Un mot de passe distinct pour chaque compte
Choisissez un mot de passe long et imprévisible que vous n'utilisez nulle part ailleurs. Lorsqu'un mot de passe est réutilisé, un incident sur un site peut mettre en danger tous les autres comptes qui le partagent, car les personnes qui obtiennent un mot de passe divulgué l'essaient souvent sur d'autres services. La longueur et le caractère imprévisible comptent plus que des remplacements astucieux de lettres par des symboles.
Une phrase de passe composée de plusieurs mots sans lien entre eux est plus facile à saisir et à retenir qu'une courte suite de symboles, et elle peut être solide si les mots sont choisis au hasard plutôt que tirés d'une expression connue. Pour les comptes que vous utilisez rarement, un mot de passe généré aléatoirement et conservé dans un gestionnaire de mots de passe vaut mieux qu'un mot de passe que vous essayez de mémoriser.
Évitez les informations personnelles comme les noms, les dates de naissance ou le nom d'un animal, ainsi que les schémas qui ne changent qu'un seul caractère d'un site à l'autre. Si un service vous avertit qu'un mot de passe figure dans une fuite de données connue, changez-le sans tarder plutôt que d'attendre.
Laissez un gestionnaire de mots de passe s'en souvenir
Un gestionnaire de mots de passe crée un mot de passe distinct pour chaque compte et le conserve sous forme chiffrée derrière un seul mot de passe principal solide. Il n'y a ainsi plus besoin de réutiliser des mots de passe, et les mots de passe longs et aléatoires deviennent praticables. La CISA publie des conseils sur les gestionnaires de mots de passe et les mots de passe robustes, indiqués en fin d'article.
Protégez le gestionnaire lui-même. Choisissez un mot de passe principal que vous n'avez utilisé nulle part ailleurs, activez la validation en deux étapes s'il la propose et conservez ses informations de récupération dans un endroit privé. Gardez vos appareils et votre navigateur à jour, et évitez d'enregistrer des accès à un compte sur un ordinateur ou un téléphone que vous ne maîtrisez pas, par exemple un appareil partagé ou public.
Si vous préférez ne pas utiliser de gestionnaire, un carnet gardé dans un endroit privé vaut mieux que de réutiliser partout le même mot de passe, même s'il se perd plus facilement. Quel que soit votre choix, ne conservez pas vos mots de passe dans une note non protégée, dans un e-mail envoyé à vous-même ou dans un fichier partagé.
Protégez le compte e-mail qui se cache derrière tout le reste
La plupart des services envoient les réinitialisations de mot de passe et les alertes de connexion à votre adresse e-mail : celui qui contrôle cette boîte peut donc souvent prendre la main sur les comptes qui y sont reliés. Traitez votre compte e-mail comme le plus important de tous : donnez-lui un mot de passe solide utilisé nulle part ailleurs, ajoutez une seconde étape et vérifiez de temps en temps ses options de récupération.
Cela vaut aussi sur une marketplace. rStock exige une adresse e-mail vérifiée avant que vous puissiez acheter ou recharger votre solde ; cette adresse est donc liée à votre activité sur la plateforme. Utilisez une adresse à laquelle vous seul avez accès et gardez sa sécurité à jour.
Passez en revue de temps à autre les paramètres de la boîte. Recherchez les règles de transfert ou les applications connectées que vous n'avez pas configurées et supprimez tout ce que vous ne reconnaissez pas. Une règle de transfert inattendue est un moyen courant, pour quelqu'un qui a eu un bref accès, de continuer à lire vos messages.
Ajoutez une seconde étape et gardez vos informations de récupération privées
La validation en deux étapes demande un élément supplémentaire en plus de votre mot de passe, comme un code issu d'une application d'authentification ou une clé de sécurité. Activez-la partout où un service la propose, en commençant par votre compte e-mail et votre gestionnaire de mots de passe. Une application d'authentification ou une clé de sécurité est généralement jugée plus robuste que les codes envoyés par SMS, même si n'importe quelle seconde étape vaut mieux que rien.
