Paramètres de sécurité et de confidentialité : une demi-heure bien employée

Fiche complémentaire de la leçon « Paramètres de sécurité et de confidentialité : une demi-heure bien employée » — cours Sécurité en ligne

Chaque service que vous utilisez a des paramètres de sécurité et de confidentialité que vous avez acceptés par défaut et jamais rouverts depuis. L’essentiel de la protection à votre portée est déjà là, désactivé, dans un menu que vous ne visitez pas.

Les sources publiques françaises font le même constat. Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes de cybermalveillance, l’écrit sans détour : « Par défaut, les paramètres de visibilité de vos informations personnelles (numéro de téléphone, adresse email…) et de vos publications sont souvent très ouverts. » Et la CNIL invite chacun à limiter ce qu’il expose « en configurant vos terminaux et comptes sociaux ». Personne ne vous demande d’installer quoi que ce soit : seulement d’aller voir ce qui est déjà réglé.

A. Pourquoi c’est important

Messagerie, réseaux sociaux, stockage en ligne, applications du quotidien : chacun arrive avec des réglages par défaut choisis pour vous permettre de démarrer vite, pas pour vous protéger particulièrement bien.

La bonne nouvelle, c’est que la protection est déjà là. Alertes de connexion, gestion des sessions, options de récupération, réglages de visibilité : tout est intégré, tout est gratuit, et tout est désactivé ou réglé de façon très large tant que vous n’y touchez pas.

Le sujet n’a rien d’abstrait. Selon le baromètre Ipsos réalisé pour Cybermalveillance.gouv.fr et publié en septembre 2026, « le taux de Français informés d’une fuite de leurs données personnelles est passé de 30 % en 2025 à 45 % en 2026 ». Une fuite de données (le terme juridique est « violation de données personnelles ») peut exposer votre adresse, parfois votre mot de passe. Ce jour-là, ce sont précisément ces réglages — alertes, sessions, options de récupération — qui vous permettent de réagir à temps.

B. Notions clés

Six choses à chercher, dans chaque service qui les propose.

Les options de récupération

L’adresse e-mail et le numéro de téléphone qu’un service utilise pour vous permettre de revenir dans votre compte si vous perdez l’accès.

Pourquoi c’est important pour vous : vérifiez-les en premier. Il est fréquent d’y trouver une adresse que l’on ne contrôle plus, ce qui veut dire que la voie de récupération est coupée, ou qu’elle appartient à quelqu’un d’autre. En cas de piratage, Cybermalveillance.gouv.fr demande d’ailleurs de s’assurer que « votre numéro de téléphone et votre adresse mail de récupération soient les bons ».

Les alertes de connexion et l’activité

Des notifications quand un nouvel appareil se connecte, et une liste des connexions récentes. « Alertes de connexion » est le titre de notre recommandation R8 ; chaque service a ses propres mots. Microsoft parle d’« activité de connexion inhabituelle » et regroupe l’historique dans sa page « Activité récente ».

Pourquoi c’est important pour vous : l’alerte vous dit que quelque chose s’est passé ; la liste des sessions vous permet d’y mettre fin. Ensemble, elles transforment une intrusion silencieuse en un problème que vous pouvez régler en quelques minutes.

Les sessions et appareils actifs

Tous les endroits où votre compte est ouvert en ce moment. Google les appelle « Vos appareils ».

Pourquoi c’est important pour vous : anciens téléphones, ordinateurs professionnels, l’ordinateur portable d’un ami. Cybermalveillance.gouv.fr le résume : « Si vous détectez une session ou une connexion inconnue ou que vous n’utilisez plus, déconnectez-la ». Cela prend quelques secondes et mérite d’être refait de temps en temps.

Les applications connectées

Les services tiers auxquels vous avez donné accès à votre compte, parfois il y a des années, via un bouton « Se connecter avec ».

Pourquoi c’est important pour vous : cette liste est souvent plus longue que prévu, et une bonne partie ne sert plus. Chaque ligne est un accès permanent à votre compte. Cybermalveillance.gouv.fr invite à examiner leurs autorisations « avec attention car une fois données, ces applications peuvent avoir accès à vos informations personnelles ». Et chaque « Se connecter avec » signifie, selon la même source, « que vous allez communiquer au réseau social des informations sur ce que vous faites sur le site concerné ».

