Comment ça marche · module en construction

Se protéger : mots de passe, hameçonnage, chiffrement, mises à jour

Mis à jour le . Ce sujet évolue vite (true) : vérifie s'il y a du nouveau depuis cette date.

La plupart des attaques ne visent personne en particulier : des robots essaient des mots de passe volés, des messages piégés partent par millions, des failles connues attendent qu'on oublie de mettre à jour. Ce module explique comment ça marche, et les quelques gestes qui protègent vraiment, sans jargon ni peur.

Choisis ton niveau et ta façon de lire : tu peux en changer à tout moment.

Étape 0 : Ton mot de passe

Une phrase de passe est faite de mots tirés au sort, par exemple avec des dés, dans une liste connue. Avec une liste de 512 mots, chaque mot apporte 9 bits ; 6 mots donnent 54 bits, 9 mots 81 bits (le seuil de 80 bits de la CNIL pour un mot de passe seul). Avec la liste de 7 776 mots de l'EFF, chaque mot apporte 12,9 bits : 6 mots donnent environ 77 bits.

🟢 Découverte

Un bon mot de passe est long et imprévisible, pas compliqué. Une phrase de passe, faite de mots tirés au hasard, est plus facile à retenir et plus difficile à deviner que « P@ssw0rd! ». Et il en faut un différent pour chaque site : un gestionnaire de mots de passe s'en souvient pour toi.

🟡 Curieux

On mesure la force d'un mot de passe en bits d'entropie : chaque bit double le nombre d'essais nécessaires. La CNIL demande au moins 80 bits pour un mot de passe seul (12 caractères variés, 14 sans caractère spécial, ou 7 mots) ; l'ANSSI, de 65 à plus de 100 bits selon l'importance du compte. Le NIST américain demande au moins 15 caractères, sans règle de composition ni changement périodique.

🔴 Ingénieur

Un site sérieux ne stocke jamais ton mot de passe : il en garde une empreinte (hachageHachage — Calcul qui transforme un texte en une empreinte de taille fixe, sans retour possible. Les sites devraient stocker l'empreinte des mots de passe, jamais les mots de passe eux-mêmes.) salée et lente à calculer (Argon2, bcrypt). Le calcul d'entropie ne vaut que pour un secret vraiment tiré au hasard : un mot du dictionnaire, une date ou une citation se devinent bien plus vite. Le gestionnaire libre KeePassXC a reçu en 2025 une certification de premier niveau de l'ANSSI, pour une version précise.

Un peu d'histoire

En 1999, Anne Adams et Angela Sasse publient « Users Are Not The Enemy » : les règles qui forcent à changer souvent de mot de passe poussent à en choisir de plus faibles et à les noter. En 2016, Lorrie Cranor, alors à la FTC, rappelle qu'avec l'ancien mot de passe, on devine le nouveau en moins de 5 essais pour 17 % des comptes. Leurs travaux ont fini par changer les recommandations officielles.

Idées reçues

« Il faut changer son mot de passe tous les 3 mois. » Plus maintenant : la CNIL, l'ANSSI et le NIST le déconseillent pour les comptes ordinaires. Il faut le changer quand il a fuité, et pour les comptes d'administration. « P@ssw0rd! est sûr. » Ces substitutions sont les premières que testent les attaquants : selon le NIST, les gens répondent aux règles de composition « de façon très prévisible ».

Étape 1 : Tes comptes : fuites, double authentification, passkeys

  1. Ton appareil calcule l’empreinte SHA-1 du mot de passe : 40 caractères hexadécimaux.
  2. Il n’envoie au service que les 5 premiers caractères.
  3. Le service renvoie les quelque 800 empreintes de fuites qui commencent par ces 5 caractères.
  4. La comparaison se fait chez toi : le service ne sait jamais quel mot de passe tu vérifiais.
Face à un faux site
ÉtapeMot de passe et codePasskey
Un message t’envoie sur un faux siteLe faux site banque-en-ligne.example ressemble au vrai, banque.example.Même faux site, même apparence.
Le faux site demande de te connecterTu tapes ton mot de passe, puis le code reçu par SMS ou affiché par ton appli.Ton téléphone cherche une clé pour banque-en-ligne.example. Il n’en a aucune : ta clé est liée à banque.example.
L’escroc relaieLe faux site renvoie aussitôt ton mot de passe et ton code au vrai site : l’escroc entre dans ton compte. Le code à usage unique ne protège pas contre ce relais.Rien à relayer : ta clé privée ne quitte jamais ton appareil, et elle ne signe que pour le vrai domaine.
RésultatCompte piraté.Connexion impossible : le hameçonnage échoue, même si tu ne l’as pas repéré.

