Leçon 3.1.1 — Un bon mot de passe (et le gestionnaire de mots de passe)
Niveau : 🟢 Découverte · Type : Texte + TP · Durée de lecture : ~10 min + TP 10 min
Objectifs de la leçon
À la fin de cette leçon, tu sauras :
- expliquer ce qui rend un mot de passe solide ;
- comprendre pourquoi il ne faut jamais réutiliser le même partout ;
- créer une phrase de passe et connaître le gestionnaire de mots de passe.
La clé de ta vie numérique
Un mot de passe, c’est la clé de tout ce que tu as en ligne : messagerie, réseaux, argent, photos. Si quelqu’un l’obtient, il entre. Pourtant, la plupart des gens choisissent des clés minuscules et faciles à copier. Deux erreurs reviennent tout le temps, et on va les corriger.
Erreur n°1 : un mot de passe trop court ou trop évident. « 123456 », « azerty », un prénom, une date de naissance : ce sont les premiers essais de n’importe quel pirate. Des programmes testent des millions de combinaisons par seconde ; un mot de passe court tombe en un instant.
Erreur n°2 : le même mot de passe partout. C’est la plus dangereuse. Si un seul site où tu es inscrit se fait pirater (ça arrive tout le temps), ton mot de passe se retrouve dans la nature — et les pirates l’essaient aussitôt sur tous tes autres comptes. Un mot de passe réutilisé, c’est un passe-partout qu’on a laissé tomber.
Ce qui rend un mot de passe solide
Deux critères comptent : la longueur avant tout, et le fait d’être unique pour chaque compte important.
La bonne technique, facile à retenir, c’est la phrase de passe : au lieu d’un mot compliqué et imprononçable, on assemble plusieurs mots en une petite phrase absurde mais mémorable.
Par exemple : Cheval-Bleu-Mange-42-Nuages. C’est long (donc très difficile à casser), ça mélange majuscules, chiffres et tirets, et pourtant ça se retient bien mieux que X7!k$2q. La longueur fait la force ; l’absurdité fait la mémoire.
⚠️ Ne partage jamais tes mots de passe, même à un ami proche, et ne les tape pas sur un appareil qui n’est pas le tien sans précaution. Un mot de passe qui a été partagé n’est plus un secret.
Le gestionnaire de mots de passe
« Comment retenir un mot de passe différent, long et unique pour chaque site ? » Bonne question — et la réponse, c’est qu’on ne les retient pas soi-même. On utilise un gestionnaire de mots de passe.
C’est un coffre-fort numérique qui retient tous tes mots de passe à ta place, protégé par un seul mot de passe maître (le seul que tu dois vraiment mémoriser — une bonne phrase de passe). Le gestionnaire peut même créer pour toi des mots de passe longs et uniques, et les remplir automatiquement. Ton téléphone en propose souvent un intégré (Trousseau iCloud, gestionnaire Google), et il existe des applis dédiées.
C’est le seul moyen réaliste d’avoir des mots de passe à la fois forts et tous différents sans devenir fou.
🛠️ Travaux pratiques — Créer une phrase de passe solide
Objectif : remplacer un mot de passe faible par une vraie phrase de passe.
Marche à suivre :
- Invente une phrase de passe : 4 mots sans lien logique + un chiffre + des tirets (ex.
Tigre-Piano-Orange-7-Lune). Ne réutilise pas l’exemple. - Choisis un compte important (ta messagerie, par exemple) et remplaces-y ton ancien mot de passe par cette phrase.
- Repère le gestionnaire de mots de passe de ton appareil (Réglages → Mots de passe) et regarde s’il te signale des mots de passe réutilisés ou faibles.
- Corrige-en au moins un.
Critères de réussite :
- [ ] J’ai créé une phrase de passe longue et unique.
- [ ] Je l’ai appliquée à un compte important.
- [ ] J’ai trouvé le gestionnaire de mots de passe de mon appareil.
