Comment protéger données personnelles en ligne simplement : le guide

La semaine dernière, une amie m'appelle, paniquée. Elle venait de cliquer sur un lien dans un SMS : « Votre colis est bloqué, réglez 1,99 € de frais ». Elle a tapé ses coordonnées bancaires. Trois minutes plus tard, elle se demandait ce qu'elle venait de faire. Je lui ai posé une seule question : « Est-ce que tu as regardé l'adresse de l'expéditeur ? » Silence. Non.

Cette histoire résume à peu près tout. Protéger ses données personnelles en ligne, ce n'est pas une affaire de génie informatique. C'est une affaire de réflexes, et la plupart des gens n'en ont pas parce que personne ne leur a jamais montré où cliquer. Alors voilà ma version : pas de grande théorie, des gestes concrets, et l'aveu de ce que je rate encore moi-même après des années à bidouiller.

Cinq conseils pour se protéger sur internet (ceux qui changent vraiment quelque chose)

On trouve partout des listes de dix, quinze, vingt recommandations. Franchement, personne ne les applique. Si je devais n'en garder que cinq, ce seraient ceux-là, dans cet ordre de priorité.

Des mots de passe longs, et différents pour chaque compte

La règle de base tient en une phrase : au moins 12 caractères, avec majuscules, minuscules, chiffres et caractères spéciaux. Un exemple du genre Wejd*25ipO%Ram fait très bien le travail. Pourquoi insister sur la longueur ? Parce que les logiciels de piratage testent des combinaisons à la chaîne, dictionnaire en tête. « chocolat », votre date d'anniversaire ou le nom de votre chat tombent en quelques secondes.

Et le point que tout le monde saute : un mot de passe différent par compte. Une fois qu'un pirate en tient un, il l'essaie partout ailleurs. C'est mécanique. Moi-même, il y a quelques années, je réutilisais le même mot de passe sur une dizaine de services. Un forum obscur s'est fait vider, et j'ai passé un week-end à courir après mes accès. Depuis, j'utilise un gestionnaire de mots de passe gratuit. Je ne connais même plus la plupart de mes mots de passe, et c'est très bien ainsi.

Activer la double authentification, partout où c'est possible

Deux minutes de réglages pour un niveau de protection qui n'a rien à voir. Sur Gmail, WhatsApp, votre banque : allez dans les paramètres de sécurité, cherchez « validation en deux étapes » et suivez les instructions. À chaque connexion depuis un nouvel appareil, un code vous est demandé en plus du mot de passe. Un pirate qui a votre mot de passe se retrouve bloqué net.

Le hic, c'est le SMS comme second facteur. C'est mieux que rien, mais une carte SIM peut être détournée. Si l'application propose une application d'authentification ou une clé physique, prenez-la. Ça m'a coûté une demi-heure de configuration sur mes comptes principaux, et je dors mieux.

Vérifier un lien ou un mail suspect avant de cliquer

Là, on touche au point que presque aucun guide ne détaille. Voici ma méthode, en dix secondes :

• Regardez le domaine de l'expéditeur, pas le nom affiché. impots.gouv.fr n'est pas impots-gouv.secure-info.com.
• Survolez le lien sans cliquer (sur mobile, appuyez longuement) : l'adresse réelle apparaît.
• Un message qui crée l'urgence (« dernier avertissement », « compte suspendu ») est un signal d'alarme en soi.
• En cas de doute, signalez le message sur cybermalveillance.gouv.fr ou via le dispositif de signalement des spams de l'État.

Cette petite gymnastique m'a évité au moins deux arnaques au colis l'an dernier. Elle ne prend pas plus de temps que de lire le message en entier.

Se méfier des Wi-Fi publics

Le Wi-Fi gratuit de la gare ou du café, c'est pratique et c'est un risque. Sur un réseau non sécurisé, vos échanges peuvent être interceptés. Évitez-y toute opération bancaire ou connexion à un compte sensible. Si vous devez vraiment travailler, un partage de connexion depuis votre téléphone est plus sûr qu'un réseau ouvert dont vous ignorez tout.