🟢 Découverte

Des bases de données fuient régulièrement. Des robots essaient alors les mêmes identifiants sur d'autres sites : c'est pour ça qu'un mot de passe réutilisé est dangereux. La double authentificationDouble authentification — Se connecter avec deux preuves de types différents : quelque chose qu'on sait (un mot de passe), qu'on a (un téléphone, une clé) ou qu'on est (une empreinte). Un mot de passe volé ne suffit plus. ajoute une deuxième preuve : un mot de passe volé ne suffit plus.

🟡 Curieux

Le service Have I Been Pwned recense 17,8 milliards de comptes fuités dans 1 049 fuites (état au 8 novembre 2026), dont France Travail, Free, Bouygues Telecom. La CNIL a sanctionné en janvier 2026 France Travail (5 millions d'euros) et Free (42 millions) pour des protections insuffisantes. Le code par SMS vaut mieux que rien, mais l'ANSSI le déconseille : un escroc peut se faire attribuer ton numéro (« SIM swap »).

🔴 Ingénieur

Une passkeyPasskey (clé d’accès) — Une paire de clés créée par ton appareil pour un site précis : le site ne garde que la clé publique, la clé privée ne quitte pas l'appareil. Comme elle est liée au vrai domaine, un faux site ne peut pas s'en servir. est une paire de clés liée au domaine du site : elle ne fonctionne pas sur un faux site. Le NIST le résume : « l'authentification par code à usage unique ne résiste pas au hameçonnage », les passkeys si. Selon l'alliance FIDO, qui les promeut, 36 % des connexions chez quinze grands services passaient par une passkey en 2026.

Un peu d'histoire

En septembre 2022, un attaquant qui avait le mot de passe d'un prestataire d'Uber l'a bombardé de demandes de validation, jusqu'à ce qu'il en accepte une : c'est la « fatigue des notifications ». En 2019, une étude de Google n'a trouvé aucune victime d'hameçonnage ciblé parmi les comptes protégés uniquement par une clé physique.

Vérifie toi-même

Pour savoir si ton adresse figure dans une fuite connue, le service haveibeenpwned.com la vérifie (c'est ton choix : cela revient à lui donner ton adresse). Pour un mot de passe, il utilise le principe montré dans l'animation : seuls 5 caractères de l'empreinte partent.

Étape 2 : Hameçonnage et arnaques

  1. SMS, de Numéro inconnu : « Votre colis n’a pas pu être livré. Frais de réacheminement : 1,99 €. Réglez ici : https://suivi-colis-relais.example/paiement » — Hameçonnage : une petite somme à payer, un lien vers un domaine qui imite un transporteur. Le faux colis est l’une des arnaques les plus vues en 2025 selon Cybermalveillance.gouv.fr.
  2. Appel puis WhatsApp, de « Service fraude de votre banque » : « Des opérations suspectes ont été détectées sur votre compte. Pour les bloquer, partagez votre écran et validez les opérations dans votre appli : nous vous guidons. » — Arnaque au faux conseiller bancaire (+159 % en 2025). Aucune banque ne demande de valider des opérations, de partager son écran ou de donner ses codes. Raccroche et rappelle le numéro au dos de ta carte.
  3. SMS, de Numéro inconnu : « Coucou maman, j’ai cassé mon téléphone, c’est mon nouveau numéro. Tu peux m’aider à payer une facture urgente ? » — Le « coucou maman » : l’escroc se fait passer pour un enfant. Réflexe : appeler l’ancien numéro, ou poser une question que seul ton enfant connaît.
  4. Appli de ta banque, de Notification dans l’appli officielle, que tu as ouverte toi-même : « Votre relevé de compte du mois est disponible dans l’onglet Documents. » — Pas de piège : le message arrive dans l’appli officielle que tu as ouverte toi-même, sans lien, sans urgence, sans demande de code.
  5. Courriel, de [email protected] : « Bonjour, un remboursement de 312,40 € vous attend. Confirmez vos coordonnées bancaires avant 24 h pour le recevoir. » — Hameçonnage, même sans faute d’orthographe : urgence (24 h), demande de coordonnées bancaires, domaine qui imite un site public. Les IA écrivent aujourd’hui sans fautes : regarde le domaine et la demande, pas l’orthographe.
  6. Courriel, de Le site où tu viens de créer un compte : « Voici votre code de confirmation : 482 913. Si vous n’êtes pas à l’origine de cette demande, ignorez ce message. » — Pas de piège si tu viens de faire la demande : le message ne demande rien, ne contient pas de lien, et te dit quoi faire si ce n’est pas toi. Ne donne jamais ce code à quelqu’un qui te le demande au téléphone.

