Vous êtes freelance, consultant, auto-entrepreneur ? Alors vous êtes aussi votre propre responsable informatique : juste vous, votre PC portable et une connexion Wi-Fi. La mauvaise nouvelle, c’est que les pirates n’ont pas besoin que vous soyez une multinationale pour s’intéresser à vous. Ils savent que vous êtes une cible plus facile. D’ailleurs, le dernier rapport de l’ANSSI 2025 confirme que les TPE et PME sont désormais les premières victimes des rançongiciels Un mot de passe réutilisé, une facture ouverte trop vite, un Wi-Fi public un peu trop pratique : la plupart des incidents cyber exploitent nos mauvais réflexes du quotidien, pas des failles de génie. La bonne nouvelle, c’est que vous n’avez pas besoin de devenir expert en cybersécurité pour vous protéger, vous et votre activité. Cet article rassemble 50 réflexes d’hygiène numérique, concrets et actionnables. Vous n’avez pas besoin de tout appliquer d’un coup : commencez par ce qui vous parle, et ajoutez un ou deux réflexes par semaine. D’ici quelques mois, les hackers changeront de vocation à cause de vous.
Identités et accès : la première ligne de défense
01 · Un compte = un mot de passe unique
Si vous utilisez le même mot de passe partout, il suffit d’une seule fuite pour que tous vos comptes tombent comme des dominos. Et des fuites, il y en a chaque semaine.
02 · La longueur prime sur la complexité
Oubliez T7$kR!2x que personne ne retient. Un mot de passe de 15 caractères avec des mots simples enchaînés précédés d’une majuscule (« Table-De-Vélo-8 ») est à la fois plus solide et plus mémorisable qu’un charabia de 8 caractères bardé de symboles. Une suite illogique avec des chiffres, majuscules « Mon&Bras-A&16-Dents ».
Mettez un suite illogique (Mon bras a 16 dents).
03 · Le gestionnaire de mots de passe n’est pas un luxe
Quel est le meilleur gestionnaire de mots de passe ? Celui que vous utilisez vraiment, tous les jours. Si vous partez de zéro, Proton Pass coche les bonnes cases : gratuit en version de base, chiffré de bout en bout, disponible sur tous vos appareils. Installez-le, laissez-le générer et stocker vos mots de passe, et ne retenez plus qu’un seul mot de passe maître, solide celui-là.
04 · La Double Authentification activée partout
Le mot de passe seul ne suffit plus. La double authentification (MFA) ajoute une deuxième vérification, un code temporaire sur votre téléphone ou une notification à valider, qui rend un mot de passe volé quasiment inutilisable. Activez-la en priorité sur votre boîte mail, votre banque et votre gestionnaire de mots de passe : ces trois comptes sont les clés de tout le reste.
05 · Ne partagez jamais vos identifiants
Pas à votre assistant, pas à votre comptable, pas à votre associé, pas « juste pour cinq minutes ». Chaque personne qui a besoin d’un accès doit avoir son propre compte avec ses propres identifiants. C’est la seule façon de savoir qui a fait quoi, et de couper un accès sans tout casser le jour où la collaboration s’arrête.
06 · Changez immédiatement un mot de passe compromis
Notification de fuite, activité suspecte, connexion depuis un appareil inconnu : ne remettez pas à demain. Connectez vous, changez le mot de passe, vérifiez les sessions actives, fermez celles que vous ne reconnaissez pas. Si ce compte utilisait le même mot de passe qu’un autre (voir maxime 01), changez l’autre aussi. Dans la minute. Vérifiez si vos identifiants traînent déjà dans la nature sur HaveIBeenPwned.com : tapez votre adresse mail, et vous serez fixé en deux secondes.
07 · L’administrateur n’est pas votre session quotidienne
Votre session administrateur a tous les droits : installer des logiciels, modifier les paramètres système, supprimer des fichiers critiques. Un malware qui vous infecte hérite de ces mêmes droits. Créez une session utilisateur standard pour le quotidien, et ne basculez en admin que quand c’est nécessaire, une installation ou une mise à jour. C’est dix minutes de configuration, et ça divise la surface d’attaque par deux.
