Qui a les clés de votre site ? Accès, comptes et mots de passe

Votre présence en ligne repose sur plusieurs comptes : le nom de domaine, l'hébergement, le site, la messagerie, la fiche Google, les réseaux sociaux. Si un seul de ces comptes est perdu, piraté ou bloqué chez un ancien prestataire, c'est une partie de votre commerce qui devient inaccessible. Faire le point prend une heure, et peut vous éviter des semaines de galère.

L'inventaire de vos accès

Prenez une feuille ou un carnet et listez, pour chaque élément :

• le nom de domaine : chez quel bureau d'enregistrement, à quel nom ;
• l'hébergement : chez quel hébergeur, à quel nom ;
• l'accès au site lui-même, s'il a un espace d'administration ;
• la messagerie professionnelle ;
• la fiche Google de votre commerce : qui en est propriétaire et qui est gestionnaire ;
• les réseaux sociaux : Facebook, Instagram, TikTok ;
• les outils branchés au site : réservation, commande, statistiques.

Pour chacun, notez qui y a accès aujourd'hui : vous, un salarié, un ancien prestataire, un proche qui vous avait aidé.

Les situations à risque

• Tout est au nom d'un ancien prestataire ou d'une agence qui a fermé.
• Un seul accès, sur le téléphone d'un salarié parti ou d'un membre de la famille.
• L'adresse e-mail de récupération est une vieille adresse que plus personne ne consulte.
• Le même mot de passe partout, parfois partagé par message.

Si vous vous reconnaissez, commencez par récupérer un accès propriétaire à votre nom, compte par compte, en commençant par le nom de domaine et la messagerie : ce sont eux qui permettent de récupérer les autres.

Des mots de passe solides, sans se compliquer la vie

• Un mot de passe différent pour chaque compte. Si l'un fuit, les autres restent protégés.
• Des mots de passe longs. Une phrase de plusieurs mots est plus solide et plus facile à retenir qu'un mot court plein de symboles.
• Un gestionnaire de mots de passe : une application qui retient tout pour vous, protégée par un seul mot de passe principal. C'est l'outil le plus simple pour appliquer les deux règles ci-dessus.
• Jamais de mot de passe par SMS, WhatsApp ou e-mail.

La CNIL publie des conseils clairs sur les mots de passe, et le site officiel cybermalveillance.gouv.fr aide les entreprises victimes d'un piratage.

La double vérification

Activez la validation en deux étapes partout où c'est proposé : après le mot de passe, le service demande un code envoyé sur votre téléphone ou une confirmation dans une application. Même si quelqu'un vole votre mot de passe, il ne peut pas entrer sans votre téléphone.

Pensez à garder les codes de secours fournis lors de l'activation dans un endroit sûr : ils servent si vous perdez votre téléphone.

Donner un accès à un prestataire, proprement

Quand quelqu'un doit travailler sur votre site ou vos réseaux :

1. Invitez-le avec son propre compte, plutôt que de lui donner votre mot de passe. La plupart des outils le permettent (fiche Google, pages Facebook, hébergements).
2. Donnez-lui le niveau d'accès nécessaire, pas plus.
3. Retirez l'accès à la fin de la mission, ou quand vous changez de prestataire.

Les arnaques fréquentes

Méfiez-vous des messages qui vous pressent :

• un faux e-mail de « renouvellement urgent » de votre nom de domaine, avec un lien de paiement ;
• un message prétendant que votre page Facebook va être supprimée si vous ne cliquez pas ;
• un appel de quelqu'un qui demande un code reçu par SMS.

En cas de doute, ne cliquez pas : connectez-vous vous-même au service, depuis son site officiel, pour vérifier.

En résumé

• Faites l'inventaire de tous vos comptes et de qui y a accès.
• Chaque compte doit avoir un accès à votre nom, avec une adresse de récupération à jour.
• Mots de passe longs et différents, gestionnaire de mots de passe, double vérification.
• Invitez les prestataires avec leur propre compte, et retirez les accès inutiles.

Besoin d'un coup de main pour faire le point sur vos accès ? Esteban DC accompagne les commerces de La Réunion : demandez à être rappelé.