Sécuriser ses mots de passe : les bons réflexes pour protéger son site et son activité en ligne

Quand vous gérez un site web et une acti­vi­té en ligne, vous accu­mu­lez rapi­de­ment de nom­breux comptes cri­tiques (nom de domaine, héber­ge­ment, cPa­nel, admi­nis­tra­tion Word­Press, boîtes e‑mail, ser­vices de paie­ment, outils mar­ke­ting) tous reliés entre eux, tous récu­pé­rables à par­tir de votre adresse e‑mail. Si elle tombe, le reste tombe avec.

Cet article fait le tour de la ques­tion sans entrer dans la para­noïa. Nous ver­rons pour­quoi l’e‑mail est le point le plus sen­sible de votre dis­po­si­tif, com­ment car­to­gra­phier vos comptes, appli­quer quelques prin­cipes simples, prio­ri­ser vos efforts, gérer les accès par­ta­gés avec un col­la­bo­ra­teur ou un déve­lop­peur, et réagir vite si vous soup­çon­nez un pira­tage.

Commençons par une petite histoire

Le mois der­nier, un de mes clients a évi­té de jus­tesse une fraude au vire­ment de plu­sieurs mil­liers d’euros. L’attaque était soi­gnée : pen­dant 24 heures, un atta­quant s’était silen­cieu­se­ment connec­té à la boîte e‑mail d’une sala­riée, lisait les conver­sa­tions en cours, repé­rait les four­nis­seurs et leurs habi­tudes. Au bon moment, il s’est insé­ré dans un échange réel au sujet d’une vraie fac­ture, en fai­sant pas­ser son propre RIB pour celui du four­nis­seur. L’e‑mail frau­du­leux citait cor­rec­te­ment la fac­ture, joi­gnait la pièce jointe légi­time envoyée quelques minutes plus tôt, et uti­li­sait l’adresse du four­nis­seur dans le champ d’expéditeur. Seul le champ « répondre à » était sub­ti­le­ment détour­né.

La fraude a été repé­rée parce que la sala­riée a eu un doute et qu’elle a décro­ché son télé­phone pour véri­fier auprès du four­nis­seur. Pas grâce à un anti­vi­rus, pas grâce à un filtre intel­li­gent : grâce à un réflexe humain. Si elle avait pro­cé­dé au vire­ment, le pré­ju­dice direct se serait chif­fré en mil­liers d’euros. Le risque réel, si l’attaque s’était pro­lon­gée sans détec­tion, se compte en dizaines de mil­liers.

Ce qui frappe dans ce type d’incident, ce n’est pas la sophis­ti­ca­tion. C’est la bana­li­té du point d’entrée : un mot de passe de boîte e‑mail com­pro­mis, et l’effet domi­no fait le reste.

À noter aus­si : le scé­na­rio aurait été beau­coup plus dif­fi­cile à mener si le domaine du four­nis­seur usur­pé avait été cor­rec­te­ment pro­té­gé contre l’usurpation d’adresse, avec une poli­tique SPF, DKIM et DMARC bien confi­gu­rée. La sécu­ri­té ne tient jamais à un seul acteur, c’est une chaîne, et chaque maillon compte. Cet article se concentre sur les maillons que vous, vous contrô­lez.

1. Pourquoi vos mots de passe se gèrent ensemble, et pas un par un

Un mot de passe se défi­nit par sa qua­li­té intrin­sèque : sa lon­gueur, son uni­ci­té, l’ab­sence de mots du dic­tion­naire ou de séquences évi­dentes. Ces cri­tères sont essen­tiels et nous les détaille­rons. Mais ils ne suf­fisent pas à eux seuls à pro­té­ger vos accès.

Pour­quoi ? Parce qu’un mot de passe n’existe jamais iso­lé­ment. Il appar­tient à un compte, qui est lui-même relié à d’autres comptes par tout un tis­su de liens : adresse de récu­pé­ra­tion asso­ciée, e‑mail de noti­fi­ca­tion, comptes de secours, iden­ti­fiants par­ta­gés en équipe. Com­pro­mettre un compte, c’est sou­vent ouvrir une voie d’ac­cès indi­recte à plu­sieurs autres.