Un code de connexion ou un lien de récupération peut donner accès à un compte : traitez-le comme un secret. Ne le collez jamais dans une conversation avec une assistance, ne le dictez pas à un correspondant au téléphone et ne le partagez pas dans une capture d'écran. Aucune personne qui vous aide réellement n'a besoin du code qui permet de se connecter à votre place.
Lorsque vous configurez la validation en deux étapes, on vous propose généralement des codes de récupération. Conservez-les en privé, par exemple imprimés et rangés en lieu sûr ou dans votre gestionnaire de mots de passe, afin de pouvoir encore accéder à votre compte si votre appareil habituel est perdu. Ne les publiez pas, et évitez de garder l'unique exemplaire sur le même appareil que votre application d'authentification.
Faites une pause devant un message de connexion inattendu
Les messages qui vous pressent d'agir vite, qui préviennent qu'un compte sera fermé ou qui vous demandent de confirmer un mot de passe sont un moyen bien connu de voler un accès. Avant de suivre un lien, regardez qui prétend écrire, ce que le message demande et s'il correspond à quelque chose que vous avez réellement fait.
Plutôt que de saisir un mot de passe à la suite d'un message inattendu, ouvrez le service à partir d'une adresse que vous connaissez déjà ou de son application officielle, et cherchez-y d'éventuels avis. Si vous n'avez pas demandé de code de connexion, ne le saisissez nulle part et ne le communiquez à personne ; envisagez de changer votre mot de passe et de vérifier vos informations de récupération.
rStock n'a ni discussion avant achat ni discussion sur la commande. Les échanges entre un acheteur et une boutique n'existent que dans un litige ouvert : une personne inconnue qui vous écrit ailleurs en prétendant représenter une boutique ou la plateforme doit donc éveiller vos soupçons. Un autre article de ce blog détaille davantage les signes d'alerte des messages d'assistance suspects.
Sécurisez un compte que vous venez de recevoir
Si vous obtenez un compte, que vous le créiez vous-même ou que vous le receviez par un achat, sécurisez-le avant de vous y fier. Sur rStock, le contenu livré apparaît sur votre page de commande sous forme de fiche de livraison liée à la commande. Ouvrez cette fiche, comparez-la avec l'annonce et testez le compte peu après la livraison.
S'il fonctionne, remplacez le mot de passe par un nouveau que vous seul connaissez, définissez vos propres informations de récupération et activez la validation en deux étapes, en n'utilisant que des informations que vous avez reçues légitimement. N'essayez pas de contourner les contrôles de sécurité d'une plateforme. Si un contrôle demande quelque chose qui ne vous a pas été fourni, gardez une trace de ce point : il fait partie d'un problème que vous pourriez devoir soulever dans un litige.
Respectez les conditions d'utilisation de la marque pour tout compte que vous utilisez, et rappelez-vous que rStock n'est affiliée à aucune des marques dont les catégories figurent dans son catalogue. Gardez les informations de livraison hors des avis publics, des discussions de groupe et des notes partagées.
Si vous pensez que quelqu'un d'autre a accès à votre compte
Parmi les signes de problème : des alertes de connexion que vous ne reconnaissez pas, des e-mails de réinitialisation de mot de passe que vous n'avez pas demandés, des informations de récupération modifiées ou une activité que vous ne parvenez pas à expliquer. Agissez calmement et dans un ordre raisonnable, en commençant par votre compte e-mail, car son contrôle détermine ce qui est menacé par ailleurs.
Changez le mot de passe depuis un appareil de confiance, déconnectez les autres sessions lorsque le service le permet, passez en revue l'e-mail de récupération, le numéro de téléphone et les applications connectées, et activez la validation en deux étapes si elle était désactivée. Passez ensuite à vos autres comptes importants, surtout ceux qui utilisaient le même mot de passe.
Si vous avez perdu l'accès, utilisez la procédure de récupération officielle du service concerné. Pour un problème lié à une commande sur rStock, la page de commande est l'endroit à consulter, et un litige est la voie à suivre pour un article qui ne correspond pas à son annonce. Gardez des notes de ce qui s'est passé : une chronologie claire aide la personne qui examine le problème.