Checklist

Un mot de passe trop court, ou qui contient des mots du dictionnaire, des lieux ou des noms, se casse facilement par force brute ou se devine. Le plus simple pour obtenir un mot de passe fort est de le faire long (12 caractères ou plus) : pensez à une « phrase de passe » composée de plusieurs mots. Vous pouvez aussi utiliser un générateur pour créer un mot de passe long et aléatoire. Testez How Secure Is My Password? de Security.org pour voir à quelle vitesse les mots de passe courants sont cassés. Pour aller plus loin : securityinabox.org.

Si un mot de passe est réutilisé et que l'un des sites concernés subit une fuite, un criminel peut facilement accéder aux autres comptes. Cela se fait généralement par des tentatives de connexion automatisées à grande échelle, appelées « credential stuffing ». C'est malheureusement très courant, mais la parade est simple : un mot de passe différent pour chacun de vos comptes en ligne.

Pour la plupart des gens, retenir des centaines de mots de passe forts et uniques est quasiment impossible. Un gestionnaire de mots de passe génère, stocke et remplit automatiquement vos identifiants. Tous vos mots de passe sont chiffrés avec un mot de passe maître (que vous devez retenir, et qui doit être très fort). La plupart des gestionnaires ont des extensions de navigateur et des applis mobiles, vos identifiants sont donc disponibles sur tous vos appareils. Un bon choix polyvalent : Bitwarden. Voir aussi les gestionnaires recommandés.

Il arrive qu'on doive partager l'accès à un compte, mais il vaut mieux l'éviter : cela facilite sa compromission. Si c'est vraiment nécessaire (par exemple un compte commun dans une équipe), passez par les fonctions de partage intégrées à un gestionnaire de mots de passe.

L'A2F exige à la fois quelque chose que vous savez (un mot de passe) et quelque chose que vous possédez (par exemple un code sur votre téléphone). Ainsi, même si quelqu'un obtient votre mot de passe (phishing, malware, fuite de données), il ne peut pas se connecter. C'est simple : installez une application d'authentification sur votre téléphone, puis activez l'A2F dans les paramètres de sécurité de votre compte. À la prochaine connexion depuis un nouvel appareil, le code affiché dans l'appli vous sera demandé (il fonctionne hors ligne et change généralement toutes les 30 secondes).

Quand vous activez l'authentification multifacteur, vous recevez généralement plusieurs codes à utiliser si votre méthode d'A2F est perdue, cassée ou indisponible. Rangez-les en lieu sûr pour éviter perte et accès non autorisé : sur papier ou dans un endroit sûr sur disque (stockage hors ligne, fichier ou disque chiffré). Ne les mettez pas dans votre gestionnaire de mots de passe : le second facteur et les mots de passe doivent rester séparés.

Après une fuite de données importante, les données volées finissent souvent sur Internet. Certains sites collectent ces fuites et vous permettent de vérifier si votre adresse e-mail y figure. Firefox Monitor, Have I Been Pwned et DeHashed proposent une surveillance qui vous prévient si votre adresse apparaît dans un nouveau jeu de données. Mieux vaut le savoir au plus tôt pour changer les mots de passe des comptes concernés. Have I Been Pwned propose aussi une alerte pour tout un domaine, utile si vous utilisez des alias de redirection anonyme.

Quand vous tapez votre mot de passe dans un lieu public, assurez-vous de ne pas être dans le champ d'une caméra et que personne ne regarde par-dessus votre épaule. Couvrez votre saisie et n'affichez jamais un mot de passe en clair à l'écran.

Les fuites de bases de données sont fréquentes, et plusieurs de vos mots de passe sont probablement déjà quelque part en ligne. Renouveler de temps en temps ceux des comptes critiques limite le risque. Mais si tous vos mots de passe sont longs, forts et uniques, inutile de le faire souvent : une fois par an suffit. Imposer des changements réguliers en entreprise n'est plus recommandé, car cela pousse à choisir des mots de passe plus faibles.

La plupart des navigateurs proposent d'enregistrer vos identifiants à la connexion. Refusez : ils ne sont pas toujours chiffrés et peuvent permettre à quelqu'un d'accéder à vos comptes. Utilisez plutôt un gestionnaire de mots de passe dédié pour les stocker et les remplir.

Évitez de vous connecter depuis l'ordinateur de quelqu'un d'autre : impossible de savoir s'il est sain. Soyez particulièrement prudent avec les machines publiques, où malwares et traçage sont plus fréquents, et plus encore pour les comptes critiques comme la banque en ligne. Si vous devez utiliser la machine d'un tiers, ouvrez une fenêtre de navigation privée (Ctrl+Maj+N / Cmd+Maj+N) : le navigateur n'enregistrera ni identifiants, ni cookies, ni historique.

Certains sites permettent de définir un indice de mot de passe, souvent très facile à deviner. Si l'indice est obligatoire, mettez une réponse aléatoire et notez-la dans votre gestionnaire (Nom de la première école : 6D-02-8B-!a-E8-8F-81).

Si un site pose des questions de sécurité (lieu de naissance, nom de jeune fille de la mère, première voiture…), ne donnez pas les vraies réponses : un attaquant les trouve facilement en ligne ou par ingénierie sociale. Inventez une réponse et conservez-la dans votre gestionnaire de mots de passe. De vrais mots valent mieux que des caractères aléatoires, comme expliqué ici.

N'utilisez pas de PIN court pour déverrouiller votre smartphone ou votre ordinateur. Préférez un mot de passe ou un PIN bien plus long. Les codes uniquement numériques se cassent facilement : un PIN de 4 chiffres offre 10 000 combinaisons, contre 7,4 millions pour un code alphanumérique de 4 caractères.

Pour l'authentification multifacteur, préférez une appli ou une clé physique quand c'est possible. Le SMS est exposé à plusieurs menaces courantes comme le SIM swapping et l'interception. Rien ne garantit non plus comment votre numéro sera stocké ni à quoi il servira. En pratique, le SMS ne fonctionne qu'avec du réseau et peut être lent. Si un service exige un numéro pour la récupération, envisagez un second numéro prépayé réservé à cet usage.

Beaucoup de gestionnaires savent aussi générer des codes A2F. Mieux vaut ne pas utiliser votre gestionnaire principal comme authentificateur : il deviendrait un point de défaillance unique en cas de compromission. Utilisez plutôt une application d'authentification dédiée sur votre téléphone ou votre ordinateur.

La plupart des téléphones et ordinateurs portables proposent la reconnaissance faciale, qui compare une image de votre visage à une empreinte enregistrée. C'est pratique, mais il existe de nombreuses façons de la tromper, à partir de photos ou de reconstructions issues de vidéosurveillance. Contrairement à votre mot de passe, des photos de votre visage existent probablement sur Internet et dans des enregistrements de caméras.

Un keylogger matériel est un petit appareil placé entre le clavier et le port USB : il intercepte toutes les frappes et les transmet parfois à un serveur distant. L'attaquant voit tout ce qui est tapé, mots de passe compris. La meilleure protection consiste à vérifier le branchement USB quand votre PC est resté sans surveillance. Un keylogger peut aussi être caché dans le boîtier du clavier : cherchez des traces d'ouverture, et pensez à apporter votre propre clavier au travail. Ce qui est saisi au clavier virtuel, collé depuis le presse-papiers ou rempli par un gestionnaire de mots de passe échappe à un keylogger matériel.

Une clé de sécurité U2F/FIDO2 est un appareil USB (ou NFC) que vous insérez à la connexion pour prouver votre identité, à la place d'un code d'authentificateur. SoloKey et NitroKey en sont des exemples. Elles apportent plusieurs bénéfices : le navigateur communique directement avec la clé, qui ne peut pas être trompée sur le site demandeur puisque le certificat TLS est vérifié. Cet article explique bien la sécurité des clés FIDO U2F. Rangez la clé en lieu sûr ou gardez-la sur vous. Certains comptes permettent d'activer plusieurs méthodes d'A2F.

Les passkeys (aussi appelées FIDO2 WebAuthn) sont une méthode d'authentification sans mot de passe, plus sûre et plus pratique. Elles s'appuient sur la biométrie de votre appareil (empreinte, reconnaissance faciale) ou sur un PIN, et résistent au phishing. De nombreux services les acceptent désormais, dont Google, Apple, Microsoft et GitHub. Activez-les sur les comptes qui les proposent, à la place du mot de passe ou comme second facteur supplémentaire.

Pour plus de sécurité, un gestionnaire chiffré hors ligne vous donne le contrôle total de vos données. KeePass est un choix répandu, avec de nombreux plugins et des variantes communautaires. Clients populaires : KeePassXC (ordinateur), KeePassDX (Android) et StrongBox (iOS). Inconvénient : c'est un peu moins pratique, et c'est à vous de le sauvegarder et de le stocker en sécurité.