Vie privée et visibilité

Qui peut voir ce que vous publiez, ce qui est public par défaut, ce qui sert à la publicité. La CNIL conseille aussi d’empêcher « les moteurs de recherche d’indexer votre profil ».

Pourquoi c’est important pour vous : ce n’est pas de la sécurité au sens strict, mais c’est la matière première des attaques personnalisées que décrivent les ressources sur l’hameçonnage (phishing), ces faux messages qui imitent un service connu pour vous soutirer des informations.

Conservation des données et vos droits

Ce qu’un service garde, combien de temps, et votre droit d’y accéder, de le corriger, de le récupérer ou de le faire effacer. Ces droits viennent du RGPD (Règlement général sur la protection des données).

Pourquoi c’est important pour vous : télécharger une fois vos propres données est un exercice très éclairant. Il montre ce qui s’est accumulé mieux que n’importe quelle politique de confidentialité. Et si un service ne répond pas, ces droits ne sont pas une faveur : l’organisme doit vous répondre « sous un mois maximum », et la CNIL reçoit les plaintes si ce n’est pas le cas.

C. Un exemple concret : trente minutes sur un seul compte

Quelqu’un ouvre la page de sécurité de sa messagerie principale pour la première fois depuis des années.

• L’adresse de récupération est une ancienne adresse professionnelle, perdue au moment d’un changement d’emploi.
• Trois sessions sont actives : le téléphone, un ordinateur portable, et un appareil dans une autre ville, vieux de dix-huit mois.
• Quatorze applications ont un accès permanent, dont un logiciel de retouche photo utilisé une seule fois en 2019.
• Les alertes de connexion sont disponibles, et désactivées.

Rien de tout cela ne signale un piratage. C’est simplement ce qui s’accumule quand une page de réglages n’est jamais rouverte.

Trente minutes plus tard

• L’adresse de récupération est remplacée par une adresse que la personne contrôle, et un numéro de téléphone de récupération est ajouté.
• La session inconnue est déconnectée, les autres vérifiées.
• Onze des quatorze applications connectées ont perdu leur accès.
• Les alertes de connexion sont activées, et la visibilité des publications ramenée à ce que la personne choisirait aujourd’hui.

Aucun nouvel outil, aucun abonnement, rien à installer. Une demi-heure passée dans des réglages qui étaient déjà là.

D. Essayez : un compte, six vérifications

Commencez par votre messagerie principale : trente minutes, six vérifications. Si vous ne le faites qu’une fois, sur un seul compte, c’est celui-là. Cybermalveillance.gouv.fr rappelle pourquoi : votre adresse de messagerie est liée à beaucoup de vos autres comptes, et c’est par elle qu’on les récupère. Si votre messagerie est un compte Google, le Check-up Sécurité vous guide dans la plupart de ces vérifications.

Étape 1 — Les options de récupération

• L’adresse e-mail de récupération est-elle une adresse que vous contrôlez encore ? Le numéro de téléphone de récupération est-il à jour ?
• Corrigez-les avant tout le reste : c’est par là que vous revenez dans votre compte.

Étape 2 — Les sessions actives

• Passez en revue tous les endroits où le compte est connecté. La liste peut s’appeler sessions, appareils, activité récente ou historique des connexions.
• Déconnectez tout ce que vous ne reconnaissez pas, et tout ce qui se trouve sur un appareil qui n’est plus le vôtre.

Étape 3 — Les applications connectées

• Retirez l’accès à tout ce que vous n’utilisez plus réellement.
• En cas de doute, retirez-le : un service dont vous avez encore besoin vous le redemandera, tout simplement. Google le formule ainsi : « Si vous supprimez l’accès, l’application ou le service tiers ne pourra plus accéder à votre compte Google ».

Étape 4 — Les alertes de connexion

• Activez les notifications pour les nouvelles connexions.
• C’est le réglage le plus utile de la page.

Étape 5 — L’authentification à deux facteurs

• Si elle n’est pas activée, c’est le moment. L’authentification à deux facteurs (2FA) demande, en plus du mot de passe, une deuxième preuve : un code reçu, une application, une clé. Cybermalveillance.gouv.fr parle de « double authentification », ou de « validation ou vérification en deux étapes » : c’est la même chose. Dans les menus, cherchez « validation en deux étapes » chez Google, « vérification en deux étapes » chez Microsoft, « identification à deux facteurs » chez Apple. Les ressources sur l’authentification traitent du choix de la méthode.
• Cybermalveillance.gouv.fr demande d’activer la double authentification « chaque fois que c’est possible » : sur une messagerie qui permet de récupérer tous vos autres comptes, c’est le premier endroit où elle s’impose.