Pre­nons un exemple concret. Vous avez choi­si un excellent mot de passe pour votre admi­nis­tra­tion Word­Press, long et unique. Si le compte e‑mail asso­cié à cet admi­nis­tra­teur est, lui, mal pro­té­gé, un atta­quant qui prend la main sur cet e‑mail peut déclen­cher la pro­cé­dure de réini­tia­li­sa­tion depuis votre page de connexion Word­Press et reprendre votre admi­nis­tra­tion sans même connaître votre mot de passe. La qua­li­té du mot de passe Word­Press n’est pas en cause, c’est le maillon voi­sin qui a cédé.

C’est pour cela que la sécu­ri­té des mots de passe se pense à deux niveaux com­plé­men­taires :

• Le niveau indi­vi­duel : chaque mot de passe doit être suf­fi­sam­ment robuste et exclu­si­ve­ment atta­ché à un seul compte. C’est l’ob­jet des prin­cipes uni­ver­sels que nous ver­rons en par­tie 3.
• Le niveau d’en­semble : il faut avoir une vue claire de tous ses comptes et de leurs inter­dé­pen­dances, pour ne lais­ser aucun maillon faible. C’est l’ob­jet de la car­to­gra­phie, et c’est par là que com­mence le tra­vail concret.

2. Faire l’inventaire de ses comptes

Avant de pou­voir sécu­ri­ser ses mots de passe, encore faut-il savoir com­bien on en a, et les­quels. Cette étape paraît évi­dente, mais elle est presque sys­té­ma­ti­que­ment sau­tée. Résul­tat : on pro­tège bien deux ou trois comptes aux­quels on pense sou­vent, et on laisse de côté ceux qu’on a créés au fil des années et qui dorment avec des mots de passe faibles ou réuti­li­sés.

Faire la liste de ses comptes prend du temps, mais c’est un inves­tis­se­ment ren­table : on ne peut pas pro­té­ger ce qu’on a oublié d’ins­crire sur la liste.

Les comptes qu’on a presque tous, sans toujours y penser

Quand vous gérez un site web et une acti­vi­té en ligne, voi­ci les comptes qui reviennent dans la plu­part des confi­gu­ra­tions :

• Le compte chez votre regis­trar, celui qui gère votre nom de domaine. Si ce compte tombe, l’at­ta­quant peut trans­fé­rer votre domaine ailleurs et vous en dépos­sé­der.
• Le compte chez votre héber­geur, qui donne accès à l’es­pace client et à la fac­tu­ra­tion.
• Le cPa­nel (ou l’é­qui­valent four­ni par votre héber­geur), qui contient la ges­tion des bases de don­nées, des e‑mails, des fichiers, des sau­ve­gardes.
• Les comptes FTP/SFTP créés sur l’hé­ber­ge­ment, par­fois plu­sieurs si dif­fé­rents pres­ta­taires y ont accé­dé.
• Les comptes de bases de don­nées créés à l’ins­tal­la­tion de votre site, sou­vent oubliés parce qu’on ne s’y connecte presque jamais à la main.
• Les boîtes e‑mail liées au domaine, indi­vi­duelles ou par­ta­gées.
• L’ad­mi­nis­tra­tion Word­Press, et tous les comptes uti­li­sa­teurs qui y ont été créés (admi­nis­tra­teurs, édi­teurs, contri­bu­teurs, anciens pres­ta­taires).
• Les ser­vices tiers connec­tés à votre site : pas­se­relles de paie­ment, outils d’en­voi d’e-mails tran­sac­tion­nels, ser­vices d’a­na­ly­tics, outils de moni­to­ring, CDN, sau­ve­gardes externes.
• Les outils métier connec­tés à votre acti­vi­té : fac­tu­ra­tion, comp­ta­bi­li­té, signa­ture élec­tro­nique, outils mar­ke­ting, CRM, pla­te­formes sociales.