Un mot de passe différent par compte est un bon début, mais si vous utilisez aussi un nom d'utilisateur, une adresse e-mail ou un numéro de téléphone unique pour vous connecter, l'accès non autorisé devient bien plus difficile. Pour les adresses multiples, le plus simple est d'utiliser des alias de redirection anonyme : tout ce qui arrive sur [nimporte-quoi]@votredomaine.com atterrit dans votre boîte, ce qui permet une adresse par compte (voir les fournisseurs d'alias). Les noms d'utilisateur se génèrent et se stockent facilement dans votre gestionnaire. Des numéros virtuels peuvent être obtenus auprès de votre fournisseur VoIP.

Dans les paramètres de sécurité de vos comptes importants, vérifiez régulièrement la liste des sessions actives et des appareils connectés, déconnectez ce que vous ne reconnaissez pas et activez les alertes de nouvelle connexion.

L'adresse qui sert à récupérer vos comptes ne doit pas être votre adresse de tous les jours. Utilisez-en une dédiée, connue de personne, protégée par son propre mot de passe fort et l'A2F.

Chaque compte dormant est une fuite potentielle. Faites la liste de vos comptes (votre gestionnaire de mots de passe aide), supprimez ceux dont vous n'avez plus besoin, en effaçant d'abord les données stockées quand c'est possible.

Un bloqueur de publicités améliore votre confidentialité en bloquant les traceurs embarqués dans les pubs. uBlock Origin est une extension libre et très efficace, développée par Raymond Hill. Les publicités tierces peuvent vous suivre et collecter des informations sur vous et vos habitudes, revendues ou utilisées pour du ciblage ; certaines sont carrément malveillantes ou frauduleuses. Bloquer les pubs accélère aussi le chargement des pages, consomme moins de données et allège l'affichage.

Cela paraît évident, mais avant de vous connecter à un compte, vérifiez bien l'URL. Enregistrer vos sites habituels dans les favoris est un bon moyen de toujours tomber sur la bonne adresse. Sur un nouveau site, repérez les signaux d'alerte : avertissements du navigateur, redirections, spam et pop-ups. En cas de doute, vérifiez le site avec un outil comme Virus Total, IsLegitSite ou Google Safe Browsing.

Votre système ou votre navigateur peut être compromis par des logiciels espions, des mineurs, des pirates de navigateur, des redirections malveillantes, des adwares… Vous restez généralement protégé en ignorant les pop-ups, en faisant attention à ce sur quoi vous cliquez et en n'allant pas sur un site signalé comme dangereux par le navigateur. Signes fréquents d'infection : moteur de recherche ou page d'accueil modifiés, barres d'outils, extensions ou icônes inconnues, beaucoup plus de pubs, erreurs et pages bien plus lentes que d'habitude. Ces articles de Heimdal expliquent les signes d'infection, comment les navigateurs sont infectés et comment s'en débarrasser.

Firefox (avec quelques réglages) et Brave sont des navigateurs sûrs et respectueux de la vie privée : rapides, libres, simples et disponibles sur tous les grands systèmes. Votre navigateur voit tout ce que vous faites en ligne ; si possible, évitez Google Chrome, Edge et Safari qui, sans configuration adaptée, collectent des données d'usage, contactent leurs serveurs et permettent un pistage invasif. Firefox demande quelques ajustements pour une sécurité optimale, par exemple les configurations user.js d'arkenfox ou de 12byte. Voir aussi : navigateurs respectueux.

Un moteur de recherche qui ne vous piste pas réduit le risque que vos recherches soient enregistrées ou utilisées contre vous. Essayez DuckDuckGo ou Qwant. Google applique des politiques de pistage extrêmement invasives et a déjà affiché des résultats biaisés. Google, comme Bing, Baidu, Yahoo et Yandex, est donc incompatible avec la protection de la vie privée. Changez le moteur par défaut de votre navigateur pour un moteur respectueux.

Une extension peut voir, enregistrer ou modifier tout ce que vous faites dans le navigateur, et certaines extensions d'apparence anodine sont malveillantes. Les sites peuvent aussi voir vos extensions et s'en servir pour affiner votre empreinte et vous suivre plus précisément. Les boutiques de Firefox et de Chrome indiquent les permissions demandées avant l'installation. Lisez les avis, n'installez que ce dont vous avez vraiment besoin et supprimez ce que vous n'utilisez plus.

Des failles de navigateur sont constamment découvertes et corrigées : mettez-le à jour pour éviter les exploits zero-day. Vérifiez votre version ici ou suivez ce guide pour la mise à jour. Certains navigateurs se mettent à jour automatiquement.

Sur un site sans HTTPS, les données que vous saisissez circulent en clair et peuvent être lues par quiconque les intercepte. N'y saisissez rien, mais ne vous fiez pas non plus aveuglément au cadenas : un certificat ne garantit pas qu'un site est légitime ou digne de confiance. HTTPS-Everywhere, développée par l'EFF, était une extension qui forçait le HTTPS ; elle est abandonnée depuis 2022, car la plupart des navigateurs intègrent désormais ces protections. L'EFF explique comment activer le mode HTTPS uniquement dans Firefox, Chrome, Edge et Safari.

Le DNS classique envoie les requêtes en clair, visibles par tous, ce qui permet l'espionnage et la manipulation des réponses par une attaque de l'homme du milieu. Le DNS-over-HTTPS passe par le protocole HTTPS : les échanges entre vous et votre résolveur sont chiffrés. Une option répandue est le 1.1.1.1 de Cloudflare ; comparez les fournisseurs, l'activation dans le navigateur est simple. Le DoH a ses propres limites, notamment il empêche le filtrage web.

Le cloisonnement est essentiel pour séparer les différents usages de votre navigation. Des profils distincts pour le travail, la navigation courante, les réseaux sociaux, les achats… réduisent les recoupements que les courtiers en données peuvent faire. Les conteneurs Firefox sont conçus pour cela. Vous pouvez aussi utiliser des navigateurs différents selon les tâches (Brave, Firefox, Tor, etc.).

Sur la machine de quelqu'un d'autre, ouvrez une fenêtre de navigation privée. L'historique, les cookies et une partie des données ne seront pas enregistrés, mais ce n'est pas infaillible : vous pouvez toujours être pisté.

Le fingerprinting est une méthode de pistage très précise : le site vous identifie à partir des caractéristiques de votre appareil. Vous pouvez voir votre empreinte sur amiunique.org. Le but est d'être le moins unique possible.

Effacer régulièrement vos cookies limite le pistage par les sites. Les cookies peuvent aussi contenir votre jeton de session : s'il est volé, quelqu'un peut accéder à vos comptes sans identifiants. Effacez-les souvent.

Les cookies tiers sont déposés par un autre site que celui que vous visitez, ce qui permet à une tierce partie de collecter des données sur votre session. Désactivez-les dans les paramètres de votre navigateur, puis vérifiez que c'est bien pris en compte.

Bloquer les traceurs empêche sites, annonceurs, outils d'analyse et autres de vous suivre en arrière-plan. Privacy Badger, DuckDuckGo Privacy Essentials, uBlock Origin et uMatrix (avancé) sont des bloqueurs libres et très efficaces, disponibles pour tous les grands navigateurs.

Certaines redirections sont inoffensives, mais d'autres, comme les redirections non validées, servent au phishing en donnant à un lien malveillant une apparence légitime. En cas de doute, vérifiez la destination réelle avec un outil comme RedirectDetective.

Beaucoup de navigateurs proposent un compte pour synchroniser historique, favoris et données entre appareils. Cela permet davantage de collecte et augmente la surface d'attaque, en offrant un autre moyen d'accéder à vos informations personnelles.

Certains navigateurs proposent des suggestions en temps réel ou le remplissage automatique des URL. Dans ce cas, vos frappes sont envoyées à Google (ou à votre moteur par défaut) à chaque touche, et non à la validation.

Sur une page en langue étrangère, on peut vous proposer l'extension Google Traduction. Google collecte alors toutes les données, champs de saisie compris, ainsi que des informations sur l'utilisateur. Utilisez plutôt un service de traduction qui n'est pas lié à votre navigateur.

Les notifications push sont un moyen courant pour les criminels de vous faire cliquer, car leur origine est facile à usurper. Restez vigilant et désactivez-les dans les paramètres du navigateur.

Le téléchargement furtif (« drive-by download ») est une méthode courante pour déposer des fichiers malveillants. Désactivez les téléchargements automatiques et méfiez-vous des sites qui vous proposent un téléchargement inattendu.

Les sites mobiles peuvent accéder aux capteurs de votre appareil sans demander. Si vous accordez une fois ces permissions au navigateur, tous les sites peuvent s'en servir sans autorisation ni notification.

Les services de localisation permettent aux sites de demander votre position. Désactivez-les dans les paramètres. D'autres méthodes permettent toutefois d'estimer votre position approximative.

