Sécuriser le mot de passe et les connexions multi-appareils d’une appli compagnon

Distinguer le mot de passe de la session

Le mot de passe établit ou renouvelle l’authentification. La session est l’état que le service maintient après une connexion réussie. Ouvrez la page de sécurité depuis l’application installée, un favori connu ou une adresse saisie directement. Relevez le nom de session, le type d’appareil, l’application ou le navigateur, l’activité récente et la région approximative. Une région n’est qu’un indice : routage mobile, voyage et synchronisation en arrière-plan peuvent la déplacer. Fermez depuis la page officielle toute entrée que vous ne pouvez pas expliquer.

Un appareil peut produire plusieurs sessions normales. Google indique notamment qu’un nouveau navigateur, une nouvelle vérification du mot de passe, une autorisation d’application ou une fenêtre privée peut créer une session distincte. Ne comparez donc pas simplement le nombre de lignes au nombre d’appareils. Donnez aux accès connus un libellé sans secret, par exemple « appli de la tablette familiale ». Le registre ne doit contenir ni mot de passe, ni position précise, ni contenu de conversation.

Réserver un mot de passe distinct à ce compte

Ne réutilisez pas le mot de passe de votre messagerie principale dans l’application compagnon ou sur un autre site. Un secret exposé auprès d’un service peut ensuite être essayé ailleurs. Un gestionnaire de mots de passe reconnu peut générer et conserver des valeurs longues et différentes. Les ressources du NIST décrivent cette utilité ; le coffre reste toutefois un point d’accès important. Protégez-le par une phrase maîtresse distincte, un second facteur disponible et un moyen de récupération que vous avez vérifié.

Ne placez jamais mots de passe, codes de secours ou réponses secrètes dans une note ordinaire, un chat ou une capture. Le registre conserve seulement des états tels que « mot de passe unique enregistré », « second facteur actif » ou « copie de récupération vérifiée ». Évitez les changements prévisibles qui ne remplacent qu’une année. En cas d’indice concret d’exposition, ouvrez vous-même le service officiel, choisissez un secret entièrement nouveau et corrigez chaque autre compte où l’ancien avait été réutilisé.

Inscrire le nouvel appareil dès son arrivée

Avant la première connexion, mettez à jour le système et l’application, vérifiez l’éditeur et n’utilisez pas le bouton d’un message inattendu. Après l’authentification, observez immédiatement le nom et l’heure de la nouvelle session sur la page de sécurité. Notez un surnom d’appareil, son propriétaire, son usage, l’état du verrouillage d’écran et sa date de fin prévue. Cette référence évite de dépendre de la mémoire plusieurs mois plus tard.

Sur un appareil partagé, vérifiez aussi les aperçus de notifications, le remplissage automatique, les profils du navigateur, les téléchargements et l’écran des applications récentes. Quand aucun profil séparé n’est possible, ne conservez pas de connexion longue et utilisez la déconnexion côté service à la fin. Ne prêtez pas votre biométrie enregistrée ni votre code d’écran comme raccourci.

Choisir des moments précis pour la revue

Une alerte de nouvel appareil, un retour de voyage, une réparation, un don, la remise à zéro d’un profil de navigateur ou le changement d’un contact de récupération sont de bons déclencheurs. Examinez les événements de sécurité, les sessions, les connexions tierces puis la récupération. Une synchronisation automatique peut actualiser l’heure ; interprétez-la avec le type d’appareil, le navigateur, la région et votre activité. Refusez toute demande de validation que vous n’avez pas initiée.

Avant de vendre, réparer ou donner un appareil, confirmez que la connexion et la récupération fonctionnent ailleurs. Fermez ensuite sa session à distance, retirez localement identifiants enregistrés, fichiers exportés, notifications et données de l’application, puis suivez les instructions du fabricant pour effacer l’appareil. Désinstaller ne révoque pas nécessairement la session distante et une déconnexion distante n’efface pas un fichier local. Vérifiez le résultat depuis un deuxième appareil.

Clore la revue avec quatre colonnes

La colonne « identifiant » contient uniquement l’unicité, le gestionnaire et le second facteur. « Sessions » liste les accès que vous expliquez. « Appareils » indique propriétaire, verrouillage et sortie. « Récupération » confirme l’adresse, le numéro et la solution de secours toujours sous votre contrôle. Si l’application n’affiche aucune session, marquez « inconnu » et demandez au support officiel l’effet réel d’un changement de mot de passe.

Terminez par des contrôles négatifs : aucun secret dans les notes, aucun appareil inexpliqué, aucun ancien numéro de récupération et aucun aperçu sensible sur un écran commun. Arrêtez lorsque les quatre colonnes sont claires. Une bonne gestion multi-appareils ne consiste pas à surveiller sans fin, mais à savoir pourquoi chaque entrée existe et à fermer précisément celle qui n’a plus d’utilité.

Continuer sur ce thème