Matériel et poste de travail : la sécurité physique
08 · Verrouillez votre session à chaque levée de chaise
Vous vous levez pour un café, pour ouvrir la porte, pour aller aux toilettes ? Win + L (Windows) ou Ctrl + Cmd + Q (Mac). Trois secondes. Ça doit devenir un réflexe musculaire, au même titre que verrouiller votre voiture. En coworking ou chez un client, une session ouverte, c’est une invitation à lire vos mails, vos devis, vos accès bancaires.
09 · Ne laissez jamais votre laptop sans surveillance
Pas « deux minutes » à la terrasse d’un café, pas « juste le temps d’aller payer » dans un train. Le vol d’un ordinateur portable, c’est rarement pour le matériel : c’est votre base clients, vos contrats, vos accès cloud qui partent avec. Si vous devez vous absenter, emportez-le ou confiez-le à quelqu’un de confiance. À l’hôtel, utilisez le coffre (même basique, il décourage l’opportuniste).
10 · Le PC de travail n’est pas la console des enfants
Votre enfant de 9 ans veut regarder YouTube ou installer un jeu ? Pas sur votre machine pro. Un clic malheureux sur une pub piégée, un mod Minecraft vérolé téléchargé « parce que tout le monde l’a », et vous récupérez un malware que votre antivirus n’a pas vu venir. Investissez dans un appareil séparé pour la famille et sanctuarisez votre outil de travail (même si ça coute de l’argent).
11 · Clé USB inconnue = Danger mortel
Une clé USB trouvée sur un parking, reçue dans un goodies de salon ou prêtée par un inconnu ne se branche jamais sur votre machine. C’est l’un des vecteurs d’attaque les plus anciens et les plus efficaces : la clé peut exécuter du code malveillant dès l’insertion, sans que vous cliquiez sur quoi que ce soit. Si quelqu’un doit vous transmettre un fichier, demandez un lien de partage cloud.
12 · Chiffrez votre disque dur (BitLocker / FileVault)
Quel est le meilleur système de sécurité pour un PC ? Avant tout pare-feu ou antivirus, commencez par le chiffrement du disque. BitLocker (Windows Pro) ou FileVault (Mac) sont intégrés à votre système, gratuits, et s’activent en cinq minutes. Sans chiffrement, un laptop volé, c’est un disque dur lisible par n’importe qui avec un tournevis.
13 · Utilisez un « préservatif USB » pour les recharges publiques
Le juice jacking, c’est le vol de données via les bornes de recharge USB publiques (aéroports, gares, hôtels). Quand vous branchez votre téléphone sur une prise USB inconnue, le câble transporte l’énergie mais aussi les données. La parade : un bloqueur de données USB, surnommé « préservatif USB ». C’est un petit adaptateur à moins de 10 € qui ne laisse passer que le courant. Gardez-en un dans votre sacoche, ou rechargez simplement via votre propre chargeur secteur.
14 · Écran de confidentialité obligatoire en public
Dans le TGV, au coworking, dans un café : votre voisin voit votre écran. Vos mails, vos chiffres, vos mots de passe en cours de saisie. Un filtre de confidentialité se pose sur votre écran et réduit l’angle de vision : seul celui qui est pile en face peut lire. Comptez entre 30 et 50 € selon la taille de votre écran. C’est le prix d’un déjeuner client, pour que vos données ne soient pas le plat du jour du wagon.
Mises à jour et logiciels : l’entretien des murs
15 · Mises à jour : ne cliquez plus sur « Plus tard »
Ce bouton « Rappeler demain » que vous cliquez depuis trois semaines, il laisse ouvertes des failles que les attaquants connaissent déjà. Quand un éditeur publie un correctif, il documente publiquement la vulnérabilité corrigée. Les pirates n’ont plus qu’à viser ceux qui n’ont pas encore fait la mise à jour. Activez les mises à jour automatiques sur votre système, votre navigateur et vos applications métier. Cinq minutes de redémarrage, c’est toujours moins cher qu’une journée de gestion de crise.