Vérifiez dans les paramètres du navigateur qu'aucun site n'a accès à la webcam ou au micro. Une protection physique, comme un cache webcam et un bloqueur de micro, peut aussi être utile.

Ne laissez pas le navigateur stocker vos identifiants : ils se consultent ou se récupèrent facilement. Utilisez plutôt un gestionnaire de mots de passe.

Désactivez le remplissage automatique des informations personnelles ou confidentielles : c'est dangereux si le navigateur est compromis. Utilisez plutôt la fonction Notes de votre gestionnaire de mots de passe.

L'attaque CSS Exfiltrate permet de dérober des identifiants et d'autres données sensibles avec du CSS pur. L'extension CSS Exfil Protection vous en protège.

ActiveX est une API d'extension intégrée à Internet Explorer et activée par défaut. Elle est peu utilisée aujourd'hui, mais donne des droits étendus aux plugins et peut être dangereuse : désactivez-la.

WebRTC permet l'audio, la vidéo et le partage de fichiers en pair-à-pair directement depuis le navigateur, mais peut provoquer des fuites d'informations, notamment de votre adresse IP réelle.

Le fingerprinting par canvas permet d'identifier et de suivre très précisément les utilisateurs. L'extension Canvas-Fingerprint-Blocker brouille cette empreinte ; vous pouvez aussi utiliser Tor.

Le user agent indique au site votre appareil, votre navigateur et sa version. En changer régulièrement vous rend un peu moins unique.

Activer le Do Not Track a très peu d'effet, car beaucoup de sites l'ignorent. Peu utilisé, il peut même rendre votre signature plus unique.

HSTS a été conçu pour sécuriser les sites, mais il peut servir à déposer des « super-cookies ». Dans les navigateurs basés sur Chromium, il se gère depuis chrome://net-internals/#hsts.

Même quand vous ne l'utilisez pas, votre navigateur peut contacter ses serveurs pour envoyer des statistiques d'usage et des diagnostics. Désactivez-en une partie dans les paramètres.

L'isolation first-party cloisonne tous les identifiants et l'état du navigateur par domaine de la barre d'adresse, ce qui réduit fortement le pistage.

Les sites ajoutent souvent des paramètres aux liens pour identifier la source ou le référent. Nettoyez-les à la main, ou utilisez une extension comme ClearURLs pour les supprimer automatiquement.

Au premier lancement, avant tout réglage, la plupart des navigateurs contactent leurs serveurs. Après l'installation, coupez d'abord votre connexion, configurez la confidentialité, puis reconnectez-vous.

Le projet Tor fournit un navigateur qui chiffre votre trafic et le fait transiter par plusieurs nœuds, ce qui vous protège de l'interception et du pistage. Ses inconvénients : la vitesse et le confort d'utilisation.

Beaucoup d'applications web reposent sur JavaScript : le désactiver dégrade fortement la navigation. Mais si vous voulez aller jusqu'au bout, cela réduit nettement votre surface d'attaque.

De faux sites achetés en publicité apparaissent souvent au-dessus du vrai résultat, en particulier pour les wallets, les exchanges et les banques. Ignorez les liens sponsorisés et passez par vos favoris ou l'adresse officielle.

Utilisez une adresse différente pour les échanges sensibles et pour le courrier secondaire comme les newsletters. Ce cloisonnement limite les dégâts d'une fuite de données et facilite la récupération d'un compte compromis.

Ne partagez pas publiquement votre adresse principale : l'adresse e-mail est souvent le point de départ des attaques de phishing.

Utilisez un mot de passe long et unique, activez l'A2F et soyez prudent à la connexion. Votre boîte mail est, pour un attaquant, une porte d'entrée facile vers tous vos autres comptes.

Les e-mails peuvent contenir du contenu distant, comme des images ou des feuilles de style, souvent chargé automatiquement. Désactivez-le : il expose votre adresse IP et des informations sur votre appareil, et sert souvent au pistage. Plus d'informations dans cet article.

Il existe deux grands types d'e-mails : le texte brut et le HTML. Le texte brut est nettement préférable pour la confidentialité et la sécurité, car les messages HTML contiennent souvent des identifiants dans les liens et les images intégrées, qui collectent des données d'usage et personnelles. Le HTML expose aussi à des risques d'exécution de code à distance visant le moteur de rendu de votre client mail, impossibles en texte brut. Instructions par fournisseur sur UsePlaintext.email.

Si vous donnez à une application ou un plugin tiers un accès complet à votre boîte, il a en pratique un accès total à tous vos messages et à leur contenu, ce qui pose des risques importants pour la sécurité et la vie privée.

Les e-mails s'interceptent très facilement, et vous ne savez pas à quel point l'environnement de votre destinataire est sûr. Ils ne sont donc pas un moyen sûr d'échanger des informations confidentielles, sauf s'ils sont chiffrés.

Des fournisseurs sûrs et reconnus comme Forward Email, ProtonMail et Tutanota proposent le chiffrement de bout en bout, une vraie confidentialité et des fonctions orientées sécurité. Contrairement aux fournisseurs classiques, personne d'autre que vous ne peut lire votre boîte, puisque tous les messages sont chiffrés.

OpenPGP ne gère pas la confidentialité persistante (forward secrecy) : si votre clé privée ou celle du destinataire est volée, tous les anciens messages chiffrés avec elle sont exposés. Prenez donc grand soin de vos clés privées. Une méthode consiste à utiliser une clé USB de type smart card pour signer ou déchiffrer, sans que la clé privée ne quitte jamais l'appareil.

Les alias permettent de recevoir les messages envoyés à [nimporte-quoi]@mon-domaine.com dans votre boîte principale. Vous utilisez ainsi une adresse unique pour chaque service. Si vous recevez du spam, vous bloquez l'alias concerné et savez quelle entreprise a laissé fuiter votre adresse.

Alternative aux alias : la sous-adresse, où tout ce qui suit le symbole + est ignoré à la distribution. Vous savez ainsi qui a partagé ou laissé fuiter votre adresse, mais contrairement aux alias, votre vraie adresse reste visible.

Avec votre propre domaine, vous ne dépendez plus de l'adresse fournie par votre fournisseur : vous pouvez en changer facilement et n'avez pas à craindre la fermeture d'un service.

Pour ne pas perdre l'accès à vos e-mails lors d'un incident (panne, compte bloqué), Thunderbird peut synchroniser et sauvegarder par IMAP les messages de plusieurs comptes et les stocker localement sur votre appareil principal.

Vous ne savez pas à quel point l'environnement de votre destinataire est sûr. Certaines extensions parcourent automatiquement les messages et construisent des bases de contacts détaillées à partir des signatures.

Les messages d'absence sont utiles pour prévenir d'un délai de réponse, mais révèlent trop souvent des informations exploitables en ingénierie sociale et dans des attaques ciblées.

N'utilisez pas de protocoles obsolètes (antérieurs à IMAPv4 ou POPv3) : ils ont des failles connues et une sécurité dépassée.

Héberger soi-même son serveur mail est déconseillé aux non-spécialistes : le sécuriser correctement est critique et demande de solides connaissances réseau.

POP3, IMAP et SMTP disposent de ports chiffrés standard. Ils sont simples à utiliser et largement pris en charge : utilisez-les toujours à la place des ports en clair.

Pour un serveur mail auto-hébergé, afin que des problèmes DNS n'affectent pas la disponibilité, configurez au moins 2 enregistrements MX, avec des MX secondaires et tertiaires en secours si le principal tombe.

Pour un serveur mail auto-hébergé (SMTP en particulier), limitez le nombre total de connexions simultanées et le débit maximal de connexion pour réduire l'impact des attaques de bots.

Pour un serveur mail auto-hébergé, vous améliorez le filtrage du spam et durcissez la sécurité en tenant à jour une liste noire locale d'adresses IP et des listes de blocage d'URI en temps réel pour filtrer les liens malveillants.

Une pièce jointe inattendue, même d'un expéditeur connu, est un moyen classique de diffuser un malware. Vérifiez auprès de l'expéditeur par un autre canal et, en cas de doute, analysez-la d'abord ou ouvrez-la dans un environnement isolé.

Un attaquant qui accède à votre boîte ajoute souvent une règle de transfert ou un filtre pour continuer à lire votre courrier. Vérifiez régulièrement ces réglages : une règle que vous n'avez pas créée est un signe de compromission.

De vieux messages avec des scans de pièces d'identité, des mots de passe ou des informations financières sont un trésor en cas d'intrusion. Rangez ce dont vous avez besoin dans un stockage chiffré et supprimez le reste, corbeille comprise.

Le nom affiché ne prouve rien. En cas de doute, regardez les en-têtes complets : la vraie adresse d'expédition, les serveurs traversés et les résultats SPF, DKIM et DMARC.

