Consultant webmarketing, community manager, freelance SEO ou fondateur d’une petite agence : votre quotidien repose sur une accumulation discrète d’accès sensibles. Comptes publicitaires Google Ads et Meta, interfaces d’administration WordPress, outils d'emailing, tableaux de bord analytics, accès FTP ou hébergement… et souvent pour plusieurs clients à la fois. Chacun de ces accès est une clé. Et contrairement à une grande entreprise, vous n’avez ni service informatique, ni procédure de sécurité imposée : tout repose sur vos habitudes personnelles. Le problème, c’est qu’un seul de ces accès compromis ne vous met pas seulement en difficulté, vous. Il met en difficulté votre client — et votre relation commerciale avec lui. Voici les points de fragilité les plus fréquents chez les indépendants du web, et les gestes simples pour les corriger…

Vu de l’extérieur, un freelance du marketing est une cible bien plus intéressante qu’il ne le croit. D’abord parce qu’il concentre les accès de plusieurs organisations : compromettre un seul indépendant, c’est potentiellement entrer chez cinq ou dix clients d’un coup. Une agence web qui travaille sur trente sites simultanément, un community manager qui pilote dix comptes de marques : c’est trente ou dix portes d’entrée d’un coup.

Ensuite parce que les comptes publicitaires ont une valeur marchande directe : un compte Google Ads ou Meta piraté sert immédiatement à diffuser des campagnes frauduleuses, payées avec la carte bancaire qui y est rattachée. On estime qu’un compte publicitaire peut être monétisé en heures. Enfin parce que les attaquants savent que les petites structures se protègent moins bien que les grandes : pas de responsable IT, pas d’audit de sécurité obligatoire, pas de procédure imposée par une maison mère.

Il ne s’agit pas de céder à la paranoïa, mais de constater une réalité : vos accès ont de la valeur, donc ils attirent. Et un incident ne coûte pas qu’une soirée à tout remettre en ordre. Il coûte la confiance d’un client qui découvre que « son » compte publicitaire a servi à diffuser des publicités frauduleuses (ses clients verront ces fausses annonces, son budget aura été gaspillé, et son message de marque s’en trouvera endommagé). Il coûte la crédibilité d’un professionnel censé maîtriser les outils numériques, et parfois de vraies sommes quand une carte bancaire rattachée à un compte est débitée avant que la fraude ne soit détectée — certains attaquants commencent par des petites charges pour tester, puis créent des campagnes massives une fois la carte validée. Pour un indépendant, la réputation est le premier canal d’acquisition : une faille de sécurité mal gérée s’y voit immédiatement, et un client arnaqué par le biais de vos accès devient lui-même victime de votre mésaventure.

Le scénario le plus courant n’a rien de sophistiqué. Une plateforme quelconque sur laquelle vous aviez un compte fuit sa base de données — un forum technique, un site de gestion de projets gratuit, une vieille newsletter à laquelle vous vous étiez inscrit il y a cinq ans. Votre adresse email et votre mot de passe se retrouvent dans des listes revendues, puis testés automatiquement sur des dizaines de services : c’est le « credential stuffing ». Si vous réutilisez le même mot de passe sur plusieurs comptes, une fuite anodine chez un service tiers ouvre la porte de votre messagerie ou d’un compte client. Les attaquants achètent ces listes par milliers et les passent au crible, automatiquement, contre tous les services publics et privés qu’ils trouvent.

Les chiffres sont têtus : les mots de passe faibles restent la première porte d’entrée des cyberattaques, impliqués dans environ 80 % des intrusions documentées. C’est le vecteur d’attaque le plus efficace parce qu’il ne demande aucune innovation de la part de l’attaquant.

La parade tient en une phrase : un mot de passe long, unique pour chaque service, généré et retenu par un gestionnaire de mots de passe. La CNIL publie des recommandations claires sur la robustesse des mots de passe (cnil.fr) : la longueur prime sur la complexité décorative (un mot de passe de 16 caractères simples vaut mieux qu’un de 8 caractères avec symboles). Le gestionnaire de mots de passe n’est pas un outil « pour les techniciens » : c’est l’équivalent, pour un indépendant, du coffre-fort d’un commerçant. L’investissement est minime (quelques euros par mois chez les meilleurs), et le gain énorme : vous pouvez enfin avoir un mot de passe unique et fort pour chaque service, et n’en mémoriser qu’un seul.

La double authentification (2FA) est le meilleur rapport protection/effort du marché : même si votre mot de passe fuite, le compte reste verrouillé. Activez-la en priorité sur votre messagerie principale (c’est elle qui permet de réinitialiser tout le reste), puis sur les comptes publicitaires, les CMS et les outils qui touchent à l’argent ou aux données. Préférez une application d’authentification aux SMS quand le service le propose, et notez les codes de secours dans votre gestionnaire de mots de passe : la 2FA ne doit pas devenir le moyen de vous enfermer dehors le jour où vous changez de téléphone.