- [ ] Je comprends pourquoi on ne réutilise jamais le même mot de passe.
🔧 Et dans le monde du travail ? La fuite d’un mot de passe professionnel peut ouvrir l’accès à toute une entreprise. Beaucoup d’employeurs imposent gestionnaire de mots de passe et mots de passe uniques : arriver en connaissant déjà ces réflexes est un vrai atout.
À retenir
- Deux erreurs à bannir : mot de passe trop court/évident, et le même partout (le plus dangereux).
- Un bon mot de passe est long et unique ; la phrase de passe (plusieurs mots) est solide et facile à retenir.
- Le gestionnaire de mots de passe est un coffre-fort qui retient tout à ta place, protégé par un seul mot de passe maître.
Leçon 3.1.2 — La double authentification (2FA)
Niveau : 🟢 Découverte · Type : Texte + TP · Durée de lecture : ~9 min + TP 10 min
Objectifs de la leçon
À la fin de cette leçon, tu sauras :
- expliquer ce qu’est la double authentification ;
- comprendre pourquoi elle protège même si ton mot de passe fuit ;
- l’activer sur un compte important.
Une deuxième serrure
Même le meilleur mot de passe peut fuiter un jour (piratage d’un site, hameçonnage). La double authentification — souvent notée 2FA (two-factor authentication) ou « validation en deux étapes » — ajoute une deuxième serrure sur ta porte.
L’idée : pour entrer, il ne suffit plus de savoir ton mot de passe, il faut aussi posséder quelque chose que toi seul as — en général ton téléphone. Après avoir tapé ton mot de passe, le service demande une deuxième preuve : un code envoyé par SMS, un code généré par une appli, ou une confirmation à valider sur ton téléphone.
Résultat : même si un pirate obtient ton mot de passe, il ne peut pas entrer sans cette deuxième preuve, qui est dans ta poche. C’est l’une des protections les plus efficaces qui existent, pour un effort minime.
Les formes de 2FA
De la plus courante à la plus solide :
Le code par SMS. Un code arrive par message. Simple et déjà bien mieux que rien. (Petit bémot : le SMS est le moins sûr des trois, mais reste très utile.)
L’appli d’authentification. Une appli dédiée (Google Authenticator, Microsoft Authenticator, etc.) génère un code qui change toutes les 30 secondes. Plus sûr que le SMS.
La confirmation sur l’appareil. Le service affiche « Est-ce bien vous ? » sur ton téléphone, tu valides d’un geste. Pratique et sûr.
Le mieux : activer la 2FA au moins sur tes comptes les plus importants — ta messagerie principale en priorité (car c’est souvent elle qui permet de réinitialiser tous tes autres mots de passe), puis tes réseaux et tout ce qui touche à l’argent.
🛠️ Travaux pratiques — Activer la 2FA sur un compte
Objectif : ajouter une deuxième serrure à ton compte le plus important.
Marche à suivre :
- Choisis ta messagerie principale (Gmail, iCloud, Outlook…).
- Va dans les paramètres de sécurité du compte.
- Cherche « Validation en deux étapes » / « Double authentification » / « 2FA » et active-la.
- Choisis une méthode (SMS pour commencer, ou une appli d’authentification si tu veux le meilleur).
- Note ou conserve les codes de secours proposés, dans un endroit sûr (ils dépannent si tu perds ton téléphone).
Critères de réussite :
- [ ] J’ai activé la 2FA sur au moins un compte important.
- [ ] J’ai compris qu’un mot de passe volé ne suffit plus à entrer.
- [ ] J’ai mis de côté mes codes de secours.
- [ ] Je sais quels autres comptes protéger ensuite.
💡 Priorité absolue : ta messagerie. Qui contrôle ta boîte mail peut souvent réinitialiser tous tes autres comptes. La protéger, c’est protéger tout le reste.
À retenir
- La double authentification (2FA) ajoute une deuxième preuve (souvent ton téléphone) en plus du mot de passe.
