Bon, parlons-en franchement. Vous venez de créer un compte sur un site, et là, on vous demande : « Quel est le nom de votre premier animal de compagnie ? ». Vous vous exécutez, sans vraiment y penser. Et c'est exactement là que le problème commence.
Une question de sécurité, c'est une serrure. Mais contrairement à un mot de passe, cette serrure a une clé que vous avez peut-être déjà laissée sur la table, visible de tous. Sur vos réseaux sociaux, par exemple.
La question de sécurité est un vestige des débuts d'Internet. À une époque, elle semblait une bonne idée : une information personnelle, connue de vous seul, pour récupérer l'accès à votre compte en cas d'oubli. Le principe est simple : vous choisissez une question lors de l'inscription, et pour réinitialiser votre mot de passe, vous devez fournir la bonne réponse. Cela semble logique. Le problème ? Les réponses à ces questions sont souvent devinables, ou pire, trouvables en ligne.
J'ai passé des années à conseiller des proches et des clients sur la sécurité numérique, et je peux vous dire que la question du premier animal de compagnie est un désastre. Ma propre sœur a perdu l'accès à sa messagerie professionnelle il y a deux ans parce qu'un collègue mal intentionné avait trouvé la réponse à sa question de sécurité sur son profil Facebook. Le nom de son chat y figurait, avec une photo.
Alors, comment naviguer ce champ de mines ? Faut-il répondre honnêtement ? Non. Résolument non.
Points clés à retenir
- Les questions de sécurité classiques sont souvent faibles, car les réponses sont devinables ou trouvables en ligne.
- Toujours donner une fausse réponse, sans rapport avec la réalité, comme un mot de passe.
- Conserver ces fausses réponses dans un gestionnaire de mots de passe fiable.
- Éviter les faits publics, comme la ville natale ou le nom des parents.
- Privilégier les alternatives modernes quand elles sont proposées : clés de récupération, authentification à deux facteurs.
- Si une question est obligatoire, la traiter comme un mot de passe supplémentaire, pas comme une question personnelle.
Pourquoi les questions de sécurité sont-elles souvent si faibles ?
C'est une question d'ingénierie sociale plus que de technologie. Une question comme « Dans quelle ville vos parents se sont-ils rencontrés ? » ou « Quel est le nom de famille de votre professeur préféré à l'école primaire ? » est une mine d'or pour un attaquant. Il peut trouver ces informations via des données publiques, des articles de journal local, ou des publications sur les réseaux sociaux.
Le problème est double. D'abord, la question est souvent choisie dans une liste prédéfinie par le site. Ces listes sont limitées et connues de tous. Ensuite, la réponse, elle, est souvent une information factuelle, pas un secret. Votre ville natale n'est pas un secret. Le nom de votre école primaire n'est pas un secret. Le nom de votre premier amour ? Peut-être, mais il a pu être mentionné dans une vieille publication.
Un attaquant qui vous cible n'a pas besoin de « hacker » votre compte. Il lui suffit de faire un peu de recherche. Je me souviens d'un test que j'avais fait avec un ami : en 15 minutes, j'avais trouvé les réponses probables à ses questions de sécurité sur trois de ses comptes. Rien que sur la base de son profil LinkedIn et de ses photos Instagram.
L'erreur de la réponse honnête
La plupart des gens répondent honnêtement. C'est compréhensible, c'est la question posée. Mais c'est une erreur. La réponse est une clé, et vous la laissez sous le paillasson.
La règle d'or est simple : ne répondez jamais honnêtement à une question de sécurité. Traitez-la comme un mot de passe. Si la question est « Quel est votre plat préféré ? », la réponse peut être « 7$mX!pomme ». Si la question est « Quel est le nom de votre premier animal de compagnie ? », la réponse peut être « CorrectHorseBatteryStaple ». Le but est de créer une réponse qui est un secret connu de vous seul, et que vous stockez comme tel.
Comment bien choisir et utiliser vos questions de sécurité ?
Si vous ne pouvez pas éviter la question de sécurité, voici comment la transformer en une barrière efficace.
D'abord, oubliez les faits publics. Ne choisissez jamais une question dont la réponse pourrait être trouvée sur les réseaux sociaux, dans un annuaire, ou via une recherche Google. Évitez la ville natale, le nom des parents, l'école primaire, la marque de votre première voiture (souvent visible sur une photo).
Ensuite, comme mentionné, donnez une fausse réponse. Une phrase aléatoire, un mot secret, un mélange de caractères. Le but n'est pas de répondre à la question, mais de créer un secret fort. C'est la seule façon de rendre cette méthode d'authentification réellement utile.
Exemples de questions et de bonnes pratiques
Voyons cela en pratique. Voici une liste de questions courantes, et comment j'y répondrais (enfin, comment je répondrais, si je devais les utiliser, ce que j'évite à tout prix) :
- « Quel était le nom de votre premier animal de compagnie ? » → Ne répondez pas « Médor ». Répondez avec une phrase secrète.
- « Quel est le nom de famille de votre professeur préféré à l'école primaire ? » → Ne répondez pas « M. Martin ». Utilisez un code.