🟢 Découverte

L'hameçonnageHameçonnage — Arnaque qui imite un site ou un message de confiance (banque, administration) pour te faire donner un mot de passe ou des coordonnées bancaires. imite un service connu pour te faire cliquer, payer ou donner un code. Les signes qui ne trompent pas : l'urgence, une petite somme à payer, un lien vers un domaine qui ressemble au vrai, une demande de code. Le bon réflexe : passer par l'appli ou l'adresse que tu tapes toi-même.

🟡 Curieux

En 2025, Cybermalveillance.gouv.fr a reçu 504 000 demandes d'aide ; l'hameçonnage en représente un tiers (+71 %). Faux colis, fausses amendes, faux péages, et surtout le faux conseiller bancaire (+159 %) : l'escroc appelle « de la part de ta banque », parfois après t'avoir fait appeler un faux numéro d'opposition. Aucune banque ne demande tes codes.

🔴 Ingénieur

Les fautes d'orthographe ne sont plus un indice fiable : dans une étude de 2024, des courriels d'hameçonnage écrits entièrement par une IA ont fait cliquer 54 % des participant·es, autant que ceux d'expert·es humain·es. Cybermalveillance note que l'IA sert déjà à traduire les arnaques en dizaines de langues.

Un peu d'histoire

Ailleurs dans le monde. Aux États-Unis, le FBI a recensé 20,9 milliards de dollars de pertes déclarées en 2025, surtout de faux placements en cryptomonnaies, menés depuis l'Asie du Sud-Est par des réseaux qui exploitent des victimes de traite. L'ONU estimait en 2023 qu'au moins 120 000 personnes au Myanmar et 100 000 au Cambodge pouvaient être retenues dans ces centres d'arnaques : « Ce sont des victimes, pas des criminels », dit le Haut-Commissaire Volker Türk. En Afrique, Interpol signale la fraude au mobile money et au SIM swap ; en Inde, plus d'un million de fraudes au paiement UPI par an selon le ministère des Finances. À Hong Kong, en 2024, un·e employé·e a viré 200 millions de dollars de Hong Kong après une visioconférence où tous les « collègues » étaient des deepfakes.

Vérifie toi-même

En France, en cas d'arnaque : 17cyber.gouv.fr (diagnostic et contact avec la police ou la gendarmerie, jour et nuit), opposition auprès de ta banque, changement des mots de passe en commençant par ta messagerie, puis plainte.

Idées reçues

« Le cadenas veut dire que le site est fiable. » Le cadenas dit seulement que la connexion est chiffrée avec le détenteur du nom de domaine : dès 2018, 35 % des sites d'hameçonnage avaient un cadenas, selon le groupe de travail anti-hameçonnage APWG. « Je n'intéresse pas les pirates. » La plupart des attaques sont automatiques, et 93 % des demandes d'aide à Cybermalveillance viennent de particuliers.

Étape 3 : Chiffrer : plus de deux mille ans d'histoire

Message chiffré : BU TLZZHNL JOPMMYL WHY KLJHSHNL NHYKL SH MVYTL KL SH SHUNBL : SH SLAAYL SH WSBZ MYLXBLUAL KB TLZZHNL JOPMMYL YLTWSHJL ZVBCLUA SL L, XBP LZA SH WSBZ MYLXBLUAL LU MYHUJHPZ.

Dans ce message, la lettre la plus fréquente est L. En français, c'est E. De E à L, il y a 7 rangs : la clé est donc probablement 7. En décalant chaque lettre de 7 rangs en arrière, on lit : « UN MESSAGE CHIFFRE PAR DECALAGE GARDE LA FORME DE LA LANGUE : LA LETTRE LA PLUS FREQUENTE DU MESSAGE CHIFFRE REMPLACE SOUVENT LE E, QUI EST LA PLUS FREQUENTE EN FRANCAIS. »

🟢 Découverte

Chiffrer, c'est rendre un message illisible pour qui n'a pas la clé. Jules César décalait chaque lettre de trois rangs dans l'alphabet. Facile à casser : dans toutes les langues, certaines lettres reviennent plus souvent que d'autres.