16 · Installez uniquement via les stores officiels
Un logiciel gratuit trouvé sur un site obscur, un « crack » pour éviter une licence, un lien de téléchargement reçu par mail : ce sont les vecteurs d’infection les plus classiques. Le logiciel fonctionne peut-être, mais il embarque un passager clandestin. Téléchargez toujours depuis le site officiel de l’éditeur, le Microsoft Store ou l’App Store. Et si un outil pro coûte 150 € par an, comparez ce prix au coût d’un vol de données clients : la licence est une bonne affaire. lisez notre chronologie d’une cyberattaque d’entreprise : vous verrez qu’un pirate ne frappe jamais par hasard.
17 · Élaguez vos logiciels inutilisés
Chaque logiciel installé est une porte d’entrée potentielle. Ce vieux lecteur PDF que vous n’avez pas ouvert depuis 2022 ne reçoit plus de mises à jour, mais il garde ses vulnérabilités. Faites le tri une fois par trimestre : désinstallez ce que vous n’utilisez plus. Moins de logiciels, c’est moins de surface d’attaque, moins de mises à jour à gérer et, accessoirement, un PC plus rapide.
18 · Antivirus à jour, même sur Mac
Est-il nécessaire d’avoir un antivirus sur son PC ? Oui. Windows intègre Defender, qui fait un travail correct en protection de base. Mais le vrai sujet, c’est le mythe du Mac invulnérable. Les infostealers (malwares spécialisés dans le vol de mots de passe, de cookies et de données bancaires) ciblent désormais massivement macOS. En 2024-2025, les chercheurs ont constaté une hausse des malwares Mac dans toutes les catégories : voleurs de données, trojans, ransomwares. Quel que soit votre système, gardez votre protection active et à jour. Pour aller plus loin que l’antivirus intégré, des solutions comme ESET existent en version indépendant à moins de 50 € par an.
Phishing et ingénierie sociale : le facteur humain
19 · Urgence + Lien + Argent = Tentative de vol
Le phishing repose presque toujours sur le même trio : un message urgent, un lien à cliquer et une histoire d’argent (facture impayée, remboursement en attente, compte bloqué). Dès que vous repérez cette combinaison, arrêtez-vous. Ne cliquez pas. Et si vous avez déjà cliqué sur le lien, pas de panique : fermez la page, ne saisissez aucune information, lancez un scan antivirus et changez le mot de passe du compte concerné par précaution. Un clic n’est pas une catastrophe tant que vous n’avez rien transmis.
20 · Vérifiez l’expéditeur réel, pas le nom d’affichage
Votre messagerie affiche « Service Client PayPal », mais l’adresse réelle derrière est srv-82@paypa1-notif.com. Le nom affiché se personnalise en deux clics, n’importe qui peut l’écrire. Prenez le réflexe de cliquer sur le nom de l’expéditeur pour révéler l’adresse complète. Si le domaine (ce qui suit le @) ne correspond pas exactement au site officiel, c’est un faux. Supprimez le mail.
21 · Ne transmettez jamais un code MFA reçu par SMS
Comment savoir si un SMS est une arnaque ? Si quelqu’un vous demande de lui communiquer un code que vous venez de recevoir par SMS, c’est une tentative de piratage, point final. Aucun service légitime ne vous demandera de dicter ou transférer un code d’authentification. Ce code est la deuxième clé de votre compte : le transmettre revient à ouvrir la porte vous-même. Si vous recevez un code MFA que vous n’avez pas demandé, quelqu’un essaie de se connecter à votre compte. Changez votre mot de passe immédiatement.
22 · Pièce jointe .zip protégée par mot de passe = Red Flag
Un mail contient un fichier .zip avec un mot de passe fourni dans le message ? C’est la technique classique pour contourner les antivirus. Le mot de passe empêche le filtre de messagerie d’analyser le contenu de l’archive, et c’est précisément pour ça que l’attaquant l’utilise. Un expéditeur légitime qui vous envoie un document n’a aucune raison de le verrouiller dans un .zip protégé. En cas de doute, contactez l’expéditeur par un autre canal avant d’ouvrir quoi que ce soit.