- Même si ton mot de passe fuit, un pirate ne peut pas entrer sans cette deuxième preuve.
- À activer en priorité sur ta messagerie principale, puis réseaux et comptes liés à l’argent.
Leçon 3.1.3 — L’hameçonnage (phishing) : ne pas mordre à l’appât
Niveau : 🟢 Découverte · Type : Texte + fiche PDF · Durée de lecture : ~10 min
Objectifs de la leçon
À la fin de cette leçon, tu sauras :
- reconnaître une tentative d’hameçonnage ;
- repérer les signaux d’alerte d’un message piégé ;
- réagir correctement face à un message suspect.
Le piège le plus courant
L’hameçonnage (en anglais phishing) est l’arnaque numérique la plus répandue, et elle ne mise pas sur la technique : elle mise sur toi. Le principe : un escroc t’envoie un message qui imite un organisme de confiance (ta banque, un service de livraison, un réseau social, l’administration) pour te pousser à donner tes informations (mot de passe, numéro de carte) ou à cliquer sur un lien piégé.
L’image est parlante : le pirate lance un appât (un message alléchant ou inquiétant) en espérant que tu mordes. Il envoie des millions de messages ; il lui suffit qu’une petite fraction morde.
Comment ils te manipulent
Les messages d’hameçonnage jouent presque toujours sur les émotions, pour court-circuiter ta réflexion (souviens-toi de l’émotion forte, Section 2.2) :
- L’urgence : « Votre compte sera fermé dans 24h », « Action immédiate requise ». On te presse pour t’empêcher de réfléchir.
- La peur : « Une connexion suspecte a été détectée », « Vous avez une amende impayée ».
- L’appât du gain : « Vous avez gagné un cadeau », « Remboursement en attente, cliquez ici ».
Dans tous les cas, il y a un lien à cliquer ou une information à donner en urgence. C’est la signature de l’arnaque.
Les signaux d’alerte
Avant de cliquer ou de répondre, cherche ces indices (repris dans la fiche PDF) :
- L’expéditeur est bizarre — une adresse e-mail étrange, qui ne correspond pas vraiment à l’organisme.
- Le message crée l’urgence ou la peur — pour t’empêcher de réfléchir.
- Des fautes de langue ou une mise en forme approximative.
- Un lien douteux — l’adresse affichée ne correspond pas au site officiel (pose le doigt/la souris dessus sans cliquer pour voir où il mène).
- On te demande des infos sensibles — un vrai organisme ne te demande jamais ton mot de passe complet par message.
- Une demande inhabituelle — un « patron » ou un « proche » qui réclame un virement ou une carte cadeau en urgence.
Le bon réflexe
Si un message a un ou plusieurs de ces signaux :
- Ne clique pas sur le lien, ne réponds pas, ne donne aucune info.
- Vérifie par un autre chemin. Un doute sur ta banque ? Ne clique pas dans le message : ouvre toi-même l’appli ou tape toi-même l’adresse officielle. Un doute sur un proche ? Appelle-le.
- Signale et supprime. La plupart des messageries ont un bouton « Signaler comme hameçonnage / spam ». En France, tu peux aussi signaler sur
signal-spam.frou Pharos (internet-signalement.gouv.fr).
Retiens la règle d’or : un organisme sérieux ne te demandera jamais tes identifiants ou ta carte en urgence par message. Dans le doute, on ne clique pas — on vérifie par soi-même.
📄 Fiche PDF téléchargeable : « Phishing — les 6 signaux d’alerte » résume cette leçon en une page.
🔧 Et dans le monde du travail ? L’hameçonnage est la première porte d’entrée des attaques contre les entreprises. Un seul salarié qui clique peut compromettre toute la structure. Savoir repérer un mail piégé est aujourd’hui une compétence attendue partout, et beaucoup d’entreprises forment leurs équipes à ça.