Si vous avez un nom de domaine, publiez des enregistrements SPF, DKIM et DMARC pour que personne ne puisse envoyer d'e-mails crédibles en votre nom. Un domaine qui n'envoie pas d'e-mails doit le déclarer (SPF -all, DMARC p=reject).

Avec le chiffrement de bout en bout, les messages sont chiffrés sur votre appareil et ne sont déchiffrés que chez le destinataire. Quiconque intercepte le trafic ne peut pas lire leur contenu, pas plus que ceux qui ont accès aux serveurs centraux où les données sont stockées.

Un code open source peut être examiné et audité de manière indépendante par toute personne compétente, pour vérifier l'absence de porte dérobée, de faille ou d'autre problème de sécurité.

Choisissez une application entièrement open source, stable, activement maintenue et, idéalement, soutenue par des développeurs reconnus.

Activez les paramètres de sécurité : vérification des contacts, notifications de sécurité, chiffrement. Désactivez les fonctions facultatives sans rapport avec la sécurité : accusés de lecture, dernière connexion, indicateur de saisie.

Une conversation n'est jamais plus sûre que son maillon le plus faible. Le moyen le plus simple d'infiltrer un canal est souvent de viser la personne ou l'appareil le moins protégé.

Certaines messageries mobiles proposent une version web ou ordinateur. Cela augmente la surface d'attaque et a été lié à plusieurs failles critiques : à éviter si possible.

Le risque de compromission augmente fortement avec le nombre de participants, car la surface d'attaque s'élargit. Vérifiez régulièrement que tous les membres sont légitimes.

Vos communications peuvent être surveillées ou interceptées à plusieurs niveaux : votre appareil ou celui de vos correspondants, votre fournisseur d'accès, les passerelles nationales ou la journalisation gouvernementale, le fournisseur de la messagerie, les serveurs.

Dans certaines situations, un plan de communication est utile. Il précise les moyens principaux et de secours pour se joindre de façon sécurisée.

Les métadonnées sont des « données sur les données », des informations supplémentaires attachées à un fichier. En envoyant une photo, un enregistrement audio, une vidéo ou un document, vous pouvez en révéler bien plus que prévu.

Envoyer des liens peut exposer involontairement vos informations personnelles, car la miniature ou l'aperçu est généré côté client, depuis votre appareil.

Assurez-vous toujours de parler à la bonne personne et qu'elle n'a pas été compromise. Une méthode consiste à utiliser une application qui permet de vérifier les contacts.

Les messages autodestructeurs s'effacent automatiquement après un délai défini. Si votre appareil est perdu, volé ou saisi, un adversaire n'accède qu'aux échanges les plus récents.

Le SMS est pratique mais pas sûr : il est exposé à l'interception, au SIM swapping, à la manipulation et aux malwares.

Méfiez-vous des messageries qui embarquent des traceurs : les statistiques d'usage détaillées qu'elles collectent sont souvent très invasives et peuvent révéler votre identité et des informations que vous ne vouliez pas partager.

Prenez aussi en compte le pays où l'organisation est établie et celui où les données sont hébergées.

Si vous pensez pouvoir être ciblé, choisissez une messagerie anonyme qui n'exige ni numéro de téléphone ni autre donnée d'identification pour s'inscrire ou l'utiliser.

Choisissez une plateforme qui met en œuvre la confidentialité persistante (forward secrecy) : l'application génère une nouvelle clé de chiffrement pour chaque message.

Si toutes les données passent par un fournisseur central, vous devez lui confier vos données et métadonnées, sans pouvoir vérifier que le système en service est authentique et sans porte dérobée.

Les aperçus de messages sur un écran verrouillé sont lisibles par n'importe qui à proximité. N'affichez que l'arrivée d'un message, sans son contenu ni son expéditeur.

Ajoutez un verrou séparé (PIN ou biométrie) à votre messagerie, pour qu'un téléphone laissé déverrouillé ne livre pas vos conversations.

Les sauvegardes de discussions dans le cloud ne sont souvent pas chiffrées de bout en bout et peuvent être lues par le fournisseur ou par quiconque accède au compte cloud. Désactivez-les, ou utilisez les sauvegardes chiffrées de bout en bout si l'application les propose.

Sur Signal et les applications similaires, un PIN de verrouillage d'enregistrement empêche quelqu'un qui détourne votre numéro de réinscrire votre compte sur un autre appareil.

Les messageries peuvent être associées à des ordinateurs et des tablettes. Passez régulièrement en revue la liste des appareils associés et retirez ceux que vous ne reconnaissez pas.

Les profils de réseaux sociaux sont très souvent volés ou piratés. Pour protéger votre compte : un mot de passe fort et unique, et l'authentification à deux facteurs.

La plupart des réseaux sociaux permettent de régler la confidentialité. Assurez-vous d'être à l'aise avec les données que vous exposez et avec qui les voit.

Il existe encore de nombreux moyens de voir le contenu « privé » d'un utilisateur sur la plupart des réseaux. Avant de publier, de poster ou de commenter, demandez-vous : « Est-ce que ça me gênerait que ce soit totalement public ? »

Quasiment chaque publication, commentaire ou photo est sauvegardé en continu par une multitude de services tiers qui archivent ces données, les indexent et les rendent publiques presque pour toujours.

Les informations de profil sont une mine d'or pour les attaquants, exactement le type de données qui sert à personnaliser le phishing. Évitez de donner trop de détails (date de naissance, ville d'origine, école…).

Statuts, commentaires, check-ins et médias peuvent révéler bien plus que prévu, surtout les photos et vidéos, qui montrent parfois des choses en arrière-plan.

Publier votre vraie adresse e-mail ou votre numéro donne davantage de munitions aux pirates, trolls et spammeurs, et permet de relier entre eux des alias, profils ou données distincts.

Par défaut, beaucoup d'applis de réseaux sociaux demandent l'accès à vos contacts, à votre journal d'appels, à votre position, à vos messages… Si elles n'en ont pas besoin, refusez.

Évitez de créer des comptes avec la connexion d'un réseau social, et révoquez l'accès des applis que vous n'utilisez plus.

Si vous partagez un contenu qui révèle un lieu, attendez d'en être parti. C'est particulièrement important en voyage, au restaurant, sur un campus, à l'hôtel, dans un bâtiment public ou à l'aéroport.

La plupart des smartphones et certains appareils photo ajoutent automatiquement à chaque photo un ensemble complet de données (EXIF). Retirez-les avant la mise en ligne.

Des outils comme Fawkes modifient très légèrement la structure des visages sur les photos, de façon imperceptible à l'œil, mais suffisante pour empêcher les systèmes de reconnaissance faciale de les identifier.

Même si vous n'utilisez jamais les réseaux sociaux, d'autres, moins prudents, peuvent révéler votre position.

Si vous voulez seulement lire et publier peu, envisagez un pseudonyme et de fausses coordonnées.

Les réseaux sociaux sont fondamentalement contraires à la vie privée : pour une sécurité et une confidentialité maximales, évitez les grands réseaux.

Les faux profils collectent vos contacts, vos photos et vos habitudes avant une arnaque. N'acceptez que les personnes que vous connaissez vraiment, et vérifiez par un autre canal en cas de doute.

Désactivez la reconnaissance et l'identification automatiques des visages dans les réseaux sociaux et les services photo, pour que votre visage ne soit pas reconnu sur les photos des autres.

La plupart des réseaux permettent d'empêcher les moteurs de recherche de référencer votre profil. Activez cette option pour que votre nom n'y mène pas directement.

Des années de publications révèlent vos habitudes, vos lieux, votre famille et vos biens. Faites le tri et supprimez les anciennes, surtout celles qui contiennent des détails personnels ou financiers.

Les quiz du type « le nom de votre premier animal plus celui de votre rue » collectent les réponses aux questions de sécurité. N'y jouez pas.

Utilisez un VPN payant et reconnu. Il empêche les sites visités d'enregistrer votre vraie adresse IP, réduit les données que votre fournisseur d'accès peut collecter et vous protège mieux sur les Wi-Fi publics.

Dès que vous avez un nouveau routeur, changez son mot de passe. Les mots de passe par défaut sont publics : n'importe qui à proximité pourrait se connecter.

Il existe plusieurs protocoles d'authentification Wi-Fi. Aujourd'hui, les plus sûrs sont WPA2 et WPA3 (sur les routeurs récents).

Les fabricants publient des mises à jour de firmware qui corrigent des failles, ajoutent de nouveaux standards et parfois améliorent les fonctions ou les performances.

Si vous configurez le VPN sur votre routeur, votre pare-feu ou votre serveur domestique, le trafic de tous les appareils est chiffré et passe par lui, sans appli VPN sur chaque appareil.