23 · Fraude au virement : vérifiez toujours le RIB par téléphone
C’est l’arnaque qui coûte le plus cher aux indépendants et aux TPE. Le scénario : vous recevez un mail d’un fournisseur ou d’un sous-traitant qui vous informe d’un « changement de coordonnées bancaires ». Le mail est bien rédigé, la mise en page est crédible, parfois c’est le vrai compte mail du fournisseur qui a été piraté. Vous mettez à jour le RIB, vous payez la prochaine facture, et l’argent disparaît sur le compte d’un escroc. La parade est simple et gratuite : avant tout changement de RIB, décrochez votre téléphone et appelez votre interlocuteur sur un numéro que vous avez déjà en mémoire (pas celui indiqué dans le mail). Cinq minutes d’appel, c’est ce qui sépare un virement normal d’une perte sèche de plusieurs milliers d’euros.
24 · Appel de votre « banquier » : raccrochez et rappelez vous-même
Le vishing (hameçonnage par téléphone) monte en puissance. Un interlocuteur se présente comme votre conseiller bancaire, connaît votre nom et parfois votre numéro de compte, et vous signale une opération suspecte. Il vous demande de « confirmer » un code, de valider une opération ou de transférer des fonds vers un « compte sécurisé ». Tout est faux. Votre banque ne vous demandera jamais de valider une opération par téléphone dans l’urgence. Le bon réflexe : raccrochez poliment, puis rappelez vous-même le numéro officiel de votre agence (celui de votre carte ou de votre espace en ligne). Si c’était légitime, votre conseiller comprendra. Si c’était une arnaque, vous venez de l’esquiver.
Réseau et nomadisme : la sécurité en mouvement
25 · Le Wi-Fi public est une passoire : VPN obligatoire sur les réseaux tiers
Le Wi-Fi gratuit du café, de l’hôtel ou de l’aéroport n’est pas un service, c’est un risque. Sur un réseau ouvert, n’importe qui peut intercepter le trafic non chiffré : identifiants, mails, pièces jointes. Un attaquant peut même créer un faux réseau « Free_WiFi_Lounge » et attendre que vous vous connectiez. La parade : dès que le réseau ne vous appartient pas, activez un VPN. Il chiffre tout votre trafic et empêche quiconque sur le même réseau de lire vos échanges. Faut-il le laisser activé en permanence ? Non. Chez vous, sur votre propre réseau, il n’apporte pas grand-chose. En déplacement, il est indispensable. Côté choix : Proton VPN propose une offre gratuite fiable, et les abonnements pro de Mullvad ou IVPN tournent autour de 5 € par mois. Installez-le avant d’en avoir besoin, pas une fois connecté au Wi-Fi douteux.
26 · Le partage de connexion 4G/5G est votre ami
Quel est le moyen le plus sûr de travailler à distance ? Votre propre téléphone. Le partage de connexion crée un réseau privé entre votre mobile et votre ordinateur, sans passer par une infrastructure partagée avec des inconnus. En déplacement, c’est souvent plus rapide et toujours plus sûr que le Wi-Fi de l’endroit. Vérifiez que votre forfait inclut suffisamment de données (la plupart des forfaits pro le permettent), et gardez ce réflexe : Wi-Fi inconnu, hotspot perso.
27 · Sécurisez votre box domestique
Quels sont les risques de sécurité en télétravail ? Votre box internet est le premier d’entre eux. La plupart des entrepreneurs travaillent depuis chez eux avec la configuration d’usine de leur box, mot de passe Wi-Fi par défaut inclus. Trois gestes à faire une seule fois : changez le mot de passe Wi-Fi (une vraie phrase de passe, pas « Livebox-A1B2 »), changez le mot de passe d’administration de la box (celui qui donne accès à tous les réglages), et désactivez le WPS (cette fonctionnalité de connexion rapide qui est aussi une faille connue). Comptez dix minutes, et votre réseau domestique passe d’une porte ouverte à un verrou correct.
28 · Séparez vos réseaux Wi-Fi (Invités vs Pro)
Votre box propose un réseau Wi-Fi invité : activez-le. Mettez vos objets connectés (caméras, enceintes, aspirateurs robots), les appareils de la famille et les visiteurs sur le réseau invité, et gardez le réseau principal pour vos machines de travail. Pourquoi ? Parce qu’un objet connecté mal sécurisé peut servir de porte d’entrée vers tout le réseau. En séparant les deux, un appareil compromis sur le réseau invité ne peut pas atteindre votre PC pro. L’activation prend deux minutes dans l’interface de votre box (section Wi-Fi > Réseau invité).
