té­gez votre compte Google, Apple ou Fire­fox avec un mot de passe solide et une authen­ti­fi­ca­tion à deux fac­teurs, c’est déjà beau­coup mieux que de tout rete­nir de tête ou de tout réutiliser.

Les ges­tion­naires dédiés vont plus loin : par­tage sélec­tif avec un col­la­bo­ra­teur, orga­ni­sa­tion par dos­siers, audit des mots de passe faibles ou réuti­li­sés, sto­ckage de notes sécu­ri­sées et de docu­ments (RIB, scans de pièces d’i­den­ti­té), accès depuis n’im­porte quel appa­reil sans dépendre d’un navi­ga­teur par­ti­cu­lier, indé­pen­dance vis-à-vis d’un four­nis­seur unique.

Par­mi les solu­tions ins­tal­lées sur le mar­ché, on peut citer Bit­war­den (open source, ver­sion gra­tuite com­plète), 1Password (com­mer­cial, ergo­no­mie soi­gnée), Kee­Pass (open source, sto­ckage local sans cloud par défaut), Pro­ton Pass (édi­té par Pro­ton, inté­gré à leur éco­sys­tème) et Dash­lane (com­mer­cial, édi­teur fran­çais). Il n’y a pas de « meilleur » choix uni­ver­sel : ces outils dif­fèrent par leur modèle (local ou cloud), leur prix, leur ergo­no­mie, leurs fonc­tions de par­tage. Le bon réflexe est d’es­sayer celui qui cor­res­pond à votre usage avant de s’en­ga­ger durablement.

Dans tous les cas, le mot de passe maître du ges­tion­naire est le mot de passe le plus impor­tant de tous. C’est lui qui ouvre toute la col­lec­tion. Il doit être long, unique, mémo­ri­sable, et s’ac­com­pa­gner d’une authen­ti­fi­ca­tion à deux facteurs.

L’authentification à deux facteurs (2FA)

L’au­then­ti­fi­ca­tion à deux fac­teurs ajoute une seconde étape de véri­fi­ca­tion au moment de la connexion. Après avoir sai­si votre mot de passe, le ser­vice vous demande de confir­mer votre iden­ti­té par un autre canal. Même si un atta­quant a votre mot de passe, il ne peut pas se connec­ter sans cette seconde preuve. L’u­sage quo­ti­dien demande un peu de patience (un code à sai­sir à chaque connexion sur un nou­vel appa­reil, par exemple), mais le béné­fice en sécu­ri­té est sans com­mune mesure avec l’inconfort.

Il existe trois grandes familles, qui n’offrent pas le même niveau de protection :

• Le code par SMS. Le ser­vice envoie un code à six chiffres sur votre télé­phone, valable quelques minutes. C’est la forme la plus répan­due, et la moins solide. Un atta­quant qui par­vient à détour­ner votre numé­ro de télé­phone (tech­nique du SIM swap, c’est-à-dire le trans­fert frau­du­leux du numé­ro vers une nou­velle carte SIM) inter­cepte les codes. À uti­li­ser en der­nier recours, quand aucune autre option n’est disponible.
• L’ap­pli­ca­tion d’au­then­ti­fi­ca­tion (TOTP). Une appli­ca­tion ins­tal­lée sur votre smart­phone (Authy, Aegis, Google Authen­ti­ca­tor, ou la fonc­tion TOTP inté­grée à votre ges­tion­naire de mots de passe) génère un code à six chiffres renou­ve­lé toutes les 30 secondes. Pas de dépen­dance à votre opé­ra­teur télé­pho­nique, pas de vul­né­ra­bi­li­té au SIM swap. C’est aujourd’hui la solu­tion stan­dard pour une 2FA solide.
• La clé de sécu­ri­té phy­sique. Un petit boî­tier USB ou NFC (Yubi­Key, Token2, et autres) qu’on branche ou approche au moment de la connexion. C’est la forme la plus solide à ce jour : la clé contient un secret qui ne quitte jamais l’ob­jet, et elle résiste aux attaques de phi­shing parce qu’elle véri­fie l’a­dresse du site avant de signer. Le coût d’en­trée (de l’ordre de 25 à 70 € selon les modèles) freine l’a­dop­tion, mais pour les comptes les plus cri­tiques c’est un inves­tis­se­ment raisonnable.

