Un mail de votre "banque" qui vous demande de confirmer votre identité. Le lien pointe vers banque-securite-verif.com. Vous avez un doute, mais le logo est là, la charte graphique aussi, et vous êtes pressé. Vous cliquez. Cinq minutes plus tard, c'est fait : quelqu'un a vos identifiants, et vous ne le savez pas encore.
Ce scénario, je l'ai vécu de l'intérieur il y a quelques années. Pas en tant que victime — en tant que témoin. Un proche avait cliqué sur un faux message de la Poste pour un colis "en attente de livraison". Le site était une copie quasi parfaite. Il a saisi ses coordonnées bancaires. Deux jours plus tard, 380 € avaient disparu de son compte en trois transactions.
Depuis, je suis devenu un peu obsessionnel sur le sujet. Pas paranoïaque, mais méthodique. Et dans cet article, je vous livre ce que j'ai réellement appliqué, ce qui a marché, ce qui n'a servi à rien, et les réflexes concrets pour naviguer sur internet en toute sécurité en 2026 — sans transformer votre vie en camp retranché.
Points clés à retenir
- La longueur d'un mot de passe compte plus que sa complexité : une phrase de 16 caractères bat un "P@ssw0rd!" de 8.
- La double authentification bloque la grande majorité des attaques par identifiants volés — activez-la partout où c'est possible.
- Le maillon faible n'est pas votre navigateur, c'est l'extension que vous avez installée il y a deux ans et jamais auditée.
- Un site officiel ne vous demandera jamais vos identifiants par mail ou par SMS.
- En cas d'incident, la réaction dans les premières heures change tout : changer les mots de passe, prévenir la banque, signaler.
- Le Wi-Fi public reste un terrain à risque — un VPN ou un partage de connexion mobile règle le problème.
Mots de passe : pourquoi la vraie faille n'est pas celle qu'on croit
Tout le monde vous répète la même chose : "12 caractères, majuscules, chiffres, symboles". Sauf que cette consigne, techniquement, rate la cible. Ce qui compte pour un attaquant qui teste des milliards de combinaisons à la seconde, c'est la longueur, pas la variété.
Une phrase comme jaimelescrevettesgrillees (26 caractères, que des minuscules) est bien plus résistante qu'un Tr0ub4dor! de 9 caractères. Pourquoi ? Parce que l'espace de recherche explose de façon exponentielle avec chaque caractère ajouté, alors qu'ajouter un symbole ne gagne presque rien face à une attaque par dictionnaire bien construite.
La méthode que j'utilise depuis des années
Je ne retiens plus aucun mot de passe. Aucun. J'utilise un gestionnaire — il en existe plusieurs, gratuits comme payants — qui génère des chaînes de 20 caractères aléatoires et les remplit automatiquement. Je ne connais que deux mots de passe dans ma vie : celui de mon gestionnaire, et celui de ma session d'ordinateur.
Le changement a été brutal. Avant, j'avais environ 40 comptes et probablement 6 mots de passe réutilisés. Aujourd'hui, 40 comptes, 40 mots de passe distincts. Si l'un fuite, les autres ne tombent pas en cascade.
Et la double authentification ?
Si vous ne faites qu'une seule chose après avoir lu cet article, faites celle-là. La 2FA (authentification à deux facteurs) ajoute une seconde preuve d'identité après votre mot de passe. Même si quelqu'un le vole, il ne peut rien faire sans le second facteur.
Attention cependant : tous les seconds facteurs ne se valent pas. Le SMS est pratique, mais interceptable via des techniques d'échange de carte SIM — un scénario bien réel, où l'attaquant convainc votre opérateur de transférer votre numéro. Une application d'authentification (générant un code local) ou une clé physique est nettement plus solide.
Mon conseil : commencez par vos comptes critiques — messagerie principale, banque, boîte pro. Ce sont eux qui ouvrent la porte à tout le reste (réinitialisations de mot de passe, accès aux autres services).
Votre navigateur : l'hygiène de base et la configuration qu'on ne vous montre jamais
Le navigateur, c'est 90 % de votre temps en ligne. Et pourtant, la plupart des gens le laissent dans sa configuration d'usine. Une configuration par défaut n'est pas conçue pour votre sécurité maximale — elle est conçue pour que tout fonctionne sans que vous ayez à réfléchir.