29 · Désactivez le Bluetooth et le Wi-Fi hors usage
Votre téléphone cherche en permanence des réseaux Wi-Fi et des appareils Bluetooth autour de lui. Ce scan constant expose votre appareil à des attaques de proximité et, au passage, permet de tracer vos déplacements. Le réflexe : désactivez le Wi-Fi quand vous n’êtes pas connecté à un réseau connu, et coupez le Bluetooth quand vous n’utilisez pas d’accessoire sans fil. Sur iPhone comme sur Android, un balayage vers le bas et deux tapotements suffisent. Moins votre appareil parle aux inconnus, moins il donne de prise.
Coffre-fort : données, sauvegardes et RGPD
31 · Appliquez la règle du 3-2-1
Quelle est la règle du 3-2-1 pour la sauvegarde des données ? Trois copies de vos fichiers, sur deux supports différents, dont une hors site. Concrètement, pour un indépendant, ça donne : vos fichiers sur votre PC (copie 1), une sauvegarde sur un disque dur externe ou un NAS à la maison (copie 2, support différent), et une synchronisation cloud type pCloud, Tresorit ou le Drive de votre choix (copie 3, hors site). Si votre bureau brûle, le cloud est intact. Si le cloud plante, votre disque externe est là. Le but n’est pas la paranoïa, c’est l’arithmétique : un seul point de défaillance, c’est un seul incident entre vous et la perte totale.
32 · Une sauvegarde non testée est une sauvegarde inexistante
Quel est le meilleur moyen de sauvegarder ses données ? Celui que vous avez vérifié de vos propres yeux. Beaucoup d’indépendants découvrent que leur sauvegarde est corrompue, incomplète ou vide le jour où ils en ont besoin. Le test prend cinq minutes : ouvrez votre disque externe ou votre espace cloud, cherchez un fichier récent (un devis de la semaine dernière, une facture du mois), ouvrez-le, vérifiez qu’il est lisible. Faites-le une fois par trimestre. Si vous ne pouvez pas restaurer un fichier en moins de dix minutes, votre stratégie de sauvegarde a un trou.
33 · Bannissez le fichier « mdp.txt » sur votre bureau
Un fichier texte avec vos mots de passe sur le bureau de votre ordinateur, c’est l’équivalent numérique d’un Post-it collé sur la porte d’entrée avec le code de l’alarme. Même chose pour le carnet de notes du téléphone, le brouillon Gmail ou le fichier Excel « perso.xlsx ». Aucun de ces supports n’est chiffré, et tous sont accessibles en clair à quiconque ouvre votre session ou votre boîte mail. La solution existe déjà : votre gestionnaire de mots de passe (voir maxime 03). Il est conçu exactement pour ça.
34 · Chiffrez vos fichiers sensibles avant envoi
Envoyer un contrat, un RIB ou un document d’identité en pièce jointe classique, c’est envoyer une carte postale : tout le monde peut la lire en chemin, et elle traînera dans la boîte mail du destinataire pendant des années. Le bon réflexe : ne joignez plus vos fichiers sensibles, partagez-les par lien. Déposez le document dans votre drive (Google Drive, OneDrive, iCloud) et envoyez un lien en accès restreint. Le fichier reste sous votre contrôle : vous pouvez couper l’accès une fois le document récupéré. Si vous avez suivi la maxime 03 et créé un compte Proton, vous avez déjà Proton Drive (2 Go gratuits) avec chiffrement de bout en bout et lien à durée d’expiration. Et si vous travaillez avec des données de santé, des marchés publics ou le secteur de la défense, vérifiez les exigences d’hébergement imposées par vos contrats : un hébergement souverain français peut être obligatoire.
35 · Identifiez vos données « joyaux de la couronne »
Comment protéger les données de ses clients ? En sachant d’abord lesquelles comptent vraiment. Posez-vous la question : si votre disque dur mourait ce soir, quelles données vous empêcheraient de travailler demain ? Pour la plupart des indépendants, la réponse tient en cinq lignes : votre base clients (contacts, historique, contrats en cours), vos documents comptables (factures, devis, notes de frais), vos accès critiques (banque, mails, outils métier) et les livrables en cours pour vos clients. Ce sont vos joyaux. Ils méritent la règle du 3-2-1 (maxime 31) et le chiffrement (maxime 12). Si votre base clients vit encore dans un fichier Excel sur votre bureau, c’est un fichier non chiffré, non cloisonné et rarement sauvegardé : un CRM en ligne, même gratuit comme HubSpot, centralise et sécurise ces données bien mieux qu’un tableur.
