Sécurité : protéger tes accès et tes mots de passe

Quand on parle de sécurité d’un site web, beaucoup pensent tout de suite au petit cadenas dans la barre d’adresse : le fameux HTTPS. C’est important, mais ce n’est qu’une porte parmi d’autres. La grande majorité des sites piratés ne le sont pas à cause d’un défaut technique mystérieux, mais parce qu’un mot de passe était trop faible ou traînait au mauvais endroit. La bonne nouvelle : te protéger ne demande ni bagage technique, ni gros budget.

Le HTTPS : nécessaire, mais pas suffisant

Le cadenas HTTPS veut dire que les échanges entre ton visiteur et ton site sont chiffrés : personne ne peut espionner ce qui circule. C’est le strict minimum aujourd’hui, et la plupart des hébergements l’offrent gratuitement. Mais attention : ce cadenas ne protège pas ton compte d’administration. Il sécurise le trajet, pas les clés de la maison. Pour ça, il faut regarder ailleurs.

Des mots de passe forts et uniques

Le pire ennemi de ta sécurité, c’est le mot de passe recyclé. Si tu utilises le même partout, il suffit qu’un seul service se fasse pirater pour que tous tes comptes deviennent vulnérables. Un bon mot de passe est long, unique à chaque site, et impossible à deviner. Le truc le plus simple : un gestionnaire de mots de passe, qui les crée et les retient à ta place. Tu n’as plus qu’un seul mot de passe maître à mémoriser.

• Un mot de passe différent pour chaque service important.
• Des mots de passe longs, plutôt qu’une petite chaîne compliquée.
• Un gestionnaire de mots de passe pour tout retenir à ta place.
• La double authentification activée partout où c’est possible.
• Jamais de mot de passe envoyé par message ou noté sur un papier collant.

La double authentification : ta deuxième serrure

La double authentification, c’est un deuxième code demandé en plus de ton mot de passe, souvent envoyé sur ton téléphone ou généré par une petite application. Même si quelqu’un devinait ton mot de passe, il resterait bloqué sans ce second code. Ça prend deux minutes à activer et ça bloque l’écrasante majorité des tentatives de piratage. C’est probablement le meilleur geste de sécurité que tu peux poser aujourd’hui.

Un site se pirate rarement par la grande porte. Presque toujours, c’est par une clé qui traînait.

Contrôler qui a les clés

Avec le temps, on donne des accès à un peu tout le monde : le stagiaire, l’ancienne graphiste, le cousin qui « connaît ça ». Puis on oublie. Fais le ménage de temps en temps : qui a encore accès à ton site, et en ont-ils vraiment besoin ? Donne à chaque personne juste ce qu’il lui faut, pas les pleins pouvoirs, et retire les accès dès que la collaboration se termine. Moins il y a de clés en circulation, moins il y a de risques.

Si tu n’es pas certain que tes accès sont bien protégés, ou si tu ne sais plus qui peut toucher à ton site, écris-moi : on regarde ça ensemble, calmement, et on met en place les quelques réflexes qui te gardent l’esprit tranquille.