Un ami m'a appelé un dimanche soir, paniqué. Son iPhone venait de lui envoyer une notification : une connexion depuis un pays où il n'avait jamais mis les pieds. Sa première réaction a été de changer son mot de passe Apple. Louable. Mais totalement inutile dans la seconde, parce que la vraie porte d'entrée n'était pas son compte Apple. C'était une application de retouche photo installée six mois plus tôt, à qui il avait donné accès à tout son carnet de contacts sans y penser.
Voilà le problème de fond avec la sécurité sur smartphone : on se focalise sur les grosses serrures et on laisse la fenêtre du salon grande ouverte. Le code à six chiffres ne sert à rien si trois applis en arrière-plan lisent vos SMS. Dans cet article, je vous explique comment sécuriser vos données sur votre smartphone, mais pas en récitant la liste habituelle qu'on trouve partout. Je vais vous montrer les réglages précis que la plupart des gens ignorent, et pourquoi ils comptent plus que le reste.
Points clés à retenir
- Le verrouillage de l'écran est la base, mais il ne protège que contre l'accès physique, pas contre l'extraction de données par des applis.
- Les autorisations accordées aux applications sont la première fuite de données personnelles, avant même le piratage.
- La géolocalisation et les identifiants publicitaires se règlent finement, application par application.
- Android comme iOS permettent de tout faire gratuitement : les outils payants sont rarement nécessaires.
- En cas de vol, la fonction de localisation à distance ne suffit pas : il faut aussi penser au verrouillage à distance et à l'effacement.
Le verrouillage : la base qu'on croit maîtriser (et qu'on rate souvent)
Commençons par ce que tout le monde répète. Oui, activez un code. Oui, évitez le schéma à quatre points, trop facile à deviner en regardant par-dessus votre épaule dans le métro. Sur ce point, je ne vais pas vous surprendre.
Mais voici le détail que personne ne mentionne : la durée avant verrouillage automatique. Par défaut, beaucoup de téléphones attendent cinq minutes avant de se verrouiller. Cinq minutes, c'est largement le temps qu'il faut à quelqu'un pour installer un logiciel espion si vous laissez votre appareil sur une table de café. Passez ce délai à trente secondes. C'est pénible, je vous l'accorde. Au début, vous allez déverrouiller votre écran quinze fois par heure. Et puis vous vous y habituerez.
Code PIN ou mot de passe ?
Sur iPhone, vous avez le choix entre un code à six chiffres et un mot de passe alphanumérique. Le second est plus solide en théorie, mais lent à taper, donc les gens le désactivent au bout de deux semaines. Un code à six chiffres correctement configuré, avec effacement automatique après dix tentatives échouées, est un bien meilleur compromis qu'un mot de passe abandonné.
Sur Android, le même réglage existe, souvent caché dans les options de sécurité avancées. Cherchez la mention liée à l'effacement des données après plusieurs échecs. Activez-la.
Les autorisations d'applications : là où vos données partent vraiment
Une lampe torche qui demande l'accès à vos contacts. Un jeu de cartes qui veut connaître votre position. Une application de fond d'écran qui réclame le micro. J'ai vu ces trois cas précis chez des proches, et à chaque fois la personne avait validé sans lire.
Le réflexe est simple, mais il faut le répéter : une application ne devrait avoir accès qu'à ce qui est strictement nécessaire à sa fonction. Le reste, c'est de la collecte, pas du service.
Comment vérifier concrètement
Sur iPhone, ouvrez les réglages, descendez jusqu'à la liste des applications, et ouvrez-les une par une. Vous verrez ce que chacune demande. Sur Android, le chemin est souvent un écran dédié qui regroupe les autorisations par type : localisation, micro, caméra, contacts. C'est plus pratique, parce que vous voyez d'un coup d'œil quelles applis ont accès au micro.
Ce que je fais une fois par mois, et que je recommande vivement : je retire l'accès à la localisation pour tout ce qui n'en a pas besoin en permanence. Réseaux sociaux inclus. Une appli de réseaux sociaux n'a pas besoin de savoir où vous êtes quand vous ne l'utilisez pas.