36 · Le RGPD n’est pas qu’une contrainte, c’est une hygiène
Quelles sont les principales obligations du RGPD pour un indépendant ? Elles tiennent en trois réflexes. Premièrement, ne collectez que ce dont vous avez besoin : pas la peine de demander la date de naissance d’un client si vous faites du conseil en communication. Deuxièmement, soyez transparent : dites à vos clients quelles données vous stockez et pourquoi (une mention dans vos CGV ou votre contrat suffit, pas besoin d’une politique de 40 pages). Troisièmement, sécurisez ce que vous gardez : mot de passe sur vos fichiers, accès restreint, sauvegarde chiffrée. Le RGPD ne vous demande pas de devenir juriste. Il vous demande de traiter les données de vos clients comme vous aimeriez qu’on traite les vôtres.
37 · Supprimez les données après mission
La mission est finie, le client est facturé, le livrable est accepté. Que faites-vous des données du projet ? Si la réponse est « rien, elles restent dans mon dossier Clients depuis 2021 », c’est un problème. Chaque fichier que vous conservez sans raison est une donnée qui peut fuiter, être volée ou vous mettre en défaut vis-à-vis du RGPD. Le bon réflexe : à la clôture d’un projet, gardez uniquement ce que la loi vous impose de conserver (factures : 10 ans, contrats : 5 ans après la fin de la relation) et supprimez le reste. Un nettoyage semestriel de votre dossier Clients, c’est trente minutes qui réduisent votre exposition et allègent votre disque dur.
Relation client et contrats : le business sécurisé
38 · La signature électronique certifiée (eIDAS) est la norme
Comment faire une signature électronique certifiée ? Pas besoin de maîtriser le règlement eIDAS dans le détail. Ce qu’il faut retenir : une signature électronique « avancée » a la même valeur juridique qu’une signature manuscrite devant un tribunal français. Des plateformes comme Yousign (française, conforme eIDAS) ou DocuSign permettent de signer un devis, un contrat ou un avenant en deux minutes, avec horodatage et piste d’audit. Comptez à partir de 9 € par mois pour un usage indépendant. Le circuit « j’imprime, je signe, je scanne, je renvoie » est plus lent, moins sécurisé et juridiquement plus fragile qu’une signature électronique certifiée.
39 · Signez des NDA (Accords de confidentialité)
Vous partagez une idée de projet, un prototype ou des données clients avec un prestataire, un prospect ou un potentiel associé ? Faites signer un accord de confidentialité avant d’envoyer quoi que ce soit. Un NDA n’est pas une formalité paranoïaque, c’est un filet de sécurité juridique qui engage l’autre partie à ne pas utiliser ni divulguer vos informations. Pas besoin d’un avocat pour chaque NDA : un modèle solide de deux pages, adapté une fois à votre activité, suffit dans la majorité des cas. Pensez à y inclure la durée de confidentialité (en général 2 à 5 ans après la fin de la collaboration) et le périmètre précis des informations couvertes.
40 · Vérification d’identité pour les nouveaux sous-traitants
Avant de confier un accès à votre CRM, à votre drive ou à votre outil métier, vérifiez à qui vous avez affaire. Un freelance trouvé sur une plateforme, un développeur recommandé par un ami d’ami, une agence contactée sur LinkedIn : la confiance ne se décrète pas, elle se vérifie. Le minimum : contrôlez le numéro SIRET sur societe.com ou l’annuaire officiel de l’INSEE, demandez un extrait Kbis ou un avis de situation INSEE (c’est public, gratuit, et ça ne met personne mal à l’aise), et vérifiez que le profil professionnel est cohérent (ancienneté, portfolio, avis). Ce n’est pas de la méfiance, c’est de la diligence.