À acti­ver en prio­ri­té sur les comptes qui le pro­posent : regis­trar, héber­geur, ges­tion­naire de mots de passe, ser­vices de paie­ment, comptes Google ou Micro­soft, admi­nis­tra­tion WordPress.

Une limite impor­tante à connaître :

La 2FA n’est pas dis­po­nible sur tous les ser­vices. C’est notam­ment le cas pour de nom­breuses boîtes e‑mail héber­gées en mutua­li­sé, dont les connexions IMAP et SMTP clas­siques reposent encore sou­vent sur un iden­ti­fiant et un mot de passe, sans seconde étape de vali­da­tion géné­ra­li­sable à tous les usages. Sur ces comptes, la qua­li­té du mot de passe et la vigi­lance face aux ten­ta­tives de phi­shing rede­viennent les seules vraies défenses.

Cer­tains ser­vices de mes­sa­ge­rie dédiés pro­posent tou­te­fois une 2FA com­plète, appli­ca­tion mail tierce com­prise : c’est le cas de Pro­ton Mail, qui pro­pose la 2FA sur tous ses plans, y com­pris gra­tuits, ou encore de Google Works­pace et Micro­soft 365 côté solu­tions pro­fes­sion­nelles. Si votre acti­vi­té repose sur des échanges sen­sibles, le choix du four­nis­seur de mes­sa­ge­rie devient lui-même un élé­ment de votre stra­té­gie de sécurité.

Ce qu’il faut arrêter de faire

Quatre habi­tudes res­tent mal­heu­reu­se­ment répan­dues et méritent d’être lis­tées.
Ce qu’il ne faut pas faire :

• Réuti­li­ser le même mot de passe sur plu­sieurs ser­vices, même avec une petite varia­tion (MotDePasse2024 puis MotDePasse2025).
• Noter ses mots de passe en clair dans un docu­ment texte, un tableur, un cahier lais­sé sur le bureau, ou pire un fichier nom­mé mots-de-passe.txt.
• Envoyer un mot de passe par e‑mail ou par mes­sa­ge­rie ins­tan­ta­née (Slack, Teams, What­sApp) à un col­la­bo­ra­teur ou un pres­ta­taire. Ces canaux ne sont pas faits pour ça, et le mot de passe reste lisible dans les historiques.
• Conser­ver le mot de passe par défaut four­ni à l’ins­tal­la­tion d’un ser­vice ou d’un appa­reil, sans le chan­ger immédiatement.

Ces habi­tudes s’ins­tallent par défaut, faute d’a­voir réel­le­ment réflé­chi à une stra­té­gie. Le ges­tion­naire de mots de passe résout la majeure par­tie de ces situations.

4. Tous vos comptes ne se valent pas

Toutes les pro­tec­tions décrites jus­qu’i­ci (lon­gueur, uni­ci­té, ges­tion­naire, 2FA) sont à appli­quer lar­ge­ment. Mais en pra­tique, on com­mence rare­ment par tout trai­ter en même temps. La bonne approche est de prio­ri­ser : pro­té­ger d’a­bord les comptes dont la com­pro­mis­sion ferait le plus de dégâts.

Priorité absolue : les comptes qui ouvrent tous les autres

Ce sont les comptes qui, s’ils tombent, donnent accès à beau­coup d’autres par effet de cas­cade. Pour ces comptes, il faut viser le meilleur niveau de pro­tec­tion pos­sible : phrase longue géné­rée par le ges­tion­naire, et 2FA acti­vée sys­té­ma­ti­que­ment quand elle est disponible.

