Protéger ses comptes contre le phishing

4 min de lecture07 novembre 2026

Le phishing ne vise pas seulement votre boîte mail : il vise le compte qui contrôle vos services, vos factures et vos noms de domaine. Une page imitant le dashboard, un message Discord ou une fausse facture suffisent à récupérer un mot de passe réutilisé. La défense repose sur des gestes simples, appliqués avant l'incident.

Reconnaître une tentative

Un message crédible n'est pas un message sûr. Les signaux les plus fiables sont l'urgence, la demande de saisie d'un mot de passe, l'envoi d'un code de vérification et un domaine qui ressemble au bon sans être identique.

Signal	Réflexe
Lien « reconnectez-vous pour éviter la suspension »	ouvrir `https://dash.neoheberg.fr` par un favori
Pièce jointe « facture » ou « remboursement »	consulter les factures dans le dashboard
Code 2FA demandé par message	ne jamais le transmettre, même au support
Domaine proche mais différent	lire le nom d'hôte caractère par caractère
Page qui demande vos identifiants après un clic	fermer l'onglet et repartir de l'adresse officielle

Le cadenas HTTPS ne prouve rien : un certificat valide indique que la connexion est chiffrée, pas que le site est légitime. Un attaquant peut obtenir un certificat pour un domaine trompeur en quelques minutes.

Mots de passe et gestionnaire

Utilisez un gestionnaire de mots de passe et laissez-le générer un secret unique par service. Il remplit automatiquement le bon domaine et refuse de saisir le mot de passe sur une origine différente, ce qui bloque de nombreuses copies. Protégez le gestionnaire par une phrase secrète longue et par une double authentification.

Ne réutilisez jamais le mot de passe du dashboard pour root sur un VPS, une base de données ou un compte FTP. Une fuite sur un site sans rapport ne doit pas ouvrir vos serveurs.

Double authentification

Préférez une application TOTP ou une clé matérielle au SMS, vulnérable au détournement de numéro. Conservez les codes de secours hors ligne, ailleurs que sur votre téléphone. Refusez toute demande d'approbation que vous n'avez pas initiée : les attaques par fatigue MFA envoient des notifications jusqu'à ce que la victime valide.

Un code TOTP expire en quelques dizaines de secondes. Le communiquer, même à une personne se présentant comme du support, revient à donner l'accès.

Protéger votre domaine et vos e-mails

Un domaine sans SPF, DKIM ni DMARC peut être usurpé pour envoyer des messages à vos propres clients. Publiez ces enregistrements, commencez par une politique DMARC en observation (p=none) avec une adresse de rapport, puis durcissez vers quarantine ou reject quand ils sont propres.

Vérifiez aussi les règles de transfert et de réponse automatique de vos boîtes : une règle ajoutée par un attaquant permet de lire vos messages sans changer le mot de passe.

Si vous avez cliqué

Changez le mot de passe depuis un appareil dont vous êtes sûr, puis révoquez les sessions actives.
Activez la double authentification et régénérez les codes de secours.
Faites tourner les secrets exposés : clés SSH, jetons d'API, mots de passe de base, comptes FTP.
Contrôlez les services, les factures, les Coins et les règles e-mail.
Prévenez le support via le dashboard et surveillez les connexions les jours suivants.

Vérifiez enfin votre configuration :

Bash

dig TXT _dmarc.votre-domaine.fr +short

La réponse doit contenir votre politique, et la liste des sessions du dashboard ne doit contenir aucun appareil inconnu.