Cette liste n’est pas exhaus­tive. Elle vise juste à don­ner une base de départ, et il est pro­bable qu’en la par­cou­rant vous iden­ti­fiiez déjà des comptes que vous aviez per­dus de vue.

Ce que l’inventaire peut révéler

Une fois l’exer­cice fait, vous pou­vez tom­ber sur des situa­tions cou­rantes qui méritent d’être cor­ri­gées avant d’al­ler plus loin :

• Plu­sieurs comptes qui par­tagent le même mot de passe, ou des variantes proches.
• Des comptes encore actifs alors qu’ils ne servent plus depuis long­temps.
• Des comptes qui ont été par­ta­gés avec des col­la­bo­ra­teurs ou des pres­ta­taires qui ne sont plus dans la boucle.

Cha­cune de ces situa­tions devient un point d’ac­tion concret pour la suite.

3. Les principes essentiels

Une fois l’in­ven­taire fait, on peut s’at­ta­quer au cœur du sujet : ce qui fait qu’un mot de passe pro­tège réel­le­ment un compte, et com­ment en gérer une tren­taine sans s’y perdre.

Longueur et unicité, les deux propriétés qui comptent vraiment

Pen­dant long­temps, on a conseillé aux uti­li­sa­teurs de créer des mots de passe « com­plexes » : huit carac­tères, une majus­cule, un chiffre, un carac­tère spé­cial. Cette approche a été recon­si­dé­rée par les orga­nismes spé­cia­li­sés. L’ANSSI en France et le NIST aux États-Unis recom­mandent aujourd’­hui de pri­vi­lé­gier la lon­gueur plu­tôt que la com­plexi­té seule.

La rai­son est mathé­ma­tique. Un mot de passe court et tor­du comme P@ssw0rd! reste cas­sable rapi­de­ment par un logi­ciel spé­cia­li­sé. Une phrase de passe longue, com­po­sée de plu­sieurs mots assem­blés, est à temps de cal­cul équi­valent hors de por­tée. La lon­gueur ajoute des com­bi­nai­sons à explo­rer dans des pro­por­tions que la com­plexi­té seule n’at­teint pas.

Une cible rai­son­nable pour les comptes impor­tants : au moins 16 carac­tères. Par exemple, une phrase de passe comme tapis-orage-citron-brouillard (28 carac­tères, 4 mots assem­blés par des tirets) est à la fois solide et plus facile à mémo­ri­ser qu’un mot de passe court et tor­du.

Atten­tion tou­te­fois : l’ef­fi­ca­ci­té de cette méthode tient à un point pré­cis, les mots doivent être choi­sis au hasard et sans lien séman­tique entre eux. Une phrase signi­fiante comme MonChatAdoreLesCroquettes est longue mais bien plus pré­vi­sible, parce que les logi­ciels d’at­taque modernes testent aus­si des phrases cou­rantes, des pro­verbes, des paroles de chan­sons. Les bons ges­tion­naires de mots de passe pro­posent jus­te­ment un géné­ra­teur de phrases de passe qui tire les mots aléa­toi­re­ment dans un dic­tion­naire, c’est la méthode la plus simple pour obte­nir une phrase à la fois solide et mémo­ri­sable.

L’uni­ci­té est l’autre pro­prié­té fon­da­men­tale. Chaque compte doit avoir son propre mot de passe, sans excep­tion. Quand un ser­vice en ligne se fait pira­ter, les listes d’i­den­ti­fiants et de mots de passe se retrouvent en cir­cu­la­tion. Les atta­quants testent ensuite ces couples sur d’autres ser­vices, à la chaîne. Si vous avez uti­li­sé le même mot de passe pour un compte de forum en 2018 et pour votre cPa­nel en 2026, le second tombe sans qu’on ait à le pira­ter spé­ci­fi­que­ment. Cette attaque, appe­lée cre­den­tial stuf­fing, est mas­sive et auto­ma­ti­sée.

Le gestionnaire de mots de passe, la pièce centrale

Si vous appli­quez les prin­cipes ci-des­sus à une tren­taine de comptes, vous obte­nez une tren­taine de phrases longues et uniques, impos­sibles à mémo­ri­ser. Il faut donc les sto­cker quelque part. C’est le rôle du ges­tion­naire de mots de passe.