Avec un VPN, il est essentiel d'utiliser exclusivement le serveur DNS de votre fournisseur VPN ou d'un service sécurisé.

OpenVPN et WireGuard sont des protocoles de tunnel libres, légers et sûrs. Évitez PPTP et SSTP.

Utilisez le DNS-over-HTTPS, qui fait passer la résolution DNS par HTTPS et chiffre les échanges entre vous et votre résolveur.

Ils sont généralement produits à bas coût et en masse, avec un firmware propriétaire peu sûr qui ne reçoit pas de mises à jour de sécurité régulières.

Vous pouvez autoriser uniquement certaines adresses MAC dans les réglages du routeur, pour empêcher tout appareil inconnu de se connecter, même s'il connaît le mot de passe.

Un script malveillant dans votre navigateur peut exploiter une faille de type cross-site scripting pour accéder à un routeur vulnérable via son adresse IP locale connue et le modifier.

Choisissez un nom de réseau (SSID) qui ne vous identifie pas, ne contient pas votre numéro d'appartement ou votre adresse et n'indique pas la marque ou le modèle de l'appareil.

Les SSID Wi-Fi sont scannés, enregistrés puis publiés sur divers sites, ce qui pose un vrai problème de vie privée pour certains.

Le SSID est simplement le nom du réseau. S'il n'est pas visible, il attire moins les abus.

Le WPS facilite la connexion sans saisir un long mot de passe Wi-Fi, mais il introduit plusieurs failles de sécurité majeures.

L'UPnP permet aux applications d'ouvrir automatiquement des ports sur votre routeur, mais a un long historique de failles graves.

Ne donnez pas accès à votre Wi-Fi principal aux visiteurs : ils pourraient interagir avec les autres appareils du réseau.

Modifier l'adresse IP par défaut de l'interface d'administration complique la tâche des scripts malveillants qui visent les adresses locales.

Les services comme Telnet et SSH, qui donnent un accès en ligne de commande, ne doivent jamais être exposés à Internet, et doivent aussi être désactivés sur le réseau local s'ils ne servent pas.

Fermez tous les ports inutiles sur votre routeur : un port ouvert est une porte d'entrée facile pour les attaquants.

Quand des protocoles comme PING, Telnet, SSH, UPnP ou HNAP sont activés, votre routeur peut être sondé depuis n'importe où dans le monde.

Traitez l'interface d'administration du routeur avec le plus grand soin : un attaquant qui y accède peut faire beaucoup de dégâts.

On a tendance à pousser la portée du routeur au maximum, mais dans un petit logement, un Wi-Fi capté jusque dans la rue augmente votre surface d'attaque.

Les VPN ont leurs faiblesses. Pour plus de sécurité, faites passer tout votre trafic Internet par le réseau Tor.

Même un Wi-Fi sécurisé augmente votre surface d'attaque. Désactivez le Wi-Fi domestique et connectez chaque appareil en Ethernet.

Sur un réseau public, attendez d'être sur une connexion de confiance pour la banque, les exchanges ou les wallets, ou utilisez au minimum un VPN reconnu.

Placez les objets connectés et les invités sur des réseaux séparés (un VLAN ou un Wi-Fi dédié), pour qu'une caméra ou une ampoule compromise ne puisse pas atteindre vos ordinateurs ni votre nœud.

Un système de détection d'intrusion (Suricata, Zeek, ou celui intégré à votre pare-feu) vous alerte en cas de trafic inhabituel sur votre réseau.

Pour protéger vos données en cas d'accès physique, activez le chiffrement. Si l'appareil est perdu ou volé, personne ne pourra lire vos données.

Désactivez le Wi-Fi, le Bluetooth, le NFC, etc. quand vous ne vous en servez pas : plusieurs menaces courantes passent par ces fonctions.

Désinstallez les applis dont vous n'avez pas besoin ou que vous utilisez peu. Elles tournent souvent en arrière-plan, ralentissent l'appareil et collectent des données.

N'accordez pas aux applis des permissions dont elles n'ont pas besoin. Sur Android, Bouncer permet d'accorder des permissions temporaires ou ponctuelles.

Les applications de l'App Store d'Apple et du Google Play Store sont analysées et signées cryptographiquement, ce qui réduit le risque qu'elles soient malveillantes.

Le « juice jacking » consiste à utiliser une borne de recharge publique au port USB compromis pour installer un malware sur votre smartphone ou votre tablette.

Le détournement de SIM permet à un attaquant de faire transférer votre numéro sur sa propre carte SIM. La protection la plus simple est un code PIN ou de verrouillage du portage auprès de votre opérateur.

Pour protéger vos coordonnées, faites retirer votre numéro des applis d'identification d'appel comme TrueCaller, CallApp, SyncMe et Hiya.

Une appli de cartes hors ligne comme OsmAnd ou Organic Maps limite les fuites de données des applis de cartographie.

Refuser les publicités personnalisées réduit un peu la quantité de données collectées.

Pour empêcher un attaquant de deviner votre code par force brute, réglez l'appareil pour qu'il s'efface après trop de tentatives échouées.

εxodus est un excellent service qui permet de chercher n'importe quelle appli et de voir les traceurs qu'elle embarque.

Pour empêcher les applications de laisser fuiter des données sensibles, installez une application de pare-feu.

Sur Android, SuperFreeze permet de geler entièrement l'activité en arrière-plan, appli par appli.

Empêchez les applis gourmandes en permissions d'accéder à vos données privées avec Island, un environnement isolé (bac à sable).

Orbot fournit une connexion Tor pour tout le système, qui vous protège de la surveillance et des menaces des Wi-Fi publics.

Mieux vaut garder le clavier d'origine de votre appareil. Si vous choisissez un clavier tiers, assurez-vous qu'il est réputé.

Redémarrer votre téléphone au moins une fois par semaine vide l'état des applis gardé en mémoire, et l'appareil fonctionne souvent mieux ensuite.

Le SMS ne doit servir ni à recevoir des codes A2F ni à communiquer : utilisez plutôt une messagerie chiffrée comme Signal.

MySudo permet de créer et d'utiliser des numéros virtuels pour différentes personnes ou groupes, idéal pour cloisonner.

Un stalkerware est un logiciel espion installé directement sur votre appareil par quelqu'un que vous connaissez. Le meilleur moyen de s'en débarrasser est une réinitialisation d'usine.

Quand c'est possible, accédez aux services avec un navigateur sûr plutôt qu'en installant leur application.

Si vous craignez que le fabricant de votre appareil collecte trop d'informations personnelles, envisagez une ROM personnalisée axée sur la vie privée.

QUIETKEYS Pour aller plus loin : Guide « GrapheneOS getting started » (payant)

Activez l'option qui bloque les accessoires USB quand le téléphone est verrouillé (mode USB restreint sur iOS, contrôle du port USB sur GrapheneOS, réglages USB sur les autres Android) contre les outils d'extraction de données.

Réglez AirDrop, Quick Share et les fonctions similaires sur désactivé ou contacts uniquement, pour que des inconnus ne puissent ni vous envoyer de fichiers ni voir le nom de votre appareil.

Les mises à jour corrigent des failles de sécurité, améliorent les performances et ajoutent parfois des fonctions. Installez-les dès qu'elles sont proposées.

Activez le chiffrement complet du disque avec BitLocker sous Windows, FileVault sous macOS ou LUKS sous Linux. Personne ne pourra lire vos données si l'ordinateur est perdu ou volé.

Des sauvegardes chiffrées vous protègent des pertes dues aux rançongiciels, au vol ou aux dégâts matériels. Pensez à Cryptomator pour les fichiers dans le cloud ou à VeraCrypt pour les clés USB.

Les périphériques USB peuvent représenter une menace sérieuse. Envisagez une station de nettoyage USB avec CIRCLean pour les vérifier sans risque.

Verrouillez votre ordinateur quand vous vous absentez et exigez un mot de passe à la sortie de veille ou de l'économiseur d'écran.

Les assistants vocaux posent des questions de vie privée, car les données sont envoyées pour traitement. Désactivez-les ou limitez leur écoute.

Gardez le moins d'applications possible pour réduire l'exposition aux failles, et videz régulièrement les caches des applications.

Contrôlez quelles applications ont accès à votre position, à la caméra, au micro, à vos contacts et aux autres informations sensibles.

Limitez les informations d'utilisation et les retours envoyés au cloud pour protéger votre vie privée.

Déverrouillez votre ordinateur avec un mot de passe fort plutôt qu'avec la biométrie ou un PIN court.

Éteignez l'appareil quand vous ne l'utilisez pas, surtout si le disque est chiffré : les données ne sont protégées que machine éteinte.

Utilisez un compte local uniquement pour éviter la synchronisation et l'exposition des données, et évitez les services de synchronisation intrusifs.

Désactivez les fonctions de partage réseau que vous n'utilisez pas : ce sont des portes d'entrée pour des menaces courantes.