Les réglages à activer aujourd'hui
Peu importe le navigateur (Chrome, Firefox, Safari, Edge), trois réglages font 80 % du travail :
- Mises à jour automatiques : vérifiez qu'elles sont bien activées. Une faille corrigée mais non installée reste une faille béante.
- Blocage des cookies tiers : à activer dans les paramètres de confidentialité. Cela casse le pistage publicitaire inter-sites, sans rien casser d'essentiel.
- Protection contre le suivi renforcée : Firefox et Safari la proposent nativement ; sur Chrome, il faut souvent passer par une extension.
Le vrai problème : les extensions
Voici ce dont personne ne parle assez. Une extension de navigateur, c'est du code qui a accès à tout ce que vous voyez et tapez sur chaque site. Une extension de conversion de devises peut lire vos relevés bancaires si vous les consultez dans l'onglet voisin.
J'ai fait l'audit des miennes il y a deux ans. Sur 11 extensions installées, j'en ai désinstallé 7. Certaines n'avaient pas été mises à jour depuis des années. D'autres avaient changé de propriétaire — un scénario classique : un développeur vend son extension à une société inconnue qui y glisse discrètement du code de collecte.
La règle que j'applique : si je ne peux pas expliquer en une phrase à quoi sert une extension, elle dégage. Et je vérifie les permissions demandées. Une extension qui veut "lire et modifier toutes vos données sur tous les sites" alors qu'elle sert juste à changer un fond d'écran : c'est non.
Faut-il se fier au mode privé ?
Non. La navigation privée empêche simplement votre navigateur de garder l'historique sur votre appareil. Elle ne vous rend pas anonyme. Votre fournisseur d'accès continue de voir les sites visités, l'employeur aussi sur un réseau pro, et les sites eux-mêmes continuent de vous pister via votre adresse IP. Le mode privé sert à ne pas laisser de traces locales — pas à se cacher.
Reconnaître une arnaque : les signaux qui ne trompent pas
La technique a changé ces dernières années. Le mail truffé de fautes d'orthographe, c'est fini. Aujourd'hui, les messages frauduleux sont propres, bien écrits, souvent générés en masse par des outils. Ce qui reste, ce sont les signaux structurels.
Le scénario type : le faux colis
Reprenons l'exemple du début. Le message annonce un colis en souffrance et un petit supplément à payer (1,99 € — une somme ridicule, justement pour ne pas éveiller la méfiance). Trois signaux sautent aux yeux quand on sait les chercher :
- L'urgence artificielle : "sous 24h, sinon le colis sera retourné". L'urgence court-circuite votre jugement.
- L'adresse d'expéditeur qui ne correspond pas au domaine officiel (regardez toujours : pas seulement le nom affiché, mais l'adresse complète).
- La demande d'informations sensibles. Un vrai transporteur n'a pas besoin de votre numéro de carte complet pour relivrer un colis.
La règle d'or, simple
Aucune entreprise légitime — banque, opérateur, impôts, transporteur — ne vous demandera jamais vos identifiants, votre mot de passe ou une validation par SMS non sollicitée. Jamais. Si vous recevez une demande de ce type, ne cliquez pas sur le lien dans le message. Tapez l'adresse du site vous-même dans la barre.
Le phishing moderne exploite aussi le support technique : une fenêtre surgit, prétendant que votre ordinateur est infecté, avec un numéro de téléphone à appeler. Spoiler : personne de légitime ne vous appellera jamais pour vous proposer de "nettoyer" votre machine. Ce sont des escrocs qui vendront un faux logiciel ou prendront le contrôle à distance.
Wi-Fi public, mobile, objets connectés : les angles morts
On parle beaucoup du PC, rarement du reste. Pourtant, c'est là que les failles se logent.
Le Wi-Fi public reste un terrain à risque
Un réseau ouvert dans un café ou un aéroport n'est pas chiffré. Sur un réseau mal configuré (ou piégé), quelqu'un peut intercepter vos échanges. La parade est simple : utilisez un VPN — qui chiffre votre trafic — ou, plus rapide encore, partagez la connexion de votre téléphone en 4G/5G. Je fais ça systématiquement, même pour consulter mes mails. Le partage mobile coûte quelques mégaoctets, mais il met votre trafic à l'abri.