Le mode de localisation approximative
Voilà l'angle que presque tous les articles oublient. Depuis quelques années, Android et iOS permettent de donner une position approximative plutôt que précise. Concrètement, l'application sait dans quelle ville vous êtes, pas dans quel immeuble. Pour une appli météo ou de recherche de restaurants, c'est largement suffisant. Pour une appli de navigation, évidemment, laissez la position exacte.
Le réglage se trouve dans les options de localisation de chaque application. C'est un interrupteur. Et cet interrupteur, à lui seul, réduit énormément la quantité de données de traçage que vous générez chaque jour.
N'installez rien depuis n'importe où
Le magasin d'applications officiel n'est pas parfait, mais il filtre un minimum. Les fichiers d'installation téléchargés sur des sites tiers, eux, ne filtrent rien du tout. J'ai récupéré il y a quelques années un téléphone Android infecté parce que son propriétaire avait voulu installer une version « complète gratuite » d'une application payante. Le résultat : un logiciel qui envoyait ses SMS vers un numéro inconnu.
La règle est sans exception : si une application n'existe pas dans le magasin officiel, vous n'en avez pas besoin. Point final.
Les mises à jour : ennuyeuses, mais non négociables
Chaque correctif de sécurité comble une faille que des gens exploitent déjà. Quand vous repoussez une mise à jour pendant trois mois, vous laissez une porte ouverte pendant trois mois.
Deux choses à faire. D'abord, activez les mises à jour automatiques du système. Ensuite, et c'est le point souvent oublié : mettez à jour vos applications, pas seulement le système d'exploitation. Une appli de messagerie non mise à jour est une passoire.
Un détail pratique : sur beaucoup de téléphones, les mises à jour automatiques sont bloquées par défaut quand vous êtes sur données mobiles. Vérifiez que le Wi-Fi est bien autorisé à les lancer. Sinon, elles ne s'installent jamais.
Comment protéger son téléphone contre le piratage
Le piratage par exploitation directe d'une faille système, sans interaction de votre part, existe mais reste rare pour le grand public. Ce qui domine, c'est ce qu'on appelle l'ingénierie sociale : on vous fait cliquer, on vous fait valider.
Le vecteur numéro un, de très loin, c'est le message. SMS d'un transporteur, e-mail d'une banque, notification d'un colis en attente. Le lien mène vers une page qui imite parfaitement le site officiel, et vous saisissez vos identifiants.
Le réflexe qui sauve dans 90 % des cas : ne cliquez jamais sur un lien reçu par message quand il vous demande de vous connecter. Ouvrez l'application ou le site directement, par vos propres moyens. Si le problème est réel, vous le verrez là.
Faut-il un antivirus sur smartphone ?
Sur iPhone, la question ne se pose pas : le système est verrouillé, les applications sont isolées les unes des autres, un antivirus tiers n'aurait de toute façon pas accès aux entrailles du système. Sur Android, c'est plus nuancé. Les protections intégrées par Google suffisent pour la grande majorité des usages. Un antivirus tiers n'apporte un vrai plus que si vous installez régulièrement des applications hors magasin officiel, ce que je vous déconseille deux paragraphes plus haut.
Si vous suivez les règles d'installation, vous n'avez pas besoin de payer pour ça.
Comment sécuriser son téléphone en cas de vol
Le vol est le scénario où tout se joue en quelques minutes. Et là, la localisation à distance est le cadet de vos soucis.
| Situation | Ce qu'il faut faire | Où c'est dans les réglages |
|---|---|---|
| Téléphone perdu mais joignable | Le faire sonner à distance | Service de localisation |
| Téléphone volé, hors ligne | Le marquer comme perdu (message au trouveur) | Service de localisation |
| Vous ne le récupérerez pas | Effacer toutes les données à distance | Service de localisation |
| Carte SIM toujours active | Contacter l'opérateur pour la bloquer | Hors téléphone |
Le point que personne ne mentionne : le verrouillage à distance ne suffit pas si votre code est visible sur un écran de déverrouillage. Et pour cause : la plupart des gens affichent leurs notifications sur l'écran verrouillé, avec les aperçus de messages. Un voleur qui reçoit votre code par SMS de réinitialisation l'a sous les yeux, sans même déverrouiller. Désactivez les aperçus sensibles sur l'écran verrouillé, ou limitez-les aux notifications génériques.