Travaillez avec un compte sans privilèges et ne passez administrateur que pour les changements système : cela limite l'impact des failles.

Couvrez la webcam quand vous ne l'utilisez pas et envisagez de bloquer l'enregistrement audio non autorisé.

Un filtre d'écran dans les lieux publics empêche les regards indiscrets de lire vos informations sensibles.

Utilisez un câble antivol Kensington pour votre portable dans les lieux publics et envisagez des bloqueurs de ports contre l'accès physique non autorisé.

Utilisez une batterie externe ou un chargeur secteur plutôt que votre ordinateur, pour éviter les risques liés aux connexions USB.

Modifiez ou rendez aléatoire votre adresse MAC pour éviter d'être suivi d'un réseau Wi-Fi à l'autre.

Installez un pare-feu applicatif pour surveiller et bloquer les accès Internet indésirables de certaines applications, contre les attaques à distance et les fuites de données.

Utilisez des outils de chiffrement des frappes pour empêcher un keylogger logiciel d'enregistrer ce que vous tapez.

Sur un ordinateur public ou inconnu, vérifiez le branchement du clavier pour repérer un éventuel keylogger matériel.

Verrouillez votre PC quand vous vous absentez et envisagez USBGuard ou un outil similaire contre les attaques par injection de frappes.

Appuyez-vous sur les outils de sécurité intégrés et évitez les antivirus gratuits, souvent intrusifs et collecteurs de données.

QUIETKEYS Pour aller plus loin : Guide ClamAV sur Debian 13 (gratuit)

Vérifiez régulièrement la présence de rootkits, qui donnent un contrôle total du système, avec des outils comme chkrootkit.

Activez un mot de passe BIOS ou UEFI pour ajouter une couche de sécurité au démarrage, en gardant ses limites à l'esprit.

Envisagez Linux ou une distribution orientée sécurité comme Qubes OS ou Tails pour une meilleure confidentialité.

Utilisez des machines virtuelles pour les activités risquées ou pour tester des logiciels suspects, afin d'isoler les menaces de votre système principal.

Isolez autant que possible les programmes et les sources de données les uns des autres pour limiter l'étendue d'une compromission.

Désactivez les « fonctionnalités » et services Windows inutiles qui tournent en arrière-plan, pour réduire la collecte de données et la consommation de ressources.

Vérifiez que le Secure Boot est activé, pour empêcher un malware de remplacer votre chargeur de démarrage et d'autres logiciels critiques.

Protégez l'accès SSH : changez le port par défaut, utilisez des clés SSH et configurez un pare-feu.

Arrêtez les services qui écoutent sur des ports externes sans nécessité, pour vous protéger des exploits à distance.

Restreignez les accès privilégiés pour limiter les dégâts si le système est compromis.

Déployez des canary tokens pour détecter plus vite un accès non autorisé à vos fichiers ou e-mails et recueillir des informations sur l'intrus.

Avant de vous séparer d'un ordinateur, d'un téléphone ou d'un disque, effacez-le correctement : chiffrement complet puis réinitialisation d'usine, ou effacement sécurisé du fabricant. Supprimer les fichiers ne suffit pas.

Gardez trois copies de vos données importantes, sur deux supports différents, dont une hors site. Chiffrez chaque copie.

Une sauvegarde jamais restaurée peut être incomplète ou illisible. Restaurez régulièrement quelques fichiers pour vérifier.

Les sauvegardes manuelles s'oublient. Programmez-les, et vérifiez de temps en temps qu'elles tournent vraiment.

Un rançongiciel ou une erreur silencieuse peut aussi corrompre votre dernière sauvegarde. Gardez plusieurs versions dans le temps, dont au moins une hors ligne.

Comparez l'empreinte ou la signature des logiciels que vous téléchargez avec celle publiée par le développeur sur le site officiel.

Regardez régulièrement les journaux de connexion, de mise à jour et de sécurité pour repérer l'inhabituel : échecs de connexion, nouveaux services, utilisateurs inconnus.

Remplacez les noms par défaut par des noms génériques : masquer la marque ou le modèle complique les attaques ciblées.

Utilisez les interrupteurs matériels pour couper micros et caméras des objets connectés, contre les enregistrements accidentels ou les accès ciblés.

Avant d'acheter, renseignez-vous sur la gestion des données de l'appareil et évitez ceux qui partagent des données avec des tiers.

Choisissez les réglages de confidentialité les plus stricts dans l'application et refusez le partage de données avec des tiers partout où c'est possible.

Utilisez des identifiants anonymes et évitez l'inscription ou la connexion via un réseau social ou un service tiers.

Mettez régulièrement à jour le firmware de vos objets connectés pour appliquer les correctifs de sécurité.

Sécurisez votre Wi-Fi et votre réseau domestiques pour empêcher l'accès non autorisé aux objets connectés.

Tenez compte des énormes capacités de collecte des montres et bracelets connectés, et de leurs conséquences sur la vie privée.

Évaluez les risques des thermostats, alarmes et détecteurs connectés, qui peuvent être accessibles à distance par des attaquants.

Envisagez des alternatives respectueuses comme Mycroft, ou Project Alias, pour empêcher l'écoute permanente des assistants vocaux.

Utilisez des outils comme FingBox ou les fonctions de votre routeur pour repérer toute activité réseau inhabituelle.

Utilisez un pare-feu pour couper l'accès Internet des appareils qui n'en ont pas besoin et limitez-les au réseau local.

Pensez aux conséquences pour la vie privée de tous les membres du foyer et ajustez les réglages en conséquence, par exemple en désactivant certains appareils à certaines heures.

Activez les alertes de fraude et la surveillance de crédit pour être prévenu de toute activité suspecte. Aux États-Unis, cela se fait auprès d'Experian, TransUnion ou Equifax ; ailleurs, utilisez les alertes de votre banque.

Empêchez les demandes de crédit frauduleuses en gelant votre dossier de crédit. Aux États-Unis : auprès d'Experian, TransUnion et Equifax ; ailleurs, renseignez-vous sur les dispositifs équivalents de votre pays.

Utilisez des numéros de carte virtuels pour les achats en ligne afin de protéger vos vraies coordonnées bancaires. Des services comme Privacy.com et MySudo le proposent, tout comme de nombreuses banques.

Payez en espèces vos achats locaux et quotidiens pour échapper au profilage financier.

Pour vos achats en ligne, privilégiez des cryptomonnaies orientées confidentialité comme Monero pour préserver votre anonymat, et utilisez-les à bon escient.

Stockez vos cryptomonnaies avec des wallets générés hors ligne, des hardware wallets comme Trezor ou ColdCard, et un support durable pour le long terme comme CryptoSteel.

Achetez sans lier vos achats à votre identité, via des plateformes pair-à-pair comme Bisq, RoboSats, HodlHodl, Peach ou RetoSwap (conditions détaillées dans la section Bitcoin), ou des distributeurs Bitcoin. (LocalBitcoins, cité à l'origine, a fermé en 2023.)

Utilisez le CoinJoin avant de convertir vos bitcoins en monnaie, pour brouiller la trace des transactions. Vérifiez au préalable la législation de votre pays.

Pour vos achats en ligne, envisagez des coordonnées d'alias, des adresses e-mail de redirection, des numéros VoIP et des modes de livraison discrets pour protéger votre identité.

Faites-vous livrer ailleurs qu'à votre domicile : boîte postale, adresse de réexpédition ou point relais, pour ne pas lier vos achats directement à vous.

Les e-mails s'usurpent facilement. Vérifiez l'authenticité de l'expéditeur, surtout pour les actions sensibles, et tapez les adresses vous-même plutôt que de cliquer sur les liens reçus.

De faux pop-ups peuvent être déployés par des acteurs malveillants. Vérifiez toujours l'URL avant de saisir quoi que ce soit dans une fenêtre surgissante.

Un appareil laissé sans surveillance peut être compromis, même avec un mot de passe fort. Chiffrez-le et activez l'effacement à distance (type « Localiser mon appareil ») en cas de perte.

Protégez-vous avec un cache webcam et un bloqueur de micro. Coupez les assistants domestiques quand vous ne les utilisez pas ou quand vous parlez de sujets sensibles.

Utilisez des filtres de confidentialité sur ordinateur et téléphone pour qu'on ne puisse pas lire votre écran dans les lieux publics.

Méfiez-vous des tentatives de phishing : vérifiez les URL et le contexte des messages reçus, et appliquez les bonnes pratiques comme l'A2F et des mots de passe uniques.

Un proche peut installer un logiciel espion pour vous surveiller. Soyez attentif aux signes comme une consommation de batterie anormale, et réinitialisez l'appareil en cas de doute.

Téléchargez uniquement depuis les sources légitimes et vérifiez les fichiers avec des outils comme Virus Total avant l'installation.