Et le ges­tion­naire inté­gré au navi­ga­teur ?
Il rem­plit la fonc­tion de base : il stocke vos mots de passe, les rem­plit auto­ma­ti­que­ment, pro­pose par­fois d’en géné­rer de nou­veaux. Si vous l’u­ti­li­sez sérieu­se­ment et que vous pro­té­gez votre compte Google, Apple ou Fire­fox avec un mot de passe solide et une authen­ti­fi­ca­tion à deux fac­teurs, c’est déjà beau­coup mieux que de tout rete­nir de tête ou de tout réuti­li­ser.

Les ges­tion­naires dédiés vont plus loin : par­tage sélec­tif avec un col­la­bo­ra­teur, orga­ni­sa­tion par dos­siers, audit des mots de passe faibles ou réuti­li­sés, sto­ckage de notes sécu­ri­sées et de docu­ments (RIB, scans de pièces d’i­den­ti­té), accès depuis n’im­porte quel appa­reil sans dépendre d’un navi­ga­teur par­ti­cu­lier, indé­pen­dance vis-à-vis d’un four­nis­seur unique.

Par­mi les solu­tions ins­tal­lées sur le mar­ché, on peut citer Bit­war­den (open source, ver­sion gra­tuite com­plète), 1Password (com­mer­cial, ergo­no­mie soi­gnée), Kee­Pass (open source, sto­ckage local sans cloud par défaut), Pro­ton Pass (édi­té par Pro­ton, inté­gré à leur éco­sys­tème) et Dash­lane (com­mer­cial, édi­teur fran­çais). Il n’y a pas de « meilleur » choix uni­ver­sel : ces outils dif­fèrent par leur modèle (local ou cloud), leur prix, leur ergo­no­mie, leurs fonc­tions de par­tage. Le bon réflexe est d’es­sayer celui qui cor­res­pond à votre usage avant de s’en­ga­ger dura­ble­ment.

Dans tous les cas, le mot de passe maître du ges­tion­naire est le mot de passe le plus impor­tant de tous. C’est lui qui ouvre toute la col­lec­tion. Il doit être long, unique, mémo­ri­sable, et s’ac­com­pa­gner d’une authen­ti­fi­ca­tion à deux fac­teurs.

L’authentification à deux facteurs (2FA)

L’au­then­ti­fi­ca­tion à deux fac­teurs ajoute une seconde étape de véri­fi­ca­tion au moment de la connexion. Après avoir sai­si votre mot de passe, le ser­vice vous demande de confir­mer votre iden­ti­té par un autre canal. Même si un atta­quant a votre mot de passe, il ne peut pas se connec­ter sans cette seconde preuve. L’u­sage quo­ti­dien demande un peu de patience (un code à sai­sir à chaque connexion sur un nou­vel appa­reil, par exemple), mais le béné­fice en sécu­ri­té est sans com­mune mesure avec l’in­con­fort.

Il existe trois grandes familles, qui n’offrent pas le même niveau de pro­tec­tion :

• Le code par SMS. Le ser­vice envoie un code à six chiffres sur votre télé­phone, valable quelques minutes. C’est la forme la plus répan­due, et la moins solide. Un atta­quant qui par­vient à détour­ner votre numé­ro de télé­phone (tech­nique du SIM swap, c’est-à-dire le trans­fert frau­du­leux du numé­ro vers une nou­velle carte SIM) inter­cepte les codes. À uti­li­ser en der­nier recours, quand aucune autre option n’est dis­po­nible.
• L’ap­pli­ca­tion d’au­then­ti­fi­ca­tion (TOTP). Une appli­ca­tion ins­tal­lée sur votre smart­phone (Authy, Aegis, Google Authen­ti­ca­tor, ou la fonc­tion TOTP inté­grée à votre ges­tion­naire de mots de passe) génère un code à six chiffres renou­ve­lé toutes les 30 secondes. Pas de dépen­dance à votre opé­ra­teur télé­pho­nique, pas de vul­né­ra­bi­li­té au SIM swap. C’est aujourd’hui la solu­tion stan­dard pour une 2FA solide.
• La clé de sécu­ri­té phy­sique. Un petit boî­tier USB ou NFC (Yubi­Key, Token2, et autres) qu’on branche ou approche au moment de la connexion. C’est la forme la plus solide à ce jour : la clé contient un secret qui ne quitte jamais l’ob­jet, et elle résiste aux attaques de phi­shing parce qu’elle véri­fie l’a­dresse du site avant de signer. Le coût d’en­trée (de l’ordre de 25 à 70 € selon les modèles) freine l’a­dop­tion, mais pour les comptes les plus cri­tiques c’est un inves­tis­se­ment rai­son­nable.