🟡 Curieux

Vers 850, le savant arabe al-Kindi écrit le plus ancien traité connu sur l'analyse des fréquences : comparer les lettres les plus fréquentes du message à celles de la langue. Son manuscrit n'a été retrouvé qu'à la fin du XXe siècle dans les archives ottomanes d'Istanbul. En Inde, le Kamasutra compte déjà l'écriture secrète parmi ses 64 arts.

🔴 Ingénieur

En 1883, Auguste Kerckhoffs, un Néerlandais naturalisé français, pose un principe toujours valable : la méthode doit pouvoir « tomber entre les mains de l'ennemi » sans danger. Tout le secret doit tenir dans la clé. Le seul chiffre parfait, le masque jetable, exige une clé aléatoire aussi longue que le message et jamais réutilisée.

Un peu d'histoire

Enigma. Le 31 décembre 1932, des mathématiciens polonais, Marian Rejewski, Jerzy Różycki et Henryk Zygalski, lisent pour la première fois des messages de la machine allemande. Les 25 et 26 juillet 1939, près de Varsovie, ils transmettent tout aux Français et aux Britanniques. À Bletchley Park, Alan Turing et Gordon Welchman conçoivent des machines pour industrialiser le déchiffrement ; en 1945, 75 % du personnel sont des femmes. Joan Clarke, payée moins que ses collègues masculins, devient cheffe adjointe de la Hut 8 ; Mavis Batey joue un rôle clé contre l'Enigma des services secrets allemands.

Aux États-Unis, Elizebeth Friedman déchiffre plus de 12 000 messages de contrebandiers pendant la Prohibition, et Agnes Meyer Driscoll s'attaque aux codes de la marine japonaise. Dans le Pacifique, les code talkers navajos transmettent en langue diné un code que les Japonais n'ont jamais cassé ; les Choctaw l'avaient fait dès 1918, les Comanches débarquent à Utah Beach.

Idées reçues

« Turing a cassé Enigma tout seul. » Les Polonais lisaient Enigma sept ans avant la guerre, et des milliers de personnes, surtout des femmes, ont fait tourner Bletchley Park. « Le chiffre de Vigenère » a été publié en 1553 par l'Italien Giovan Battista Bellaso. Et les « code talkers basques » de 1942 sont un mythe : les historiens n'en ont trouvé aucune trace.

Étape 4 : La clé publique : un secret partagé en public

  1. Alice et Bob choisissent en public un nombre premier p = 23 et une base g = 5.
  2. Alice choisit en secret a = 6 et envoie A = 5⁶ mod 23 = 8. Bob choisit en secret b = 15 et envoie B = 5¹⁵ mod 23 = 19.
  3. Alice calcule 19⁶ mod 23 = 2 ; Bob calcule 8¹⁵ mod 23 = 2. Ils ont le même secret, 2, sans jamais l'avoir envoyé.
  4. Ève, qui écoute, connaît 23, 5, 8 et 19, mais pour retrouver 6 ou 15 il faudrait résoudre un « logarithme discret » : avec des nombres de plusieurs centaines de chiffres, c'est hors de portée.

🟢 Découverte

Pendant des siècles, il fallait se retrouver pour échanger une clé secrète. Depuis les années 1970, deux inconnus peuvent se mettre d'accord sur un secret en se parlant en public : c'est ce que fait ton navigateur au début de chaque connexion HTTPS.

🟡 Curieux

En chiffrement « symétrique » (comme AES, conçu par les Belges Joan Daemen et Vincent Rijmen, norme américaine depuis 2001), la même clé chiffre et déchiffre. En chiffrement « à clé publique », une clé publique chiffre, et seule la clé privée déchiffre. En pratique, on combine les deux : la clé publique sert à convenir d'une clé symétrique, plus rapide.

🔴 Ingénieur

La taille des clés compte : en 1998, une machine à moins de 250 000 dollars a cassé une clé DES de 56 bits en 56 heures. Un futur ordinateur quantique pourrait casser RSA et les courbes elliptiques. Le NIST a publié en 2024 des algorithmes « post-quantiques », et prévoit d'interdire les anciens après 2035 ; Signal et iMessage les utilisent déjà. Le danger actuel : collecter aujourd'hui des messages chiffrés pour les lire demain.