Assurez-vous que toutes vos données personnelles, sur vos appareils comme dans le cloud, sont chiffrées.

Quand vous partagez un document, masquez vos informations personnelles avec des rectangles opaques pour éviter les fuites.

Le HTTPS ne garantit pas la légitimité d'un site. Vérifiez les URL et restez prudent avec vos données personnelles.

Utilisez des cartes virtuelles pour vos paiements en ligne, afin de protéger vos coordonnées bancaires et de limiter les risques.

Vérifiez et gérez régulièrement les permissions des applis pour qu'aucune n'ait un accès inutile aux fonctions sensibles de l'appareil.

Retirez-vous des bases de données publiques et des listes marketing pour réduire les sollicitations indésirables et les risques.

Ne fournissez pas d'informations personnelles supplémentaires lors d'une demande de retrait, pour éviter une collecte encore plus large.

Beaucoup d'applis et de services partagent vos données par défaut. Désactivez ce partage pour qu'elles ne soient pas transmises à des tiers.

Vérifiez et mettez à jour régulièrement vos réglages : les conditions changent souvent et peuvent modifier vos paramètres de confidentialité.

Séparez les différents domaines de votre activité numérique pour limiter l'exposition des données en cas de fuite.

Activez la protection WHOIS lors de l'enregistrement d'un nom de domaine, pour que vos informations personnelles n'apparaissent pas dans les recherches publiques.

Utilisez une boîte postale ou une adresse de réexpédition pour votre courrier, afin que les entreprises ne connaissent pas votre vraie adresse.

Privilégiez des moyens de paiement anonymes, comme les cryptomonnaies, pour éviter de saisir des informations identifiantes en ligne.

« Votre compte va être fermé », « agissez dans l'heure » : l'urgence est le premier levier de la fraude. Ralentissez et vérifiez par un canal que vous connaissez déjà.

Un message de votre banque, d'un collègue ou d'un proche vous demande quelque chose d'inhabituel ? Rappelez-le sur un numéro que vous avez déjà, jamais celui du message.

Une voix ou une vidéo se falsifie désormais en quelques minutes. Convenez d'un mot de code avec vos proches pour les urgences, et raccrochez puis rappelez avant d'agir.

Le faux support demande souvent de partager votre écran ou d'installer un outil de prise en main à distance. Refusez : il verrait, et parfois contrôlerait, tout.

Un QR code peut mener à un faux site ou à un téléchargement malveillant, et un autocollant se pose facilement par-dessus le vrai (horodateurs, menus, affiches). Vérifiez l'adresse avant de l'ouvrir.

Une clé USB « perdue » est un appât classique pour infecter un ordinateur. Ne la branchez pas : rapportez-la.

Airdrops, giveaways qui doublent vos coins, rendements garantis : ce sont des arnaques. Personne ne distribue d'argent en échange d'un dépôt.

Une capture d'écran de paiement, de solde ou de conversation se falsifie facilement. Vérifiez vous-même la source d'origine.

Votre sécurité dépend aussi de vos proches et de vos collègues. Partagez-leur les bases : phishing, urgence, mot de code, mises à jour.

Signalez le phishing au service usurpé et à la plateforme officielle de signalement de votre pays. Cela aide à protéger les autres.

Dans l'Union européenne, le RGPD (article 17) vous permet de demander à une entreprise de supprimer vos données personnelles. Utilisez-le pour les services que vous n'utilisez plus.

Les courtiers en données revendent votre adresse, votre numéro et vos habitudes. Envoyez-leur des demandes de suppression, ou utilisez un service spécialisé si vous acceptez de lui confier vos données.

Recherchez de temps en temps votre nom, vos adresses et vos pseudos pour voir ce qui est public, et demandez la suppression ou le déréférencement quand c'est possible.

Jeux-concours et offres gratuites sont souvent un moyen de collecter vos coordonnées pour les revendre.

Les PDF et documents bureautiques peuvent contenir votre nom, votre organisation, l'historique des révisions et des commentaires. Nettoyez-les avant de les partager.

Passez au broyeur ou caviardez les documents sensibles avant de les jeter, contre l'usurpation d'identité.

Contactez les sites de recherche de personnes pour être retiré de leurs annuaires, en vous aidant de guides comme le Personal Data Removal Workbook de Michael Bazzell.

Ajoutez un filigrane avec le nom du destinataire et la date sur les copies numériques de vos documents personnels, pour remonter à l'origine d'une fuite.

Ne communiquez vos données personnelles que lors d'appels que vous avez vous-même passés, après avoir vérifié le numéro.

Soyez attentif à votre environnement et évaluez les risques dans les lieux nouveaux.

Sécurisez physiquement les lieux où se trouvent vos appareils et informations personnelles, limitez les accès extérieurs et utilisez des systèmes de détection d'intrusion.

Utilisez des protections physiques : câble antivol Kensington, cache webcam, filtre de confidentialité.

Ne laissez pas vos appareils visibles de l'extérieur, contre le vol et certaines attaques à distance (par laser notamment).

Masquez la saisie de votre code des regards et des caméras, et essuyez les écrans tactiles après usage.

Inspectez les distributeurs et terminaux publics à la recherche de dispositifs de copie de carte et de traces de manipulation avant de les utiliser.

Utilisez d'autres lieux de livraison, des adresses de réexpédition et des moyens de paiement anonymes pour protéger votre adresse.

Préférez un code à la biométrie pour vos appareils lorsque vous risquez d'être contraint légalement de les déverrouiller.

Masquez-vous et choisissez des trajets avec moins de caméras pour échapper à la surveillance.

Portez des vêtements à motifs conçus pour tromper la reconnaissance faciale.

Utilisez des sources infrarouges ou des lunettes réfléchissantes pour gêner les caméras à vision nocturne.

Ne confiez pas votre ADN aux sites de généalogie et faites attention aux traces que vous laissez.

Une clé USB marquée « sauvegarde » ou « wallet » indique au voleur quoi prendre. Utilisez des étiquettes neutres, ou aucune.

Effacez les tableaux blancs, détruisez les notes et fermez les documents après avoir travaillé sur un sujet sensible, surtout dans un espace partagé.

Gardez vos clés privées sur un hardware wallet dédié (par exemple Coldcard, BitBox, Trezor ou SeedSigner), qui signe les transactions sans exposer les clés à votre ordinateur. Achetez-le directement chez le fabricant et vérifiez l'emballage et les scellés à la réception.

Créez votre phrase de récupération directement sur le hardware wallet, jamais sur un site web ou un ordinateur connecté. Écartez toute seed préimprimée ou proposée par quelqu'un d'autre.

QUIETKEYS Pour aller plus loin : Générateur de secret hors ligne (gratuit) · Mémo BIP39 · passphrase · BIP85 (gratuit)

Ni photo, ni capture d'écran, ni scan, ni appli de notes, ni gestionnaire de mots de passe, ni cloud : une copie numérique peut être piratée, synchronisée à votre insu ou récupérée après suppression. Écrivez-la à la main, et vérifiez que votre téléphone et votre ordinateur ne sauvegardent rien de lié au wallet dans le cloud.

Le papier brûle, prend l'eau et s'efface. Poinçonnez ou gravez votre phrase de récupération sur une plaque en acier, qui résiste au feu et à l'eau.

Conservez vos sauvegardes dans un coffre-fort ou un autre endroit fermé à clé, discret et protégé du feu et de l'eau, hors de vue des visiteurs.

Une seule sauvegarde dans un seul lieu, c'est un point de défaillance unique : un incendie, une inondation ou un cambriolage peut tout emporter. Gardez au moins deux copies dans des lieux de confiance géographiquement séparés.

Une passphrase BIP39 (le « 25e mot ») crée un wallet distinct que la seed seule ne peut pas ouvrir : une seed volée ne suffit plus. Rangez la passphrase séparément de la seed. Si vous la perdez, les fonds sont perdus définitivement.

QUIETKEYS Pour aller plus loin : Mémo BIP39 · passphrase · BIP85 (gratuit) · Générateur de secret hors ligne (gratuit)

Utilisez un PIN long et aléatoire (8 chiffres ou plus) et vérifiez que l'appareil s'efface après trop de tentatives échouées.

N'installez les mises à jour qu'à partir de la source officielle du fabricant, après en avoir vérifié l'authenticité (signature ou vérification sur l'appareil). Lisez les notes de version avant de mettre à jour.

« Not your keys, not your coins » : un exchange peut être piraté, bloquer les retraits ou faire faillite. Retirez vers votre propre wallet après chaque achat et n'y laissez que ce que vous tradez activement.

Un malware peut remplacer l'adresse que vous copiez par la sienne. Avant de recevoir ou d'envoyer, vérifiez l'adresse complète sur l'écran du hardware wallet, pas seulement sur l'ordinateur.