À acti­ver en prio­ri­té sur les comptes qui le pro­posent : regis­trar, héber­geur, ges­tion­naire de mots de passe, ser­vices de paie­ment, comptes Google ou Micro­soft, admi­nis­tra­tion Word­Press.

Une limite impor­tante à connaître :

La 2FA n’est pas dis­po­nible sur tous les ser­vices. C’est notam­ment le cas pour de nom­breuses boîtes e‑mail héber­gées en mutua­li­sé, dont les connexions IMAP et SMTP clas­siques reposent encore sou­vent sur un iden­ti­fiant et un mot de passe, sans seconde étape de vali­da­tion géné­ra­li­sable à tous les usages. Sur ces comptes, la qua­li­té du mot de passe et la vigi­lance face aux ten­ta­tives de phi­shing rede­viennent les seules vraies défenses.

Cer­tains ser­vices de mes­sa­ge­rie dédiés pro­posent tou­te­fois une 2FA com­plète, appli­ca­tion mail tierce com­prise : c’est le cas de Pro­ton Mail, qui pro­pose la 2FA sur tous ses plans, y com­pris gra­tuits, ou encore de Google Works­pace et Micro­soft 365 côté solu­tions pro­fes­sion­nelles. Si votre acti­vi­té repose sur des échanges sen­sibles, le choix du four­nis­seur de mes­sa­ge­rie devient lui-même un élé­ment de votre stra­té­gie de sécu­ri­té.

Ce qu’il faut arrêter de faire

Quatre habi­tudes res­tent mal­heu­reu­se­ment répan­dues et méritent d’être lis­tées.
Ce qu’il ne faut pas faire :

• Réuti­li­ser le même mot de passe sur plu­sieurs ser­vices, même avec une petite varia­tion (MotDePasse2024 puis MotDePasse2025).
• Noter ses mots de passe en clair dans un docu­ment texte, un tableur, un cahier lais­sé sur le bureau, ou pire un fichier nom­mé mots-de-passe.txt.
• Envoyer un mot de passe par e‑mail ou par mes­sa­ge­rie ins­tan­ta­née (Slack, Teams, What­sApp) à un col­la­bo­ra­teur ou un pres­ta­taire. Ces canaux ne sont pas faits pour ça, et le mot de passe reste lisible dans les his­to­riques.
• Conser­ver le mot de passe par défaut four­ni à l’ins­tal­la­tion d’un ser­vice ou d’un appa­reil, sans le chan­ger immé­dia­te­ment.

Ces habi­tudes s’ins­tallent par défaut, faute d’a­voir réel­le­ment réflé­chi à une stra­té­gie. Le ges­tion­naire de mots de passe résout la majeure par­tie de ces situa­tions.

4. Tous vos comptes ne se valent pas

Toutes les pro­tec­tions décrites jus­qu’i­ci (lon­gueur, uni­ci­té, ges­tion­naire, 2FA) sont à appli­quer lar­ge­ment. Mais en pra­tique, on com­mence rare­ment par tout trai­ter en même temps. La bonne approche est de prio­ri­ser : pro­té­ger d’a­bord les comptes dont la com­pro­mis­sion ferait le plus de dégâts.