Un peu d'histoire

Whitfield Diffie et Martin Hellman publient l'échange de clés en 1976, Rivest, Shamir et Adleman le chiffrement RSA en 1977. Mais au GCHQ britannique, en secret, James Ellis avait eu l'idée vers 1970, Clifford Cocks trouvé l'équivalent de RSA en 1973, et Malcolm Williamson l'échange de clés peu après. Leur travail n'est rendu public qu'en décembre 1997, un mois après la mort d'Ellis.

Idées reçues

« Les ordinateurs quantiques cassent déjà tout. » Non : selon une estimation de 2025, il faudrait environ un million de qubits pour casser une clé RSA de 2048 bits, loin des machines actuelles. Et le chiffrement symétrique résiste en doublant la taille des clés.

Étape 5 : Qui voit quoi ?

Ce que voit chacun
QuiSite en HTTP (sans cadenas)Site en HTTPSMessagerie chiffrée de bout en bout
Le Wi-Fi du caféTout : le site, les pages, ce que tu tapes dans les formulaires, mots de passe compris.Le nom du site (sauf avec le DNS chiffré et ECH, normalisé en 2026), l’heure, la quantité de données. Pas le contenu.Que tu utilises la messagerie, quand, et combien de données. Pas les messages ni à qui tu écris.
Ton fournisseur d’accèsTout, comme le Wi-Fi.Pareil : le nom du site, l’heure, le volume. Pas les pages ni ce que tu tapes.Pareil que le Wi-Fi.
Le site ou la messagerieTout ce que tu lui envoies, évidemment.Tout : HTTPS chiffre le trajet, pas ce que le site reçoit. Un site d’hameçonnage peut avoir un cadenas.Pas le contenu : seuls les téléphones ont les clés. Mais des métadonnées, plus ou moins selon le service : Signal dit ne pouvoir livrer que la date d’inscription et la dernière connexion.
Un ÉtatTout ce qui passe sur le réseau qu’il peut écouter, et ce qu’il obtient du site.Sur le réseau : comme le fournisseur d’accès. Sinon, ce qu’il obtient du site par une réquisition.Les métadonnées gardées par le service, ou le téléphone lui-même s’il le saisit ou y installe un logiciel espion. C’est ainsi que la police a lu EncroChat en 2020.

🟢 Découverte

HTTPS chiffre le trajet entre toi et un site : le Wi-Fi du café ne voit pas ce que tu tapes, mais le site, lui, voit tout. Le chiffrement de bout en boutChiffrement de bout en bout — Seuls l'expéditeur et le destinataire ont les clés : le service qui transporte les messages ne peut pas les lire. Il voit en revanche des métadonnées (qui, quand). va plus loin : même la messagerie qui transporte tes messages ne peut pas les lire.

🟡 Curieux

WhatsApp chiffre de bout en bout depuis avril 2016 avec le protocole Signal, Messenger par défaut depuis décembre 2023. Telegram, non : ses conversations ordinaires sont chiffrées entre toi et ses serveurs, et seules les « conversations secrètes » le sont de bout en bout. Les métadonnées (qui, quand, combien) restent visibles : un ancien directeur de la NSA disait « nous tuons des gens sur la base de métadonnées ».

🔴 Ingénieur

En 2020, la police française et néerlandaise a lu les messages du réseau EncroChat, utilisé par des criminels, en piégeant directement les téléphones, sans casser le chiffrement. En 2024, la Cour de justice de l'UE a jugé que cette infiltration était une interception, soumise aux règles qui vont avec.

Qui décide ?

Faut-il permettre aux polices de lire les messageries ? Pour les chefs de police européens (2024), le chiffrement de bout en bout empêchera de voir les abus sexuels sur enfants et d'obtenir des preuves. Pour les cryptographes, une porte d'accès « réservée aux gentils » affaiblit la sécurité de tout le monde, et analyser les messages sur les téléphones crée de « graves risques » pour toute la société. Signal a annoncé qu'il quitterait le marché plutôt que de s'y plier.

État au 8 novembre 2026 : le projet de règlement européen contre les abus sexuels sur enfants (dit « Chat Control ») n'a pas abouti : selon les comptes rendus des négociations, le désaccord porte sur la détection dans les messages privés. Le régime provisoire, prolongé jusqu'en avril 2028, ne permet que des détections volontaires et exclut les communications chiffrées de bout en bout.

