10 bonnes pratiques pour protéger sa vie privée en ligne

La semaine dernière, une amie m'appelle, paniquée. Elle venait de recevoir un mail d'une banque qu'elle ne connaissait pas, avec son nom complet, son adresse postale et les quatre derniers chiffres d'une carte qu'elle avait résiliée deux ans plus tôt. Tout était juste. Sauf que ce n'était pas sa banque.

Elle m'a demandé comment un inconnu pouvait avoir ces informations. La réponse est banale et un peu dérangeante : elles traînaient quelque part, dans une base de données qu'elle n'avait jamais vue, issue d'une fuite qu'elle n'avait jamais remarquée. Voilà pourquoi les bonnes pratiques pour protéger sa vie privée en ligne ne se résument pas à « mettre un mot de passe solide ». C'est un travail de fond, souvent ingrat, mais qui change vraiment la donne.

Je vais vous expliquer ce que j'applique moi-même, ce que j'ai raté pendant des années, et par où je commencerais si je devais tout reprendre de zéro.

Protéger sa vie privée : le vrai chantier commence ailleurs

On associe presque toujours la confidentialité numérique à trois gestes : un mot de passe costaud, un antivirus, des réglages de compte bien fermés. C'est nécessaire. Ce n'est pas suffisant.

Le problème n°1, celui qui fait le plus de dégâts, s'appelle la réutilisation de mots de passe. Une fuite sur un forum oublié de 2015 suffit : le couple email/mot de passe se retrouve revendu, testé automatiquement sur des centaines de services, et ça marche parce que la même combinaison ouvre votre boîte mail, votre compte bancaire et votre espace client chez l'opérateur.

Pourquoi le mot de passe unique ne suffit plus

J'ai longtemps fait l'erreur. Une variation du même mot de passe, avec un chiffre incrémenté à la fin, « pour ne pas m'embêter ». Le jour où j'ai découvert que trois de mes comptes étaient concernés par une fuite, j'ai passé une soirée entière à tout reprendre à la main. Plus jamais.

Ce qui règle le problème pour de bon, ce sont les gestionnaires de mots de passe. Bitwarden, 1Password, Dashlane, KeePass : peu importe, ce qui compte c'est que chaque site ait un mot de passe unique, long, généré, et que vous n'ayez à en mémoriser qu'un seul — celui du coffre.

Un mot de passe maître de quatre mots sans lien entre eux (par exemple « grange-requin-lilas-9mars ») est plus solide et plus mémorisable que « P@ssw0rd2026! ». La longueur bat la complexité, à chaque fois.

La double authentification : la seule mesure qui change vraiment tout

Si vous ne retenez qu'une chose de cet article, prenez celle-ci : activez la double authentification (2FA) partout où c'est proposé. Même avec un mot de passe volé, l'attaquant se heurte à un mur.

• Évitez le SMS quand une alternative existe : la carte SIM peut être détournée par portage frauduleux.
• Privilégiez une application d'authentification (Aegis, 2FAS, Google Authenticator) ou une clé physique type YubiKey.
• Conservez les codes de secours imprimés, pas dans une note synchronisée dans le cloud.
• Ne vous reposez pas uniquement sur l'email de récupération : si la boîte mail tombe, tout tombe.

Franchement, la 2FA est le meilleur rapport effort/sécurité qui existe. Vingt minutes de configuration, une tranquillité qui dure des années.

Comment protéger sa vie privée sur les réseaux sociaux

Ce n'est pas tant ce que vous publiez qui pose problème, c'est ce que la plateforme déduit de votre simple présence. Temps passé sur une vidéo, hésitation avant un clic, lieux fréquentés, contacts réguliers : tout est collecté, agrégé, et revendu à des annonceurs capables de vous profiler à la seconde près.

Un exemple concret. J'ai longtemps laissé un compte Instagram ouvert avec un profil public et une localisation activée sur les publications. En croisant ces informations, n'importe qui pouvait reconstituer ma journée type : domicile, bureau, salle de sport, horaires. Aucun piratage, aucune donnée volée. Juste ce que j'avais accepté de donner.

Les réglages qui changent le plus

Voici ce que j'ai modifié, dans l'ordre, et qui a eu le plus d'impact :

1. Passer tous mes profils en mode privé, sans exception. Le compte public, c'était une vanité, pas une nécessité.
2. Désactiver la géolocalisation des publications et supprimer l'historique de lieux existant.
3. Restreindre la visibilité des listes d'amis et des abonnements — c'est une porte d'entrée classique pour l'ingénierie sociale.
4. Révoquer l'accès de toutes les applications tierces connectées à mes comptes. J'en avais 34. Je n'en utilise plus que 6.
5. Couper la personnalisation publicitaire et désactiver le suivi hors plateforme, dans les réglages publicitaires.
6. Utiliser une adresse email dédiée, différente de ma boîte principale.
7. Vérifier une fois par trimestre qui peut voir quoi, parce que les plateformes réinitialisent discrètement certains paramètres lors des mises à jour.

Ce dernier point est le plus souvent oublié. Une plateforme change son interface, un réglage repart en position par défaut, et vous ne vous en apercevez jamais. J'ai pris l'habitude de refaire un tour complet des paramètres tous les trois mois. C'est fastidieux, mais ça évite les mauvaises surprises.

Cookies, trackers et empreinte numérique : le vrai angle mort

Personne ne veut cliquer « Gérer mes préférences » sur un bandeau de cookies. Je comprends. Mais ce bouton est justement là où se joue une grande partie de votre exposition. Un refus global, bien fait, coupe la majorité des traceurs publicitaires d'un site.