À retenir
- L’hameçonnage imite un organisme de confiance pour te faire donner tes infos ou cliquer sur un lien piégé.
- Il joue sur l’urgence, la peur, l’appât du gain pour court-circuiter ta réflexion.
- Le réflexe : ne pas cliquer, vérifier par un autre chemin, signaler. Un vrai organisme ne demande jamais tes identifiants en urgence par message.
Leçon 3.1.4 — Régler sa confidentialité (on ouvre les vrais paramètres)
Niveau : 🟡 Autonomie · Type : Texte + TP · Durée de lecture : ~10 min + TP 15 min
Objectifs de la leçon
À la fin de cette leçon, tu sauras :
- comprendre pourquoi les réglages par défaut ne te protègent pas ;
- savoir quels réglages de confidentialité vérifier ;
- faire un audit de tes comptes et de ton téléphone.
Les réglages par défaut ne sont pas de ton côté
Quand tu crées un compte, les réglages sont déjà positionnés « par défaut ». Et souvent, ces réglages penchent du côté de l’ouverture maximale : profil visible, position partagée, publicité personnalisée activée. Pourquoi ? Parce que ça sert le modèle du service (Section 2.1), pas forcément ta vie privée.
La bonne nouvelle : tu peux tout changer. Les réglages existent, ils sont juste rarement mis en avant. Reprendre la main dessus est l’un des gestes les plus efficaces de tout ce cours — et ça se fait en quelques minutes.
Quoi vérifier
Sur chaque réseau social et sur ton téléphone, passe en revue :
Qui voit ce que je publie ? Ton compte est-il public (tout le monde) ou privé (tes abonnés acceptés) ? Pour un usage personnel, le privé est souvent plus sain.
Qui peut me contacter, me taguer, commenter ? Restreins si nécessaire à tes contacts.
Ma position. Beaucoup d’applis partagent ta localisation en continu. Limite l’accès (« pendant l’utilisation » plutôt que « toujours »), voire coupe-le (souvenir du TP 1.1.3).
La publicité personnalisée. La plupart des services et des téléphones permettent de la désactiver ou de réinitialiser l’identifiant publicitaire.
Les infos de profil visibles. Numéro de téléphone, e-mail, date de naissance : masque ce qui n’a pas à être public.
Les applis connectées. Tu as peut-être autorisé des applis tierces à accéder à tes comptes (« se connecter avec… »). Fais le ménage dans celles que tu n’utilises plus.
🛠️ Travaux pratiques — Audit de confidentialité
Objectif : resserrer la confidentialité d’un compte et de ton téléphone.
Marche à suivre :
- Choisis le réseau social que tu utilises le plus. Ouvre Réglages → Confidentialité.
- Vérifie qui voit tes publications et passe en privé si ça te convient.
- Regarde qui peut te contacter/te taguer et ajuste.
- Coupe ou réinitialise la publicité personnalisée si l’option existe.
- Sur ton téléphone, revois les autorisations de position (« pendant l’utilisation » plutôt que « toujours »).
- Fais le tri dans les applis connectées à tes comptes.
Critères de réussite :
- [ ] J’ai revu qui voit mes publications sur au moins un réseau.
- [ ] J’ai ajusté qui peut me contacter/me taguer.
- [ ] J’ai limité le partage de ma position.
- [ ] J’ai désactivé/réinitialisé la publicité personnalisée là où c’était possible.
💡 Ce n’est pas à faire une fois pour toutes : les services changent leurs réglages régulièrement (et parfois les remettent en position ouverte). Repasse-les en revue de temps en temps.
À retenir
- Les réglages par défaut penchent souvent vers l’ouverture maximale — au service du modèle, pas de ta vie privée. Tu peux tout changer.
- À vérifier : qui voit tes publications, qui peut te contacter, ta position, la pub personnalisée, tes infos de profil, les applis connectées.
- À refaire régulièrement : les services modifient leurs réglages.