• Le ges­tion­naire de mots de passe, parce qu’il contient tout le reste.
• L’a­dresse e‑mail prin­ci­pale, parce qu’elle reçoit les liens de réini­tia­li­sa­tion de la plu­part des autres comptes.
• Le compte du regis­trar, parce que perdre son nom de domaine, c’est perdre l’i­den­ti­té de son site et de ses adresses e‑mail en même temps.

Les autres comptes

Tous les comptes res­tants méritent un mot de passe long et unique, géné­ré et sto­cké dans le ges­tion­naire, avec une 2FA acti­vée par­tout où elle est pro­po­sée. C’est le cas notam­ment du compte chez votre héber­geur et du cPa­nel, de l’ad­mi­nis­tra­tion Word­Press, des ser­vices de paie­ment, des outils mar­ke­ting et des pla­te­formes sociales.

L’ef­fort est pro­por­tion­né : pas besoin d’in­ves­tir dans une clé phy­sique pour chaque compte secon­daire. L’es­sen­tiel est qu’au­cun ne reste avec un mot de passe faible, réuti­li­sé ou par­ta­gé en clair.

Selon votre acti­vi­té, cer­tains comptes de cette seconde caté­go­rie peuvent légi­ti­me­ment remon­ter au pre­mier niveau : un pho­to­graphe dont l’ac­ti­vi­té repose sur Ins­ta­gram trai­te­ra son compte Meta comme prio­ri­taire ; une bou­tique en ligne fera de Stripe une prio­ri­té abso­lue. À cha­cun d’a­jus­ter en fonc­tion de ses priorités.

5. Gérer les accès partagés et les interventions ponctuelles

Sur un site web, les accès finissent rare­ment entre les mains d’une seule per­sonne. Sala­rié, pres­ta­taire Word­Press, déve­lop­peur d’ex­ten­sion venu en dépan­nage, comp­table connec­té à l’ou­til de fac­tu­ra­tion : chaque inter­ven­tion ajoute un compte, par­fois tem­po­raire, par­fois durable. La règle d’or est simple : cha­cun son compte, jamais un mot de passe par­ta­gé.

Comptes nominatifs plutôt que comptes partagés

Quand plu­sieurs per­sonnes uti­lisent le même iden­ti­fiant et le même mot de passe, plus per­sonne ne sait qui a fait quoi, et révo­quer l’ac­cès devient impos­sible sans chan­ger le mot de passe pour tout le monde. La bonne pra­tique est de créer un compte par per­sonne, avec le rôle stric­te­ment néces­saire à son intervention.

C’est par­ti­cu­liè­re­ment vrai pour l’ad­mi­nis­tra­tion Word­Press, où le rôle attri­bué déter­mine ce que la per­sonne peut faire (publier, modi­fier les réglages, ins­tal­ler des exten­sions, etc.). Nous avons détaillé ce point dans un article dédié sur les rôles uti­li­sa­teurs dans Word­Press.

Pour le par­tage des mots de passe entre membres d’une équipe ou avec un pres­ta­taire de confiance, le bon outil est le ges­tion­naire de mots de passe, qui pro­pose le plus sou­vent une fonc­tion de par­tage par dos­sier ou par élé­ment. Jamais l’e-mail, jamais Slack, jamais un SMS.

Donner un accès ponctuel à un développeur ou à un support technique

Cas très fré­quent : une exten­sion ne fonc­tionne plus, l’é­di­teur demande un accès admi­nis­tra­teur pour diag­nos­ti­quer. Quelques règles simples évitent que la situa­tion tourne mal :