Priorité absolue : les comptes qui ouvrent tous les autres

Ce sont les comptes qui, s’ils tombent, donnent accès à beau­coup d’autres par effet de cas­cade. Pour ces comptes, il faut viser le meilleur niveau de pro­tec­tion pos­sible : phrase longue géné­rée par le ges­tion­naire, et 2FA acti­vée sys­té­ma­ti­que­ment quand elle est dis­po­nible.

• Le ges­tion­naire de mots de passe, parce qu’il contient tout le reste.
• L’a­dresse e‑mail prin­ci­pale, parce qu’elle reçoit les liens de réini­tia­li­sa­tion de la plu­part des autres comptes.
• Le compte du regis­trar, parce que perdre son nom de domaine, c’est perdre l’i­den­ti­té de son site et de ses adresses e‑mail en même temps.

Les autres comptes

Tous les comptes res­tants méritent un mot de passe long et unique, géné­ré et sto­cké dans le ges­tion­naire, avec une 2FA acti­vée par­tout où elle est pro­po­sée. C’est le cas notam­ment du compte chez votre héber­geur et du cPa­nel, de l’ad­mi­nis­tra­tion Word­Press, des ser­vices de paie­ment, des outils mar­ke­ting et des pla­te­formes sociales.

L’ef­fort est pro­por­tion­né : pas besoin d’in­ves­tir dans une clé phy­sique pour chaque compte secon­daire. L’es­sen­tiel est qu’au­cun ne reste avec un mot de passe faible, réuti­li­sé ou par­ta­gé en clair.

Selon votre acti­vi­té, cer­tains comptes de cette seconde caté­go­rie peuvent légi­ti­me­ment remon­ter au pre­mier niveau : un pho­to­graphe dont l’ac­ti­vi­té repose sur Ins­ta­gram trai­te­ra son compte Meta comme prio­ri­taire ; une bou­tique en ligne fera de Stripe une prio­ri­té abso­lue. À cha­cun d’a­jus­ter en fonc­tion de ses prio­ri­tés.

5. Gérer les accès partagés et les interventions ponctuelles

Sur un site web, les accès finissent rare­ment entre les mains d’une seule per­sonne. Sala­rié, pres­ta­taire Word­Press, déve­lop­peur d’ex­ten­sion venu en dépan­nage, comp­table connec­té à l’ou­til de fac­tu­ra­tion : chaque inter­ven­tion ajoute un compte, par­fois tem­po­raire, par­fois durable. La règle d’or est simple : cha­cun son compte, jamais un mot de passe par­ta­gé.

Comptes nominatifs plutôt que comptes partagés

Quand plu­sieurs per­sonnes uti­lisent le même iden­ti­fiant et le même mot de passe, plus per­sonne ne sait qui a fait quoi, et révo­quer l’ac­cès devient impos­sible sans chan­ger le mot de passe pour tout le monde. La bonne pra­tique est de créer un compte par per­sonne, avec le rôle stric­te­ment néces­saire à son inter­ven­tion.

C’est par­ti­cu­liè­re­ment vrai pour l’ad­mi­nis­tra­tion Word­Press, où le rôle attri­bué déter­mine ce que la per­sonne peut faire (publier, modi­fier les réglages, ins­tal­ler des exten­sions, etc.). Nous avons détaillé ce point dans un article dédié sur les rôles uti­li­sa­teurs dans Word­Press.

Pour le par­tage des mots de passe entre membres d’une équipe ou avec un pres­ta­taire de confiance, le bon outil est le ges­tion­naire de mots de passe, qui pro­pose le plus sou­vent une fonc­tion de par­tage par dos­sier ou par élé­ment. Jamais l’e-mail, jamais Slack, jamais un SMS.

