Améliorer la confidentialité de ses comptes mails

Étant donné les déboires actuels de WebRankInfo, je pense qu’il est bon de rappeler quelques conseils pour la sécurité de ses comptes de messagerie.

• Ne pas penser que vous n’intéressez personne. Toute information aujourd’hui peut avoir de la valeur : espionnage industriel, délit d’initié, volonté de nuire, etc. Sans parler de ceux qui possèdent des éléments de valeur : compte Google Adsense, Adwords, site Web ou blog au pagerank de 4, 5, 6 ou même 7, compte Paypal, etc. Garder donc à l’esprit que vous êtes une cible potentielle.
• Ne pas utiliser un même compte mail pour plusieurs usages. Il faut éviter d’utiliser un même compte mail pour une utilisation professionnelle et personnelle. Il faut également de préférence utiliser un compte mail supplémentaire pour les mails ou services sensibles.
• Attention à la gestion des mots de passe !
  - Ne pas utiliser le même mot de passe pour plusieurs comptes mails.
  - Ne pas utiliser un mot de passe permettant de deviner les autres (par exemple toto1tata, puis toto3tata - Ah!Ah! pown3d j’ai sauté un chiffre!).
  - Cloisonner les comptes mails : pas de lien entre eux, pas de récupération des mots de passes de l’un avec l’adresse de l’autre, pas de transferts de mails, etc.
  - Ne pas utiliser le même mot de passe pour plusieurs services Web : Netvibes, Gmail, Flickr, etc. Ou alors utilisez un compte générique pour les services dont la sécurité n’est pas cruciale, et ne pas réutiliser le mot de passe correspondant pour son mail.
  - Ne pas donner publiquement d’informations qui pourraient permettre de répondre aux questions de sécurité, et attention aux personnes pouvant être bien informées. Le nom de jeune fille de votre mère n’est pas sûr! D’ailleurs, personnellement je réponds souvent à côté des questions en donnant une réponse type quel que soit la question.
  - Ne pas utiliser des données personnelles dans les mots de passe.
  - Utiliser des mots de passe complexes pour vos comptes importants.
  - Changer relativement régulièrement de mot de passe.
• Pour les comptes dont la sécurité est vraiment vitale, connectez-vous uniquement à ceux-ci, et une fois les mails lus/envoyés, utilisez le lien de déconnexion. N’allez pas sur d’autres sites en même temps, n’ouvrez pas d’autres onglets pour éviter les failles du type XSS très courantes.
• N’utilisez jamais vos comptes mails importants en itinérance et sur des réseaux dont vous ne connaissez rien de la sécurité : pas d’utilisation en cyber-café, au MacDo, dans des hôtels ou des conférences. Les keyloggers sont une plaie et sont très simples à mettre en place. Il existe également des dispositifs pouvant se positionner entre l’entrée USB/clavier et enregistrant la frappe. D’où l’importance d’utiliser un poste de travail de confiance.
• Pensez qu’il est parfois possible d’utiliser un mail chez votre registar/hébergeur, et pas forcément uniquement sur les gros services comme Gmail, Yahoo Mail ou Hotmail.
• Ne pensez pas votre mot de passe infaillible. Ne croyez pas non plus que les dispositifs du type “clavier virtuel” comme sur les sites de banque en ligne (Caisse d’Epargne par exemple) soient sûrs à 100%. Ce genre de protections cache souvent des services à la sécurité très importante et peut attirer des pirates de haut-niveau. Il existe déjà des “keyloggers visuels” permettant de prendre des petits screenshots autour de la zone de clic et ainsi découvrir votre mot de passe. C’est relativement simple.
  Si vous devez réellement taper votre mot de passe sur une machine pas très sûre, essayez au moins de tromper les keylogger en tapant quelques lettres/chiffres de votre mot de passe (par exemple la fin) puis vous déplacer sur le champ en cliquant avec la souris pour taper ce qu’il manque du mot de passe. C’est bête mais ça peut fonctionner avec les keyloggers peu perfectionnés.
• Connectez-vous en HTTPS. Certains sites comme Google proposent les deux.
• Si le service affiche la date de dernière connexion, vérifiez-là. (D’ailleurs, tous les services devraient proposer cette option.)
• Utilisez un navigateur de préférence réputé pour sa sécurité (pour les Webmails), idem pour le client mail. (En général, les produits de Microsoft et l’ActiveX n’ont pas bonne réputation... )
• Attention aux extensions peu connues (Firefox) ou aux barres d’outils. Attention en général aux programmes installés sur votre système si ceux-ci ne sont pas publiquement reconnus ou si les sources ne sont pas accessibles.
• Ne pas enregistrer les mots de passe dans son navigateur. Sinon il suffit de quelques minutes devant votre machine ou d’un script pour les récupérer.
• La sécurité n’est jamais absolue. Ou alors éteignez votre ordinateur ! (Quoi que ce n’est même pas complètement sûr avec les moyens actuels de lire ce qui se situe dans la RAM)

Voilà, j’ai sûrement oublié plein de choses mais c’est ce qui me vient en tête. Cette liste n’engage évidemment que moi et est largement perfectible.

Vous voyez d’autres choses ?