Idées reçues

« Le chiffrement, c'est pour les criminels. » Il protège chaque paiement en ligne, chaque connexion HTTPS, et les messages de milliards de personnes. En France, depuis 2004, « l'utilisation des moyens de cryptologie est libre ».

Étape 6 : Mettre à jour et sauvegarder

  1. 14 mars 2017 : Microsoft publie le correctif MS17-010, « critique », pour une faille du partage de fichiers de Windows. Personne ne l’exploite encore.
  2. Mi-avril 2017 : Un groupe appelé les Shadow Brokers publie des outils d’attaque volés à la NSA, dont EternalBlue, qui exploite cette faille. Le correctif existe depuis un mois.
  3. 12 mai 2017 : Le rançongiciel WannaCry se répand tout seul d’ordinateur en ordinateur grâce à EternalBlue : environ 300 000 machines dans 150 pays.
  4. 13 mai 2017 : Microsoft publie, à titre exceptionnel, un correctif pour Windows XP et d’autres versions qu’il ne maintenait plus.
  5. 27 octobre 2017 : Selon le National Audit Office britannique, au moins 81 des 236 établissements du service de santé anglais ont été touchés, et des milliers de rendez-vous annulés. L’attaque « aurait pu être évitée » avec les bonnes pratiques de base.

La règle 3-2-1 : garder 3 copies de ses fichiers importants (l'original et 2 sauvegardes), sur 2 types de supports différents, dont 1 hors de chez soi. Un rançongiciel chiffre tout ce qui est branché à l'ordinateur, y compris une clé USB ou un disque laissés connectés : seule une copie débranchée ou distante, avec historique, survit.

🟢 Découverte

Une mise à jour corrige souvent une faille de sécurité. Le plus souvent, on n'est pas attaqué avant que le correctif existe, mais après, parce qu'on ne l'a pas installé. Et une sauvegarde débranchée sauve tes fichiers si tout le reste échoue.

🟡 Curieux

Un rançongicielRançongiciel — Logiciel malveillant qui chiffre les fichiers d'un ordinateur ou d'un réseau et réclame une rançon pour les rendre. La meilleure parade : des mises à jour et des sauvegardes débranchées. chiffre les fichiers et réclame une rançon. En France, l'ANSSI a traité 128 attaques par rançongiciel en 2025, près de la moitié contre des TPE, PME et entreprises de taille intermédiaire. Des hôpitaux ont été touchés : Corbeil-Essonnes en 2022, Armentières en 2024, avec des données de patients publiées.

🔴 Ingénieur

En mars 2024, l'ingénieur Andres Freund remarque qu'une connexion SSH prend une demi-seconde de trop : il découvre une porte dérobée cachée dans xz, une petite bibliothèque présente sur presque tous les Linux, que son unique mainteneur, épuisé, avait confiée à un inconnu. Fin 2021, la faille Log4Shell, dans une autre brique libre utilisée partout, avait été notée 10 sur 10.

Un peu d'histoire

Windows 10 n'est plus mis à jour depuis le 14 octobre 2025, sauf inscription à un programme de mises à jour étendues, prolongé jusqu'en octobre 2027. Beaucoup d'ordinateurs ne peuvent pas passer à Windows 11 : le cabinet Canalys estimait en 2023 que 240 millions de PC risquaient de devenir des déchets. Le module La matérialité du numérique parle de ce qu'ils deviennent.

Idées reçues

« Mettre à jour, c'est risqué. » WannaCry exploitait une faille corrigée deux mois plus tôt. Les mises à jour défectueuses existent, d'où le conseil de faire une sauvegarde avant ; mais ne pas mettre à jour est bien plus risqué.

Ce qu'il faut retenir

  1. Long plutôt que compliqué, et un mot de passe différent par site, grâce à un gestionnaire.
  2. Active la double authentification, et les passkeys quand le site les propose : elles déjouent l'hameçonnage.
  3. Méfie-toi de l'urgence : passe par l'appli ou l'adresse que tu tapes toi-même ; aucune banque ne demande tes codes.
  4. Le chiffrement protège tout le monde ; une porte dérobée « pour les gentils » affaiblit la sécurité de tous.
  5. Mets à jour vite et sauvegarde, avec une copie débranchée ou hors de chez toi.

Pour aller plus loin : la fiche Vrai ou faux ? sur la navigation privée, Surveillance et vie privée, et le jeu Quêtes de Sysadmin, où l'on protège un serveur.