Étape 6 — Vie privée et visibilité

• Regardez ce qui est public par défaut, et ce qui sert à la publicité.
• Réglez selon ce que vous choisiriez vraiment, plutôt que selon ce qui a été choisi pour vous. Ce sont les « paramètres de visibilité » dont parle Cybermalveillance.gouv.fr, « souvent très ouverts » par défaut.

Puis recommencez sur un autre compte la semaine suivante. Vouloir traiter six comptes d’un coup, c’est le meilleur moyen que personne n’aille au bout.

E. Vidéos, articles et autres ressources

Sources institutionnelles françaises, pages d’aide des éditeurs et deux références internationales.

Sources françaises

Cybermalveillance.gouv.fr — La sécurité sur les réseaux sociaux
Dix conseils, dont la visibilité par défaut, les applications tierces, la vérification des connexions et le « Se connecter avec », qui remplit la liste des applications connectées.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/reseaux-sociaux

Cybermalveillance.gouv.fr — Piratage de compte, que faire ?
La fiche réflexe : historique des connexions, sessions inconnues, adresse et numéro de récupération, double authentification.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/piratage-de-compte

Cybermalveillance.gouv.fr — Baromètre Cybermois 2026
Le baromètre Ipsos publié le 15 septembre 2026, dont est tiré le chiffre sur les fuites de données.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cp-cybermois-2026

CNIL — Les droits pour maîtriser vos données personnelles
Accès, rectification, effacement, portabilité : ce que vous pouvez demander à un service.
https://www.cnil.fr/fr/les-droits-pour-maitriser-vos-donnees-personnelles

CNIL — Adresser une plainte
Quand et comment saisir la CNIL si un service ne répond pas à votre demande.
https://www.cnil.fr/fr/adresser-une-plainte

CNIL — Maîtriser mes données
La rubrique de la CNIL pour régler ses comptes et ses appareils, avec des tutoriels (dans « Configurer ses outils »), dont l’accès des applications tierces.
https://www.cnil.fr/fr/maitriser-mes-donnees

CNIL — Réseaux sociaux : comment limiter les risques pour ma vie privée ?
La réponse de CNIL Direct : visibilité du profil, moteurs de recherche, déconnexion en quittant un site.
https://cnil.fr/fr/cnil-direct/question/reseaux-sociaux-comment-limiter-les-risques-pour-ma-vie-privee

Google — Faire un Check-up Sécurité
Le parcours guidé qui passe en revue la plupart des six vérifications ci-dessus sur un compte Google.
https://support.google.com/accounts/answer/12629482?hl=fr

Google — Gérer les connexions entre votre compte Google et des tiers
Où voir et retirer l’accès des applications connectées à un compte Google.
https://support.google.com/accounts/answer/13533235?hl=fr

Microsoft — Qu’est-ce que la page Activité récente ?
L’équivalent de la liste des sessions sur un compte Microsoft.
https://support.microsoft.com/fr-fr/accounts-billing/security/what-is-the-recent-activity-page

Références internationales conservées

NCSC (Royaume-Uni) — Top tips for staying secure online (en anglais)
L’essentiel selon l’autorité britannique, qui relève en bonne partie des réglages plutôt que des outils.
https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online

Electronic Frontier Foundation — Surveillance Self-Defense (en anglais)
Un guide plus approfondi pour qui veut aller au-delà des réglages par défaut. Il n’a pas d’équivalent public français de cette ampleur.
https://ssd.eff.org/

Liens vérifiés le 26 septembre 2026. Chaque service documente ses propres réglages ; la démarche ci-dessus se transpose de l’un à l’autre.

F. Le Framework Cyber Welfare : Compétences, Conscience du risque, Comportements sûrs

Cette leçon relève du pilier Compétences, au niveau FL2 — Initié. Elle est procédurale, et la procédure se transpose à tous les services.

Compétences

• Trouver les pages de sécurité et de confidentialité de n’importe quel service.
• Passer en revue les options de récupération, les sessions actives et les applications connectées.
• Activer les alertes de connexion et régler la visibilité en connaissance de cause.
• Exercer vos droits d’accès et d’effacement, et savoir que la CNIL reçoit les plaintes.