Le problème, c'est que les cookies ne sont qu'une partie de l'histoire. La empreinte navigateur — combinaison de la version du navigateur, de la résolution d'écran, des polices installées, du fuseau horaire, du système d'exploitation — permet d'identifier un utilisateur même sans cookie. Désactiver les cookies ne suffit donc pas.

Mesure	Effet réel	Effort
Refus des cookies non essentiels	Réduit le pistage publicitaire classique sur le site visité	Faible
Navigateur avec protection anti-tracking (Firefox, Brave)	Bloque une grande partie des scripts tiers	Faible
Extension anti-fingerprinting	Rend l'empreinte moins unique, mais dégrade parfois l'affichage	Moyen
VPN grand public	Cache l'adresse IP ; ne protège ni des cookies ni du fingerprinting	Moyen à élevé selon l'usage

Cette comparaison m'a coûté plusieurs semaines de tests, et la conclusion est simple : il n'existe pas de solution unique. C'est l'empilement de plusieurs mesures qui fait la différence, pas l'outil miracle.

Que faire après une fuite de données

C'est la partie que je n'avais jamais anticipée. On découvre qu'une adresse email traîne dans une fuite, on hausse les épaules, et on passe à autre chose. Erreur.

La procédure que j'applique maintenant :

• Vérifier l'adresse concernée sur un service de type Have I Been Pwned pour savoir quelle fuite est en cause.
• Changer immédiatement le mot de passe du service touché, puis tous les comptes qui partagent le même mot de passe.
• Activer ou réactiver la 2FA sur les comptes sensibles (mail, banque, réseaux).
• Surveiller les prélèvements et les connexions inhabituelles pendant plusieurs semaines.
• Signaler l'incident sur la plateforme officielle de la CNIL ou sur cybermalveillance.gouv.fr si l'usurpation est avérée.
• Ne pas cliquer sur les liens reçus par mail ou SMS au nom du service concerné : c'est le moment idéal pour les tentatives d'hameçonnage.

Le gel de crédit, souvent conseillé aux États-Unis, n'a pas d'équivalent direct en France. En revanche, la CNIL et les autorités bancaires permettent de signaler et de faire valoir vos droits sur vos données. C'est moins automatisé, mais tout aussi utile.

Protéger sa vie privée selon son profil de risque

Il n'existe pas une réponse unique. Un télétravailleur, un parent d'adolescent et une victime de harcèlement n'ont pas les mêmes priorités. Voici comment je déclinerais les mesures selon la situation.

Le télétravailleur

Ici, la priorité est le cloisonnement. Un ordinateur professionnel pour le boulot, un appareil personnel pour la vie privée. Un WiFi séparé si possible, ou au minimum un VPN d'entreprise. Le chiffrement du disque (BitLocker, FileVault, LUKS) n'est plus un luxe : c'est la base si vous emportez votre portable dans un lieu public.

Et surtout : ne mélangez jamais vos comptes personnels et ceux de l'employeur. J'ai vu un collègue utiliser la même adresse pour Slack et son compte perso. Le jour où son entreprise a changé de fournisseur, il a passé trois heures à démêler les deux.

Le parent d'adolescent

Je ne suis pas naïf : interdire ne marche jamais longtemps. Ce qui fonctionne mieux, c'est d'expliquer pourquoi certaines informations ne se partagent pas en public, et de mettre en place un contrôle parental proportionné à l'âge.

Réglages par âge sur les comptes, désactivation de la géolocalisation, rappel régulier que tout ce qui est publié peut être copié, capturé, réutilisé. Vérifier aussi que les jeux en ligne ne demandent pas l'accès au micro ou au carnet d'adresses sans raison.

La victime de harcèlement ou de doxxing

Là, on change de catégorie. La priorité absolue est de réduire au maximum l'empreinte publique : profil privé partout, suppression ou anonymisation des données personnelles, désinscription des annuaires en ligne et des data brokers qui revendent votre nom, adresse et numéro de téléphone.

Est-ce que tout part ? Non. Certains sites résistent, proposent des formulaires interminables, traînent des pieds. Mais sur les dizaines que j'ai testés, une bonne moitié répond réellement à une demande de suppression. C'est frustrant, c'est chronophage, mais ça réduit réellement l'exposition.

Comment se protéger sur Internet quand on n'est pas expert

Vous n'avez pas besoin de tout faire. Il faut juste hiérarchiser : commencer par les mesures à fort impact et à faible effort, puis descendre progressivement.

Mon ordre de priorité, après toutes ces années à bricoler ma propre sécurité :

1. Un gestionnaire de mots de passe, dès maintenant, sur tous vos comptes importants.
2. La double authentification partout où elle est proposée.
3. Un navigateur respectueux par défaut, et un refus systématique des cookies non essentiels.
4. Le chiffrement du disque et des sauvegardes.
5. Une messagerie avec chiffrement de bout en bout pour les échanges sensibles (Signal, par exemple).
6. Une revue trimestrielle de vos paramètres de confidentialité.
7. La vérification régulière de vos fuites de données, et la suppression de vos comptes inutilisés.

Aucune de ces étapes n'est excitante. Aucune ne se voit. Et pourtant, c'est précisément parce qu'elles sont invisibles qu'elles sont efficaces : une protection qui fonctionne se remarque par le silence, pas par le bruit.

La vraie question n'est pas « suis-je assez paranoïaque ? ». Elle est : « quelle information, si elle tombait dans de mauvaises mains demain, me poserait un vrai problème ? ». Répondez à cette question honnêtement, traitez ce qui compte en premier, et recommencez dans six mois. C'est tout. C'est déjà énorme.

Et si un mail vous semble un peu trop juste sur votre situation personnelle — comme celui reçu par mon amie cette semaine —, demandez-vous simplement qui pourrait savoir ce qu'il contient. Parfois, la meilleure protection commence par cette question toute bête.