C’est l’habitude la plus répandue et la plus dangereuse du métier : le client qui envoie ses identifiants par email « pour aller plus vite ». Chaque fois que c’est possible, utilisez les mécanismes de délégation prévus par les plateformes : Meta Business Manager, les comptes administrateur multi-utilisateurs de Google, les rôles WordPress. Vous accédez au compte avec votre propre identité, le client garde la main, et le jour où la collaboration s’arrête, il suffit de révoquer l’accès — au lieu de devoir changer un mot de passe que trois prestataires successifs connaissent encore.

Quand la délégation n’existe pas, le partage passe par la fonction dédiée d’un gestionnaire de mots de passe, jamais par email, SMS ou document partagé.

Cette rigueur a un bénéfice commercial trop rarement mis en avant : elle rassure le client. Proposer d'emblée une délégation nominative plutôt que de réclamer un mot de passe envoie un signal de professionnalisme. Vous montrez que vous savez travailler proprement, que vous ne mélangez pas les accès de vos différents clients, et que la fin d’un contrat se solde par une révocation nette, sans zone grise. Sur un marché où beaucoup de prestataires bricolent, cette hygiène devient un argument différenciant, au même titre qu’un devis clair ou qu’un reporting soigné.

Les campagnes de hameçonnage génériques (colis, impôts, banque) sont connues. Celles qui visent les professionnels du web le sont moins : faux email « votre compte publicitaire a été suspendu », fausse notification de violation de droits d’auteur sur une page Facebook que vous gérez, faux support Meta qui vous contacte en direct. Vu de l’attaquant, ces messages sont redoutablement efficaces parce qu’ils exploitent votre réflexe professionnel — réagir vite quand la campagne d’un client est en jeu ou quand son compte risque une sanction. L’urgence court-circuite la vérification.

Un exemple concret : vous recevez un email « Votre campagne Google Ads a dépassé les limites de budget prévues dans les conditions de service ». Vous cliquez sur le bouton du message, il vous demande votre email et mot de passe « pour accéder à votre compte en urgence ». En quelques secondes, vous avez donné la clé à un attaquant, et la facture Google Ads du client explosera pendant que vous cherchez à retrouver accès. C’est particulièrement vicieux parce que vous avez VRAIMENT l’impression d’agir avec urgence, que le message paraît officiel (il peut même imiter l’exact visuel de Google), et que la demande d’authentification paraît normale.

Le dispositif public Cybermalveillance.gouv.fr documente ces escroqueries et propose des fiches réflexes gratuites : le bon geste, systématiquement, est de ne jamais cliquer sur le lien du message et de se connecter au service par son adresse habituelle (en la tapant vous-même dans la barre d’adresse, pas via un lien du mail) pour vérifier s’il y a vraiment une alerte. 99 % du temps, il n’y a rien. Les 1 % où il y a vraiment quelque chose, vous le verrez une fois connecté par la route de confiance.

Tous ces efforts reposent sur une machine : la vôtre. Trois habitudes suffisent à la maintenir digne de confiance. Appliquer les mises à jour du système et du navigateur sans les repousser des semaines. Verrouiller sa session dès qu’on quitte l’écran, surtout en coworking ou en déplacement. Et sauvegarder régulièrement ce qui n’existe nulle part ailleurs — vos livrables, vos exports, votre comptabilité — sur un support distinct de l’ordinateur lui-même.

Même avec de bonnes habitudes, le risque zéro n’existe pas. La différence entre un incident bénin et une catastrophe se joue sur ce qui a été préparé à l’avance. Trois questions méritent une réponse écrite, aujourd’hui, à froid. Où sont sauvegardés les fichiers que vous ne pourriez pas recréer, et cette sauvegarde a-t-elle été testée en restaurant réellement un fichier ? Disposez-vous d’une liste à jour de vos accès critiques — messagerie, hébergeur, comptes publicitaires, outils clients — pour savoir quoi verrouiller en premier en cas de compromission ? Et sauriez-vous qui contacter, et par quel canal indépendant, si votre propre messagerie était bloquée le jour de l’incident ? Répondre à ces trois questions prend une demi-heure et transforme une panique de plusieurs jours en une procédure de quelques heures. C’est exactement ce que font les entreprises structurées ; rien n'empêche un indépendant d’en faire une version allégée.

Récapitulons en une checklist honnête : un gestionnaire de mots de passe installé et adopté ; la double authentification activée sur la messagerie puis sur les comptes sensibles ; les accès clients convertis en délégations nominatives ; un réflexe de vérification face aux messages urgents ; des mises à jour à jour et une sauvegarde qui tourne. Rien de tout cela ne demande une compétence technique particulière — c’est une heure de mise en place, puis quelques minutes par mois.

Votre expertise fait vivre votre activité. Vos accès la portent. Protégez-les comme l’actif professionnel qu’ils sont devenus.

Étienne Aubry est le fondateur de FIX72, dépannage et sécurité informatique pour particuliers et petites entreprises, au Mans et en Sarthe. Certifié Microsoft et CompTIA, référencé par Cybermalveillance.gouv.fr.