Donner un accès ponctuel à un développeur ou à un support technique

Cas très fré­quent : une exten­sion ne fonc­tionne plus, l’é­di­teur demande un accès admi­nis­tra­teur pour diag­nos­ti­quer. Quelques règles simples évitent que la situa­tion tourne mal :

• Créer un compte dédié à cette inter­ven­tion, nom­mé expli­ci­te­ment (par exemple support-acme-novembre-2026). Ne jamais par­ta­ger votre propre compte admi­nis­tra­teur.
• Limi­ter le rôle à ce qui est stric­te­ment néces­saire. Sou­vent admi­nis­tra­teur pour du sup­port d’ex­ten­sion, par­fois édi­teur suf­fit.
• Trans­mettre les iden­ti­fiants via un par­tage tem­po­raire du ges­tion­naire de mots de passe, ou un lien à expi­ra­tion. Jamais en clair par e‑mail.
• Sup­pri­mer le compte dès la fin de l’in­ter­ven­tion. Pas le désac­ti­ver : le sup­pri­mer. Et révo­quer toutes les ses­sions actives avant sup­pres­sion.
• Tenir un petit jour­nal : qui est inter­ve­nu, quand, sur quoi. Ça prend deux minutes et ça sauve une demi-jour­née d’en­quête le jour où un pro­blème appa­raît.

L’er­reur clas­sique est de gar­der le compte « au cas où ». Six mois plus tard, on a accu­mu­lé plu­sieurs comptes admi­nis­tra­teurs dor­mants, cha­cun étant une porte d’en­trée poten­tielle. Si l’é­di­teur doit reve­nir, recréer un compte prend deux minutes.

Le départ d’un collaborateur ou d’un prestataire

Quand quel­qu’un quitte l’é­quipe ou ter­mine sa mis­sion, il faut révo­quer métho­di­que­ment tous ses accès : compte Word­Press, accès FTP/SFTP créés à son nom, compte cPa­nel s’il avait le sien, accès aux outils tiers, par­tages dans le ges­tion­naire de mots de passe. Et chan­ger les mots de passe par­ta­gés aux­quels il avait connais­sance.

Si c’est vous qui par­tez d’un pres­ta­taire et qui devez récu­pé­rer la main, nous avons trai­té la ques­tion en détail dans un autre article : Chan­ger de pres­ta­taire Word­Press : quels accès récu­pé­rer avant de par­tir ?.

En résumé

La sécu­ri­té de vos accès ne dépend pas d’un outil miracle. Elle repose sur quelques prin­cipes appli­qués métho­di­que­ment à l’en­semble de vos comptes : faire l’in­ven­taire de ce que vous avez à pro­té­ger, uti­li­ser des mots de passe longs et uniques sto­ckés dans un ges­tion­naire, acti­ver l’au­then­ti­fi­ca­tion à deux fac­teurs par­tout où elle est dis­po­nible. Sur les comptes les plus cri­tiques (ges­tion­naire, e‑mail prin­ci­pal, regis­trar), aucune conces­sion n’est pos­sible.

Dès que vous tra­vaillez en équipe ou avec des pres­ta­taires, pri­vi­lé­giez les comptes nomi­na­tifs, les rôles limi­tés, et les accès tem­po­raires pour les inter­ven­tions ponc­tuelles. Le par­tage de mot de passe en clair, par e‑mail ou par mes­sa­ge­rie, est à pros­crire dans tous les cas.

Aucun dis­po­si­tif tech­nique ne rem­place par ailleurs la vigi­lance humaine : c’est elle qui a évi­té la fraude du cas client pré­sen­té en intro­duc­tion. Une demande inha­bi­tuelle de chan­ge­ment de coor­don­nées ban­caires, un e‑mail pres­sant, un lien sus­pect doivent tou­jours être véri­fiés par un canal indé­pen­dant avant toute action irré­ver­sible.

Reste qu’à l’é­chelle d’une acti­vi­té com­plète, ce tra­vail n’est pas ano­din. Faire l’in­ven­taire de ses comptes, choi­sir un ges­tion­naire, confi­gu­rer la 2FA par­tout où c’est pos­sible, renou­ve­ler les mots de passe faibles, peut repré­sen­ter plu­sieurs heures de tra­vail. L’ef­fort est réel, mais il s’a­mor­tit lar­ge­ment à la pre­mière ten­ta­tive d’in­tru­sion contrée.

Le bon point de départ : sécu­ri­ser aujourd’hui votre e‑mail prin­ci­pal, votre ges­tion­naire de mots de passe et votre compte d’hébergement.