Quiz — Section 3.1 : Se protéger au quotidien
10 questions · à recréer dans l’outil Quiz de Tutor LMS · barème indicatif : 8/10 pour valider
Question 1. Quelle est l’erreur de mot de passe la plus dangereuse ?
- A) Un mot de passe un peu long
- B) Utiliser le même mot de passe partout ✅
- C) Utiliser une phrase de passe
- D) Changer de mot de passe
Question 2. Qu’est-ce qui rend un mot de passe solide ?
- A) Être très court
- B) Être long et unique pour chaque compte important ✅
- C) Être un prénom connu
- D) Être une date de naissance
Question 3. Une phrase de passe, c’est :
- A) Un mot de passe de 4 caractères
- B) Plusieurs mots assemblés, longs et mémorables ✅
- C) Le même mot répété
- D) Une question secrète
Question 4. À quoi sert un gestionnaire de mots de passe ?
- A) À ralentir l’appareil
- B) À retenir tous tes mots de passe à ta place, dans un coffre-fort ✅
- C) À partager tes mots de passe avec tes amis
- D) À supprimer tes comptes
Question 5. Que fait la double authentification (2FA) ?
- A) Elle remplace ton mot de passe
- B) Elle ajoute une deuxième preuve (souvent ton téléphone) ✅
- C) Elle rend le mot de passe inutile
- D) Elle partage ton compte
Question 6. Pourquoi la 2FA protège-t-elle même si ton mot de passe fuit ?
- A) Parce qu’elle change ton mot de passe
- B) Parce qu’un pirate ne peut pas entrer sans la deuxième preuve ✅
- C) Parce qu’elle supprime le pirate
- D) Elle ne protège pas dans ce cas
Question 7. Sur quel compte activer la 2FA en priorité ?
- A) Un vieux compte inutilisé
- B) Ta messagerie principale ✅
- C) Un jeu
- D) Aucun
Question 8. Qu’est-ce que l’hameçonnage (phishing) ?
- A) Un virus qui casse l’écran
- B) Un message qui imite un organisme de confiance pour te piéger ✅
- C) Une mise à jour
- D) Un type de wifi
Question 9. Sur quoi jouent presque toujours les messages d’hameçonnage ?
- A) La logique et le calme
- B) L’urgence, la peur ou l’appât du gain ✅
- C) L’ennui
- D) La patience
Question 10. Face à un message suspect de « ta banque », que faire ?
- A) Cliquer vite sur le lien
- B) Donner ton mot de passe pour vérifier
- C) Ne pas cliquer et vérifier par un autre chemin (ouvrir soi-même l’appli officielle) ✅
- D) Transférer le message à tes amis
Corrigé commenté
- B — Réutiliser le même mot de passe : une fuite sur un site compromet tous les comptes.
- B — Longueur + unicité font la solidité. Prénoms et dates sont les premiers essais des pirates.
- B — Une phrase de passe assemble plusieurs mots : longue (donc forte) et facile à retenir.
- B — Le gestionnaire est un coffre-fort qui retient (et crée) des mots de passe uniques à ta place.
- B — La 2FA ajoute une deuxième preuve, en plus du mot de passe ; elle ne le remplace pas.
- B — Sans la deuxième preuve (ton téléphone), un mot de passe volé ne suffit plus à entrer.
- B — La messagerie d’abord : elle permet souvent de réinitialiser tous les autres comptes.
- B — L’hameçonnage imite un organisme de confiance pour te faire donner tes infos ou cliquer.
- B — Urgence, peur, gain : des émotions fortes pour court-circuiter la réflexion.
- C — On ne clique pas ; on vérifie par un autre chemin qu’on ouvre soi-même. Jamais donner son mot de passe.
Barème indicatif : 8/10 pour valider la section. En dessous, reprendre les leçons concernées avant la Section 3.2.
TC Digital Academy · Thomas Cédric · Maîtriser son environnement numérique — Section 3.1