41 · Prévoyez une clause cyber dans vos contrats
Votre contrat de prestation prévoit les délais, les livrables, les pénalités de retard. Mais que se passe-t-il si votre sous-traitant se fait pirater et que les données de votre client fuient via son poste ? Sans clause dédiée, la réponse est simple : c’est flou, et le flou profite rarement au donneur d’ordre. Ajoutez une clause cybersécurité à vos contrats. Elle n’a pas besoin de faire dix pages : trois engagements concrets suffisent (mots de passe robustes, mises à jour à jour, suppression des données en fin de mission), un délai de notification en cas d’incident (48 h maximum), et la responsabilité de chaque partie clairement posée. Si vous travaillez avec des données clients sensibles, c’est aussi une exigence du RGPD (voir maxime 36).
IA et image publique : les nouvelles frontières
42 · Pas de données sensibles dans les IA publiques
ChatGPT, Gemini, Copilot, Claude : ces outils sont devenus des assistants du quotidien, et c’est normal de s’en servir. Le problème, c’est ce que vous y mettez. Un contrat client copié-collé, un RIB glissé dans une demande, un tableau de chiffres confidentiels : toutes ces données quittent votre ordinateur pour transiter sur des serveurs externes, où elles peuvent être conservées, lues par des équipes internes ou utilisées pour entraîner le modèle. En 2023, des ingénieurs de Samsung ont collé du code source confidentiel dans ChatGPT. Résultat : fuite de propriété intellectuelle et interdiction de l’outil dans toute l’entreprise. Deux réflexes à prendre : activez le mode confidentiel (ChatGPT, Gemini et d’autres proposent une option pour exclure vos conversations de l’entraînement du modèle), et si vous avez vraiment besoin de soumettre un document, anonymisez-le d’abord (remplacez les noms, les chiffres et les identifiants par des données fictives).
43 · Cloisonnez vos adresses mails (Pro vs Perso)
Une seule adresse mail pour tout, c’est une seule clé qui ouvre toutes les portes. Votre newsletter fitness, votre compte Leboncoin et vos échanges avec votre comptable ne devraient pas cohabiter dans la même boîte. Une fuite de données sur un site grand public (et il y en a chaque mois) expose l’adresse associée, et si c’est la même que celle de votre banque pro, le phishing devient beaucoup plus crédible. Le minimum : une adresse pro dédiée à votre activité (clients, fournisseurs, outils métier) et une adresse perso pour le reste. Si vous traitez des données sensibles, une troisième adresse pour les inscriptions jetables n’est pas du luxe. Proton Mail (gratuit en version de base) permet de créer ces adresses avec des alias intégrés.
44 · Paramètres de confidentialité : auditez vos réseaux sociaux
Votre profil LinkedIn affiche votre poste, vos clients, vos outils. Votre compte Instagram montre vos déplacements, vos habitudes, votre bureau. Votre page Facebook révèle votre date de naissance, votre ville, vos liens familiaux. Prises isolément, ces informations sont anodines. Croisées par quelqu’un de mal intentionné, elles deviennent le scénario parfait d’un mail de phishing sur mesure. Faites un audit express de chaque réseau : passez vos profils en mode le plus restreint possible, limitez la visibilité de vos informations personnelles aux contacts uniquement, et désactivez la géolocalisation automatique des publications. Sur LinkedIn, vérifiez aussi qui peut voir votre liste de contacts et votre adresse mail (Paramètres > Visibilité). Quinze minutes par réseau, une fois par an.
45 · Ne postez pas de photos de votre matériel ou badges
Un selfie devant votre nouveau setup avec l’écran allumé. Une story avec votre badge d’accès visible au bout du cordon. Une photo de votre bureau où l’on aperçoit un Post-it avec un mot de passe. Pour un attaquant qui pratique l’OSINT (Open Source Intelligence : la collecte de renseignements à partir de sources publiques), chacune de ces images est une mine d’or. Une photo de badge peut être reproduite. Un nom de réseau Wi-Fi peut être ciblé. Un écran visible peut révéler des logiciels utilisés, des noms de clients ou des adresses internes. Avant de publier une photo de votre espace de travail, regardez-la comme un attaquant la regarderait. Si quelque chose de sensible est lisible, recadrez ou floutez.