Sur smartphone, le réflexe DNS
Votre téléphone passe par des serveurs DNS pour traduire les noms de sites en adresses. Ceux de votre opérateur voient donc tout ce que vous visitez. Activer un DNS sécurisé (via les réglages réseau, "DNS privé" sur Android, ou une appli reconnue sur iOS) chiffre ces requêtes. C'est un réglage de deux minutes qui ferme une porte de collecte.
Les objets connectés, le point faible oublié
Votre enceinte, votre caméra, votre ampoule connectée : chacun est une petite porte sur votre réseau domestique. Le Wi-Fi invité existe exactement pour ça. Isolez-y vos objets connectés, gardez votre réseau principal pour les appareils sur lesquels vous saisissez des données sensibles. Et changez le mot de passe par défaut de chaque objet — c'est la base, et presque personne ne le fait.
Que faire concrètement après un incident
On ne réagit jamais assez vite. Les premières heures déterminent l'étendue des dégâts. Voici la séquence que je suivrais, dans l'ordre.
| Situation | Action immédiate | Action de suivi |
|---|---|---|
| Identifiants suspects / connexion inconnue | Changer le mot de passe du compte concerné et activer la 2FA | Vérifier les autres comptes utilisant le même mot de passe et les changer aussi |
| Coordonnées bancaires saisies sur un site douteux | Appeler votre banque pour faire opposition sur la carte | Surveiller les prélèvements pendant plusieurs semaines |
| Ordinateur infecté (lenteurs, fenêtres intempestives) | Déconnecter du réseau, lancer un scan antivirus complet | Réinitialiser si nécessaire, changer tous les mots de passe depuis un autre appareil |
| Fuite de données constatée sur un service | Changer le mot de passe de ce service en priorité | Changer partout où le même mot de passe était réutilisé |
Deux réflexes à ne pas oublier. Le premier : changez toujours vos mots de passe depuis un appareil sain. Si votre ordinateur est infecté, le changer dessus revient à donner la nouvelle clé à l'attaquant. Le second : signalez. En France, le service public Cybermalveillance.gouv.fr propose de l'aide et des signalements par type d'incident. Pour une atteinte à vos données personnelles, la CNIL est l'interlocuteur. Ces signalements ne réparent pas tout, mais ils pèsent.
Et le plus sous-estimé : surveillez vos comptes dans les semaines qui suivent. Une attaque n'entraîne pas toujours des dégâts immédiats. Parfois, l'attaquant attend.
Ce qui, honnêtement, ne m'a servi à rien
Je me suis longtemps cru protégé par des trucs qui n'apportaient presque rien. Autant vous le dire.
Les antivirus gratuits qui "notent" votre ordinateur : la plupart affichent un score alarmant pour vous pousser à payer. Zéro valeur ajoutée, beaucoup d'angoisse. Un bon navigateur à jour avec blocage de scripts en fait plus. Et l'idée qu'il faudrait "tout verrouiller" au point de ne plus rien faire en ligne : c'est contre-productif. J'ai testé la paranoïa pendant quelques semaines, avec des bloqueurs partout. Résultat : je passais plus de temps à débloquer des sites qu'à naviguer. La sécurité efficace est celle qu'on tient dans le temps, pas celle qui tient trois jours.
Le vrai changement, ça n'a pas été d'ajouter des outils. Ça a été de changer trois habitudes : un gestionnaire de mots de passe, la 2FA sur les comptes critiques, et l'audit régulier de mes extensions. Le reste, c'est du vernis.
Une dernière chose. La sécurité en ligne n'est pas un état qu'on atteint une fois pour toutes. C'est un entretien. Une fois par an, je passe une heure à revoir mes mots de passe faibles, mes extensions, mes permissions. Une heure. Et à chaque fois, je tombe sur quelque chose que j'avais oublié. La question n'est pas "suis-je protégé ?" mais "est-ce que j'ai envie de regarder ?" C'est souvent là que tout se joue.