Le geste le plus important reste de protéger votre compte principal (Apple ou Google), parce que c'est lui qui commande le verrouillage à distance. S'il est compromis, vous perdez la main sur tout. Activez la double authentification dessus, et utilisez de préférence une clé physique ou une application dédiée plutôt que les SMS, qu'on peut intercepter en détournant votre numéro.
Les réseaux Wi-Fi publics : le vrai risque
Un Wi-Fi de gare ou de café, sans mot de passe, c'est une conversation à voix haute dans un lieu public. Tout ce qui circule peut, en théorie, être écouté par quelqu'un qui sait s'y prendre.
Aujourd'hui, la très grande majorité des sites et applications chiffrent leur trafic, ce qui limite énormément ce qu'un observateur peut lire. Mais :
- les applications mal conçues qui utilisent encore du HTTP non chiffré exposent ce que vous envoyez ;
- un réseau pirate peut se faire passer pour le « Wi-Fi_Gare_Gratuit » officiel et rediriger tout votre trafic ;
- les pages de connexion factices, qui imitent le portail du réseau, récupèrent vos identifiants.
Ma règle personnelle : sur un réseau public, je ne me connecte qu'à mes comptes déjà enregistrés dans mes applications, jamais via un site. Et je désactive la connexion automatique aux réseaux ouverts dans mes réglages Wi-Fi. C'est cette option-là qui vous met en danger sans que vous ne fassiez rien.
Un VPN est-il utile ?
Un VPN chiffre votre trafic entre votre téléphone et un serveur intermédiaire. Sur un réseau public, cela ajoute une couche de protection réelle. Mais il déplace la confiance : vous confiez alors vos données à l'opérateur du VPN. Gratuit et fiable ne vont pas souvent ensemble dans ce domaine, et beaucoup de VPN gratuits se rémunèrent précisément en revendant ce qu'ils voient passer.
Pour un usage occasionnel sur un réseau douteux, autant désactiver le Wi-Fi et utiliser vos données mobiles. C'est gratuit, et ça règle la question.
Les données qu'on oublie de protéger
On parle toujours de mots de passe et de contacts. Rarement des capteurs. Pourtant, votre téléphone enregistre votre rythme cardiaque, vos pas, votre sommeil, parfois votre cycle. Ces informations sont intimes, et de nombreuses applications y accèdent pour des raisons qui n'ont rien à voir avec votre santé.
Le réglage à connaître : Android et iOS ont tous deux un tableau de bord des données de santé et d'activité, qui liste toutes les applications ayant accès à ces mesures. Ouvrez-le. Vous serez probablement surpris par ce que vous y trouverez. Retirez tout ce qui n'a pas une utilité évidente.
Autre sujet sensible, la publicité. Votre téléphone dispose d'un identifiant publicitaire que les annonceurs utilisent pour vous suivre d'une application à l'autre. Vous pouvez le réinitialiser, et surtout demander à ce que les applications ne vous traquent pas. Sur iOS, le réglage s'appelle le suivi des applications : refusez par défaut, vous pouvez toujours autoriser au cas par cas. Sur Android, cherchez la désactivation de la personnalisation des annonces. Cela ne vous débarrassera pas de la pub, mais cela coupe le fil qui relie votre profil entre plusieurs applications.
La sauvegarde : votre assurance en dernier recours
Un téléphone effacé à distance, c'est efficace. Mais c'est aussi toutes vos photos qui partent avec. La sauvegarde chiffrée n'est pas un sujet de sécurité purement défensif : c'est ce qui vous permet de prendre la décision radicale sans tout perdre.
Activez la sauvegarde automatique dans le cloud, et vérifiez que le chiffrement de la sauvegarde est activé. Beaucoup de gens croient que c'est automatique. Ça ne l'est pas toujours, loin de là.
Une dernière chose, moins glamour mais décisive : listez par écrit, dans un gestionnaire de mots de passe, les comptes critiques liés à votre téléphone. Le jour où vous devez couper, changer et reprendre la main, vous n'aurez pas envie de fouiller votre mémoire pendant que quelqu'un utilise vos comptes.
La vraie sécurité sur un smartphone ne ressemble pas à un logiciel qu'on achète. Elle ressemble à une série de petites décisions prises quinze minutes par mois, dans les réglages, pendant que le café refroidit. Ce n'est pas spectaculaire. C'est juste ce qui fonctionne.