Sauvegarder, régulièrement et ailleurs

Une sauvegarde, ce n'est pas sexy, mais c'est ce qui vous sauve quand tout le reste a échoué. La règle simple : plusieurs copies, sur plusieurs supports, dont une hors de chez vous ou dans le cloud. Et surtout, testez la restauration. Une sauvegarde jamais testée, c'est un espoir déguisé en sécurité. J'ai appris ça à mes dépens : un disque externe « de sauvegarde » qui n'avait en réalité jamais rien copié depuis six mois. Six mois de photos évaporés.

Quelles sont les méthodes de piratage les plus courantes ?

Comprendre comment on se fait avoir, c'est déjà la moitié du boulot. Les attaques réelles ne ressemblent pas aux films. Elles sont banales, répétitives, et elles comptent sur votre fatigue.

• Le phishing (hameçonnage) : un faux mail, SMS ou message sur les réseaux sociaux qui imite une organisation connue. C'est la porte d'entrée numéro un.
• Le bourrage d'identifiants : vos identifiants fuités ailleurs sont testés en masse sur d'autres sites. D'où l'importance de mots de passe uniques.
• Les mots de passe faibles ou devinables : les logiciels testent dictionnaire et combinaisons simples.
• Les faux sites copiant à l'identique une page de connexion.
• L'ingénierie sociale : un appel qui se fait passer pour votre banque ou le service informatique.
• Les logiciels malveillants glissés dans une pièce jointe ou un téléchargement douteux.

Reconnaître l'ingénierie sociale

Le point commun de toutes ces méthodes ? L'humain est la cible, pas la machine. Un pirate n'a pas besoin de forcer une serrure s'il peut convaincre quelqu'un de lui ouvrir. La règle d'or : personne de légitime ne vous demandera jamais votre mot de passe par téléphone ou par mail. Jamais. Si ça arrive, raccrochez.

Comment supprimer toute trace de soi sur internet ?

Il faut être honnête : « toute trace » relève du fantasme. Mais on peut réduire la surface, et surtout faire jouer des droits concrets. Le RGPD vous donne un droit à l'effacement (article 17) et un droit au déréférencement.

1. Recherchez votre nom sur les moteurs de recherche, page par page, et notez les résultats gênants.
2. Demandez la suppression directement au site concerné, par écrit, en invoquant le droit à l'effacement.
3. Si le contenu reste, demandez le déréférencement auprès du moteur de recherche via son formulaire dédié.
4. Pour les comptes oubliés, passez par les pages de suppression de compte de chaque service, et supprimez réellement, pas seulement l'application.
5. En cas de blocage, la CNIL propose une procédure de réclamation.

J'ai fait cet exercice pour moi-même : trois vieux comptes de forums que j'avais complètement oubliés. Deux supprimés sans problème, un troisième qui traîne encore. C'est rarement instantané, mais ça avance.

Trois meilleures pratiques pour protéger efficacement ses données

Si vous ne retenez qu'une chose de cet article, retenez la hiérarchie. Tous les gestes ne se valent pas.

Pratique	Effort	Impact réel
Double authentification	Faible (2 min)	Très élevé
Gestionnaire de mots de passe unique	Moyen (une fois)	Très élevé
Sauvegardes testées	Moyen	Élevé en cas de sinistre

Les trois meilleures pratiques, dans l'ordre : double authentification, mots de passe longs et uniques, sauvegardes régulières et vérifiées. Le reste (VPN, DNS chiffré, messageries chiffrées de bout en bout comme Signal) améliore la confidentialité, mais venez d'abord à bout de ces trois-là. Beaucoup de gens sautent directement au VPN en négligeant la base. C'est une erreur que je vois constamment.

Et sur smartphone, on fait quoi ?

Activez le verrouillage par code à six chiffres plutôt qu'un schéma facile à deviner, vérifiez les autorisations des applications (une lampe torche n'a pas besoin d'accéder à vos contacts), et passez en revue les paramètres de confidentialité de vos réseaux sociaux. Sur Facebook, par exemple, l'option « restreindre » pour les publications anciennes m'a surprise par son efficacité.

Bref, rien de spectaculaire. Des gestes répétés, un peu d'attention, et l'acceptation qu'on n'est jamais totalement à l'abri. La vraie question n'est pas « comment tout verrouiller » mais « qu'est-ce que je serais prêt à perdre ». Répondez-y, et vous saurez par où commencer ce soir.