On pense souvent à la sécurité après la première frayeur.
Mieux vaut configurer le compte dès le départ pour rendre plus difficiles les attaques les plus courantes.
Les réglages de sécurité fonctionnent mieux avant que l'urgence n'arrive.
Utiliser un mot de passe unique
Réutiliser un mot de passe transforme un problème sur un service en problème multi-comptes. Un mot de passe unique empêche la propagation.
La réutilisation de mot de passe transforme une fuite ailleurs en problème crypto ici. Tant que le credential stuffing fonctionne contre l'email ou l'exchange, l'attaquant n'a pas besoin d'une technique sophistiquée.
Le gestionnaire de mots de passe aide parce qu'il supprime la tentation de garder le même identifiant mémorable pour l'inbox, l'exchange et les apps de paiement. La sécurité monte dès que la mémoire cesse d'être le système.
Activer la double authentification
La 2FA ajoute un second obstacle entre un mot de passe volé et votre compte. Sa valeur est maximale lorsqu'elle est activée avant l'arrivée des fonds, pas après un incident.
La double authentification ne se limite pas au second code. Elle inclut aussi le chemin de récupération: codes de secours, changement d'appareil et risque de détournement par SIM swap ou récupération email trop faible.
Le meilleur moment pour mettre cela en place est avant l'arrivée de gros soldes. En pleine urgence de connexion, on choisit souvent la solution la plus rapide, même si le chemin de récupération devient alors la faiblesse suivante.
Utiliser les protections de retrait
Les listes blanches d'adresses, validations d'appareil et alertes de connexion compliquent les vols précipités. Ces réglages sont ennuyeux de la meilleure manière possible: ils ralentissent l'attaquant.
La whitelist de retrait, la validation d'appareil et les alertes de connexion sont des outils de friction. Leur rôle n'est pas d'être élégants, mais de ralentir un attaquant qui possède déjà une partie de votre accès.
La revue régulière compte pour la même raison. Une compromission de compte paraît souvent minuscule au départ: un nouvel appareil, une clé API fraîche, une adresse de retrait modifiée ou une connexion depuis une ville inconnue.
Revoir le compte régulièrement
Vérifiez régulièrement les connexions récentes, appareils approuvés, clés API et réglages de retrait. Une revue de routine permet de repérer les petites anomalies avant l'urgence.
Fixez un rythme de revue que vous pouvez tenir. Une fois par mois suffit à beaucoup de débutants si la revue est réelle: sessions récentes, appareils approuvés, anciennes whitelists, codes de secours et permissions API inutilisées encore actives.
Traitez les accès obsolètes comme des mots de passe obsolètes. Si vous ne savez pas expliquer pourquoi une permission existe encore, elle ne devrait pas rester là simplement parce qu'elle n'a pas encore causé de problème.
Erreurs fréquentes
-
Attendre la première frayeur avant de configurer
Les réglages de sécurité sont les plus solides lorsqu'ils relèvent de la routine calme et non de la réaction d'urgence.
-
Réutiliser un seul mot de passe mémorable
Le confort du jour de connexion devient le risque du jour de fuite.
-
Oublier que d'anciens accès sont encore ouverts
Les anciens appareils, clés API périmées et whitelists oubliées créent une exposition silencieuse.
Ce que vous devriez faire
Si quelque chose paraît déjà anormal, passez directement de ce guide de configuration à la checklist de confinement.
- Mettre en place des mots de passe uniques avant que les soldes ne grossissent.
- Activer une 2FA plus solide et préparer consciemment le chemin de secours.
- Revoir à intervalles réels anciens appareils, clés API et trajets de retrait.