• Créer un compte dédié à cette inter­ven­tion, nom­mé expli­ci­te­ment (par exemple support-acme-novembre-2026). Ne jamais par­ta­ger votre propre compte administrateur.
• Limi­ter le rôle à ce qui est stric­te­ment néces­saire. Sou­vent admi­nis­tra­teur pour du sup­port d’ex­ten­sion, par­fois édi­teur suffit.
• Trans­mettre les iden­ti­fiants via un par­tage tem­po­raire du ges­tion­naire de mots de passe, ou un lien à expi­ra­tion. Jamais en clair par e‑mail.
• Sup­pri­mer le compte dès la fin de l’in­ter­ven­tion. Pas le désac­ti­ver : le sup­pri­mer. Et révo­quer toutes les ses­sions actives avant suppression.
• Tenir un petit jour­nal : qui est inter­ve­nu, quand, sur quoi. Ça prend deux minutes et ça sauve une demi-jour­née d’en­quête le jour où un pro­blème apparaît.

L’er­reur clas­sique est de gar­der le compte « au cas où ». Six mois plus tard, on a accu­mu­lé plu­sieurs comptes admi­nis­tra­teurs dor­mants, cha­cun étant une porte d’en­trée poten­tielle. Si l’é­di­teur doit reve­nir, recréer un compte prend deux minutes.

Le départ d’un collaborateur ou d’un prestataire

Quand quel­qu’un quitte l’é­quipe ou ter­mine sa mis­sion, il faut révo­quer métho­di­que­ment tous ses accès : compte Word­Press, accès FTP/SFTP créés à son nom, compte cPa­nel s’il avait le sien, accès aux outils tiers, par­tages dans le ges­tion­naire de mots de passe. Et chan­ger les mots de passe par­ta­gés aux­quels il avait connaissance.

Si c’est vous qui par­tez d’un pres­ta­taire et qui devez récu­pé­rer la main, nous avons trai­té la ques­tion en détail dans un autre article : Chan­ger de pres­ta­taire Word­Press : quels accès récu­pé­rer avant de par­tir ?.

En résumé

La sécu­ri­té de vos accès ne dépend pas d’un outil miracle. Elle repose sur quelques prin­cipes appli­qués métho­di­que­ment à l’en­semble de vos comptes : faire l’in­ven­taire de ce que vous avez à pro­té­ger, uti­li­ser des mots de passe longs et uniques sto­ckés dans un ges­tion­naire, acti­ver l’au­then­ti­fi­ca­tion à deux fac­teurs par­tout où elle est dis­po­nible. Sur les comptes les plus cri­tiques (ges­tion­naire, e‑mail prin­ci­pal, regis­trar), aucune conces­sion n’est pos­sible.

Dès que vous tra­vaillez en équipe ou avec des pres­ta­taires, pri­vi­lé­giez les comptes nomi­na­tifs, les rôles limi­tés, et les accès tem­po­raires pour les inter­ven­tions ponc­tuelles. Le par­tage de mot de passe en clair, par e‑mail ou par mes­sa­ge­rie, est à pros­crire dans tous les cas.

Aucun dis­po­si­tif tech­nique ne rem­place par ailleurs la vigi­lance humaine : c’est elle qui a évi­té la fraude du cas client pré­sen­té en intro­duc­tion. Une demande inha­bi­tuelle de chan­ge­ment de coor­don­nées ban­caires, un e‑mail pres­sant, un lien sus­pect doivent tou­jours être véri­fiés par un canal indé­pen­dant avant toute action irréversible.

Reste qu’à l’é­chelle d’une acti­vi­té com­plète, ce tra­vail n’est pas ano­din. Faire l’in­ven­taire de ses comptes, choi­sir un ges­tion­naire, confi­gu­rer la 2FA par­tout où c’est pos­sible, renou­ve­ler les mots de passe faibles, peut repré­sen­ter plu­sieurs heures de tra­vail. L’ef­fort est réel, mais il s’a­mor­tit lar­ge­ment à la pre­mière ten­ta­tive d’in­tru­sion contrée.

Le bon point de départ : sécu­ri­ser aujourd’hui votre e‑mail prin­ci­pal, votre ges­tion­naire de mots de passe et votre compte d’hébergement.