- « Dans quelle ville vos parents se sont-ils rencontrés ? » → Ne répondez pas « Lyon ». Utilisez un mot de passe.
- « Quel plat détestiez-vous manger quand vous étiez jeune ? » → La réponse honnête (choux de Bruxelles) est devinable. Utilisez un secret.
La clé, c'est la conservation. Notez ces fausses réponses dans un coffre-fort ou un gestionnaire de mots de passe fiable. Sans cela, vous risquez de vous enfermer vous-même dehors. Et croyez-moi, c'est une situation frustrante. J'ai déjà vu des utilisateurs bloqués, incapables de se souvenir de leur fausse réponse, et devant passer par un long processus de vérification d'identité auprès du support client.
Les alternatives modernes aux questions de sécurité
La bonne nouvelle, c'est que le monde numérique évolue. De nombreux services en ligne, conscients des faiblesses des questions de sécurité, proposent désormais des alternatives plus robustes.
Vous avez peut-être déjà vu ces options lors de la configuration de votre compte :
- La double authentification (2FA) : C'est la méthode la plus recommandée. Elle ajoute une couche de sécurité en demandant un code temporaire, généré par une application (comme Google Authenticator ou Authy) ou envoyé par SMS. Même si quelqu'un connaît votre mot de passe, il ne pourra pas se connecter sans ce code.
- Les clés de récupération : Ce sont des codes uniques, souvent une longue chaîne de caractères, que vous devez conserver précieusement. En cas d'oubli du mot de passe, vous pouvez utiliser une de ces clés pour réinitialiser l'accès. Elles sont infiniment plus sûres qu'une question avec une réponse devinable.
- L'authentification biométrique : Avec les smartphones modernes, l'empreinte digitale ou la reconnaissance faciale sont devenues courantes pour déverrouiller des applications. C'est une couche de sécurité très pratique, même si elle ne doit pas être votre seul facteur d'authentification.
Je vais être direct : chaque fois qu'un site vous propose une de ces alternatives, choisissez-la. Préférez une clé de récupération à une question sur le nom de votre premier amour. C'est un choix qui ne se discute même pas.
Mon expérience personnelle ? J'utilise un gestionnaire de mots de passe qui génère et stocke toutes mes clés de récupération et mes réponses secrètes. Je n'ai pas à m'en souvenir, et elles sont toutes différentes et complexes. C'est un gain de temps et de sécurité immense.
Questions fréquentes sur la protection des mots de passe
Voici quelques questions que l'on me pose souvent, et mes réponses honnêtes.
Quelles sont les questions de sécurité qui fonctionnent le mieux ?
Une question de sécurité sert à vérifier votre identité pour récupérer un mot de passe ou valider une action. Les bons exemples incluent : « Quel est le nom de votre premier ami d'enfance ? » ou « Quel métier vouliez-vous faire enfant ? ». Évitez les faits faciles à deviner comme votre ville natale ou le nom de vos parents.
Mais honnêtement, même ces « bonnes » questions ont un défaut : elles demandent une réponse honnête. Et une réponse honnête est une information qui peut être trouvée ou devinée. La seule façon de les rendre sûres, c'est d'y répondre avec un mensonge secret.
Dois-je utiliser un gestionnaire de mots de passe ?
Absolument. C'est la meilleure décision que vous puissiez prendre pour votre sécurité en ligne. Un gestionnaire de mots de passe vous permet de créer des mots de passe uniques et complexes pour chaque site, sans avoir à les mémoriser. Il stocke tout derrière un mot de passe maître, que vous devez rendre très fort.
Il existe des options gratuites et payantes. J'utilise un gestionnaire depuis des années, et je ne peux plus m'en passer. Le gain de sécurité est énorme : plus jamais de mot de passe réutilisé, plus jamais de mot de passe faible.
Que faire si mon mot de passe est compromis ?
Si vous pensez que votre mot de passe a été compromis, agissez immédiatement. Changez-le sur tous les sites où vous l'avez utilisé. Si vous avez utilisé le même mot de passe ailleurs (ce qu'il ne faut jamais faire), vous devez le changer partout.
Ensuite, activez la double authentification si ce n'est pas déjà fait. Et prenez le temps de vérifier que vos autres comptes sont sécurisés. C'est une réaction rapide qui peut vous éviter de gros ennuis.
Le mot de la fin : traitez la sécurité comme une habitude
La protection des mots de passe n'est pas un événement ponctuel, c'est une habitude. C'est une série de petites décisions, prises à chaque inscription, à chaque configuration. Choisir une question de sécurité, c'est comme choisir un mot de passe : il faut le faire avec l'idée que quelqu'un essaiera de le deviner.
Et la meilleure défense, ce n'est pas de compliquer les choses, mais de les rendre simples et robustes. Un gestionnaire de mots de passe, des réponses secrètes stockées, une double authentification activée : voilà un socle solide.
La prochaine fois qu'un site vous demandera le nom de votre premier animal de compagnie, rappelez-vous : ce n'est pas une question personnelle, c'est une opportunité de créer un secret. Et un secret, ça ne se partage pas, même avec le site qui vous le demande. Vous le stockez, vous le gardez, et vous dormez tranquille.