Pour les professionnels et les organisations

• Intégrer la revue des réglages à l’accueil des nouveaux arrivants, plutôt que de la laisser découvrir après un incident.

Conscience du risque

• Comprendre que les réglages par défaut sont choisis pour faciliter la prise en main, pas pour protéger.
• Savoir que les applications connectées s’accumulent sans bruit.
• Savoir qu’une voie de récupération coupée est un problème que l’on découvre au pire moment.

Pour les futurs formateurs et ambassadeurs

• Faire l’exercice en direct sur un compte. Tout le monde trouve quelque chose, et c’est ce qui fait porter la leçon.

Comportements sûrs

• Revoir les réglages des comptes essentiels une ou deux fois par an.
• Retirer l’accès des applications qui ne servent plus.
• Tenir les options de récupération à jour, surtout après un changement d’emploi ou de numéro de téléphone.

Pour les organisations

• Revoir à intervalles réguliers les accès de tiers aux comptes de l’entreprise.

G. Questions à emporter

1. L’adresse de récupération de votre messagerie principale est-elle une adresse que vous contrôlez encore ?
2. Combien d’applications ont un accès permanent à vos comptes ? Quand avez-vous regardé pour la dernière fois ?
3. Sauriez-vous si quelqu’un se connectait à votre messagerie en ce moment ?
4. Quand avez-vous ouvert pour la dernière fois les paramètres de confidentialité du service que vous utilisez le plus ?
5. Savez-vous quelles informations de votre profil sont visibles de tous, y compris des moteurs de recherche ?

H. Ce que vous pouvez faire maintenant

Les recommandations (R) et les mesures de sécurité (MS) de la base Cyber Welfare qui se trouvent dans les réglages de vos comptes.

La page de sécurité

• R4 — Protéger ses comptes avec un deuxième facteur : activez l’authentification à deux facteurs.
• R8 — Alertes de connexion aux comptes : activez les alertes pour les nouvelles connexions et, quand le service le propose, la limitation des tentatives de connexion.
• R1 et R2 — Un mot de passe différent pour chaque compte, conservé en sécurité dans un gestionnaire de mots de passe.
• MS17 — Donnez à la messagerie liée à votre banque les réglages les plus stricts de tous.

La page de confidentialité

• MS6 — Passez vos comptes de réseaux sociaux en mode privé.
• MS7 — Limitez qui peut voir vos photos, vos publications et vos contenus plus anciens.
• R31 — Limiter la connexion via les réseaux sociaux sur des services sans rapport entre eux : c’est ce qui remplit la liste des applications connectées, et c’est le point sur lequel Cybermalveillance.gouv.fr invite à la prudence (« Utilisez en conscience l’authentification avec votre compte de réseau social sur d’autres sites »).
• R32 — Désactiver la géolocalisation des photos.

Engagement minimum : la liste des applications connectées est celle que la plupart des gens n’ont jamais ouverte, et souvent la plus surprenante.

Si, pendant cette revue, vous trouvez une session ou une application que vous n’avez jamais autorisée, il ne s’agit plus d’un simple rangement : suivez la fiche réflexe « Piratage de compte, que faire ? » de Cybermalveillance.gouv.fr, ou contactez 17Cyber (police, gendarmerie et Cybermalveillance.gouv.fr, discussion en ligne 24 h/24, 7 j/7).

En résumé

• L’essentiel de la protection dont vous avez besoin est déjà intégré, et désactivé.
• Cybermalveillance.gouv.fr le constate : par défaut, les paramètres de visibilité sont « souvent très ouverts ».
• Vérifiez d’abord les options de récupération : c’est par elles que vous revenez dans votre compte.
• Les alertes de connexion sont le réglage le plus précieux de la page.
• Les applications connectées s’accumulent sans bruit : retirez l’accès à celles qui ne servent plus, et évitez d’en ajouter avec le « Se connecter avec ».

Autres ressources de ce cours

Les réglages auxquels cela se rattache :

• Se déconnecter de ses comptes : la dernière étape qui compte
• Cartographiez votre vie numérique : par où commence vraiment la protection

Découvrez d’autres fiches complémentaires des cours du programme Protégez votre Vie Privée Numérique.