Avant de déplacer un montant important, envoyez une petite somme et vérifiez qu'elle arrive bien et que vous pouvez la dépenser.

Gardez un petit hot wallet sur votre téléphone pour les dépenses courantes, et le reste en cold storage qui ne touche jamais un appareil connecté.

Avant d'installer un logiciel de wallet (Bitcoin Core, Sparrow, Electrum…), vérifiez sa signature PGP ou les empreintes publiées, et téléchargez-le uniquement depuis le site officiel, jamais depuis un miroir ou un lien reçu.

Gérez vos bitcoins depuis un appareil qui ne sert à rien d'autre : pas de navigation courante, pas d'e-mail, pas de téléchargements au hasard. Chiffrez son disque, activez son pare-feu et gardez-le à jour.

Si un appareil a été manipulé, perdu un moment ou se comporte bizarrement, transférez les fonds vers un nouveau wallet avec une nouvelle seed et détruisez physiquement l'ancien. Considérez l'ancienne seed comme grillée.

Le root ou le jailbreak brise l'isolation entre applications : n'importe quelle appli compromise pourrait alors lire votre wallet. Gardez l'appareil qui vous sert pour Bitcoin sur son système d'origine à jour, ou sur un système durci comme GrapheneOS.

QUIETKEYS Pour aller plus loin : Guide « GrapheneOS getting started » (payant)

Ne dites jamais publiquement que vous détenez du bitcoin, encore moins combien. Chaque personne au courant est une fuite potentielle, et les détenteurs sont ciblés par le vol, l'enlèvement et l'« attaque à la clé à molette ».

Un autocollant sur votre portable, votre téléphone, votre voiture ou votre porte indique qui cibler. Restez discret dans le monde physique aussi.

Aucun support, exchange, fabricant ou autorité ne vous demandera jamais votre phrase de récupération. Faux support, phishing et appels d'usurpateurs sont les attaques les plus courantes : raccrochez, et vérifiez l'adresse vous-même.

Quand vous écrivez, vérifiez ou restaurez votre seed, assurez-vous qu'aucune webcam, caméra de sécurité, téléphone ou assistant vocal ne peut la voir ou l'entendre. Faites-le dans une pièce sans caméra.

Fermez vos wallets avant tout partage d'écran ou appel vidéo, pour qu'aucune adresse ni aucun solde n'apparaisse par accident.

Ne transportez jamais ensemble votre hardware wallet et sa sauvegarde. En voyage, laissez la sauvegarde en lieu sûr, ou partez avec un wallet séparé contenant un montant limité.

QUIETKEYS Pour aller plus loin : Guide « Bitcoin multisig & nomadism » (payant)

Préparez un wallet avec un petit montant crédible que vous pouvez révéler sous la contrainte, par exemple le wallet sans passphrase, votre épargne restant derrière la passphrase. Certains appareils proposent aussi un PIN de contrainte.

QUIETKEYS Pour aller plus loin : Mémo BIP39 · passphrase · BIP85 (gratuit)

Faites tourner votre propre nœud Bitcoin (Bitcoin Core, ou un nœud packagé comme Umbrel, Start9 ou RaspiBlitz) et connectez-y vos wallets, idéalement via Tor : vous vérifiez vous-même vos transactions sans révéler vos adresses à des serveurs publics.

Un nœud ou un serveur domestique contient l'historique de votre wallet, et parfois des clés chaudes (Lightning). Placez-le dans un endroit fermé et discret, avec un disque chiffré.

Un onduleur protège votre nœud des coupures de courant, qui peuvent corrompre sa base de données ou imposer une longue resynchronisation, et lui permet de s'arrêter proprement.

Évitez les Wi-Fi publics pour vos opérations Bitcoin, et utilisez Tor ou un VPN de confiance pour que votre adresse IP ne soit pas liée à vos transactions ni aux requêtes de votre wallet.

Utilisez une nouvelle adresse pour chaque paiement reçu. La réutilisation détruit votre confidentialité et rend votre historique facile à tracer.

Le KYC lie définitivement votre identité à vos adresses. Là où c'est légal pour vous, préférez le pair-à-pair : Bisq (on-chain, séquestre multisig, réseau Tor, ordinateur et Android), RoboSats (Lightning, uniquement via Tor, sans inscription), HodlHodl (multisig 2-sur-3, site web ; une pièce d'identité peut être demandée en cas de litige), Peach (appli mobile suisse, sans KYC dans certaines limites ; depuis le 1er septembre 2026, pendant un appel contre la décision d'un régulateur, son séquestre est suspendu, la vente exige un KYC ou un historique d'échanges suffisant et les achats sont plafonnés à 500 CHF par transaction) ou RetoSwap (réseau Haveno, application ordinateur : chaque échange se fait contre du Monero, avec un séquestre multisig 2-sur-3 et un dépôt de garantie de 15 % ; pour du bitcoin, c'est donc un passage par Monero). Ces plateformes évoluent vite : vérifiez leur statut et leurs conditions avant d'y envoyer des fonds, et ne liez jamais vos adresses à votre nom, votre e-mail ou votre téléphone.

Choisissez quels UTXO chaque transaction dépense, étiquetez-les selon leur origine et évitez de fusionner des coins de sources différentes. Ne consolidez que lorsque les frais sont bas.

Le CoinJoin casse les liens entre vos adresses. Options actives : Whirlpool avec Ashigaru (la reprise open source du Whirlpool de Samourai, uniquement via Tor ; ses développeurs déclarent n'avoir aucun lien avec l'équipe d'origine), JoinMarket, ou Wasabi Wallet avec un coordinateur de confiance. Vérifiez d'abord la législation de votre pays.

Pour recevoir des paiements récurrents sans publier d'adresse fixe, utilisez des codes de paiement réutilisables (BIP47, par exemple les PayNyms d'Ashigaru ou Sparrow) ou les silent payments (BIP352), pris en charge par de plus en plus de wallets.

Un wallet Lightning non custodial est rapide et plus discret pour les paiements courants. N'y gardez que de petits montants.

Avant de faire confiance à une sauvegarde, réinitialisez un appareil et restaurez votre wallet à partir d'elle. Une sauvegarde non testée n'est pas une sauvegarde, c'est un espoir.

Une fois par an, vérifiez que chaque sauvegarde est lisible et intacte, et que vous vous souvenez de la procédure de restauration. Mettez à jour votre documentation si quelque chose a changé.

Documentez votre installation à part de la seed : type et modèle de wallet, version du firmware, type de script et chemin de dérivation, utilisation ou non d'une passphrase, emplacement de chaque sauvegarde. Conservez ce document chiffré ou sous pli scellé.

QUIETKEYS Pour aller plus loin : Guide de transmission d'urgence (gratuit)

En plus de la seed, gardez une copie du descripteur de sortie de votre wallet (ou du fichier de configuration du multisig) : sans lui, un multisig ne se récupère pas, même avec assez de seeds. Il ne contient aucune clé privée mais révèle vos adresses : rangez-le en privé.

Sans plan, vos bitcoins sont perdus à jamais en cas de décès ou d'incapacité. Laissez des instructions claires et testées à une personne de confiance ou chez un notaire, sans lui remettre les clés elles-mêmes.

QUIETKEYS Pour aller plus loin : Guide de transmission d'urgence (gratuit)

Un multisig 2-sur-3 (avec Sparrow, Specter, Nunchuk…) supprime le point de défaillance unique : une clé volée ou perdue ne suffit pas. Répartissez les clés entre plusieurs lieux et testez la procédure de signature.

QUIETKEYS Pour aller plus loin : Guide « Bitcoin multisig & nomadism » (payant)

Une sauvegarde Shamir divise votre récupération en parts (par exemple 3 sur 5) stockées à des endroits différents. Deux options : Codex32 (BIP93), pris en charge par Coldcard depuis octobre 2026 (firmware 5.6.3 sur Mk4/Mk5, 1.5.3Q sur Q) et vérifiable à la main sur papier, ou SLIP39 chez Trezor. Aucune des deux n'est une phrase BIP39 standard, et les formats de parts propres à Coldcard (CW1, CX1) exigent un logiciel de récupération qui les gère explicitement : testez la récupération avant de vous y fier, et ne gardez jamais autant de parts que le seuil au même endroit.

Les wallets basés sur miniscript, comme Liana, permettent d'ajouter une clé de récupération utilisable seulement après une période d'inactivité, utile pour la succession et en cas de clé perdue.

Pour les montants critiques, signez sur un appareil qui ne se connecte jamais à Internet (Coldcard, SeedSigner…) et transférez les transactions partiellement signées (PSBT) par QR code ou carte microSD.

OpenTimestamps ancre l'empreinte d'un document dans la blockchain Bitcoin pour prouver qu'il existait à une date donnée, sans révéler son contenu : utile pour un testament, un contrat ou vos instructions de récupération.