Mindset et résilience : l’entrepreneur responsable
46 · Assumez votre rôle de « DSI par défaut »
Vous n’avez pas de directeur informatique, pas de service IT, pas de RSSI. Personne ne viendra configurer votre pare-feu ou vérifier vos sauvegardes à votre place. Cette réalité n’est pas un handicap, c’est un point de départ. Vous gérez déjà votre comptabilité, votre prospection, votre juridique : la sécurité numérique est une casquette de plus, pas un métier de plus. Vous n’avez pas besoin de tout comprendre. Vous avez besoin de connaître les bons réflexes (les 49 maximes précédentes) et de savoir quand appeler un professionnel. Un prestataire IT ponctuel pour un audit annuel coûte entre 500 et 1 500 € selon le périmètre : c’est un budget, pas un gouffre.
47 · Souscrivez à une assurance cyber
Votre assurance professionnelle couvre les dommages causés à vos clients, mais rarement les incidents numériques (fuite de données, ransomware, interruption d’activité). Des garanties spécifiques existent. Elles couvrent à la fois vos erreurs et les attaques subies, avec prise en charge possible des frais de remédiation, juridiques ou des pertes d’exploitation. Vérifiez le niveau de couverture, les exclusions et les conditions d’intervention. Enfin, votre assureur conseil est plus qualifié pour vous en parler.
Enfin, n’oubliez pas qu’au-delà de l’assurance, la responsabilité pénale et civile du dirigeant est engagée en cas de défaut de sécurité : s’assurer est une protection financière, mais s’informer sur ses obligations est une protection juridique.
48 · Ayez le réflexe Cybermalveillance.gouv.fr
Vous êtes victime d’un piratage, d’un ransomware, d’une arnaque en ligne ? Ne restez pas seul. Cybermalveillance.gouv.fr est la plateforme nationale d’assistance aux victimes de cybermalveillance. Elle vous guide pas à pas dans le diagnostic de l’incident et vous met en contact avec des prestataires référencés près de chez vous. Le service est gratuit. En cas de harcèlement en ligne ou de cyberviolence, le 3018 (appel ou SMS, gratuit et confidentiel) est joignable 7 j/7. Enregistrez ces deux ressources dans vos favoris maintenant, pas le jour où vous en aurez besoin dans l’urgence.
49 · Définissez votre « Plan B »
Posez-vous une question simple : si votre pc portable meurt ce soir, vous facturez demain ? Si la réponse est non, vous n’avez pas de plan de continuité. Pas besoin d’un document de 40 pages. Votre Plan B tient en quatre lignes : où sont vos sauvegardes (maxime 31), combien de temps pour les restaurer sur une autre machine, quels comptes devez-vous pouvoir rouvrir en priorité (mail, banque, outil de facturation), et quel appareil de secours utiliser en attendant. Testez le scénario une fois. Si vous découvrez que votre gestionnaire de mots de passe n’est synchronisé nulle part ou que votre sauvegarde cloud date de six mois, c’est exactement pour ça que l’exercice existe.
50 · La sécurité est un processus, pas un produit
Aucun logiciel, aucun antivirus, aucune formation ne vous rendra invulnérable. La sécurité n’est pas un état qu’on atteint, c’est une discipline qu’on pratique. Vous ne faites pas votre comptabilité une fois pour toutes en janvier : vous la tenez à jour toute l’année. La cybersécurité fonctionne pareil. Mettez à jour, sauvegardez, vérifiez, élaguez. Pas tous les jours, pas tout d’un coup : un réflexe par semaine, un audit par trimestre, un bilan annuel. Ce qui compte, ce n’est pas de cocher les 50 maximes d’un trait, c’est d’en intégrer une de plus chaque mois dans votre routine. Dans six mois, vous serez mieux protégé que 90 % des indépendants. Et ça, c’est déjà beaucoup.
La cybersécurité de votre activité commence maintenant
La cybersécurité n’est pas une affaire de technique, c’est une affaire de méthodes et d’habitudes. En tant qu’indépendant, vous êtes la cible et le rempart. Personne d’autre ne protégera vos données clients, vos accès bancaires ou vos contrats en cours. Chaque réflexe que vous adoptez protège votre revenu, votre réputation et la confiance que vos clients placent en vous.
Ne remettez pas ça à lundi. Aujourd’hui, tapez votre adresse mail sur HaveIBeenPwned.com, activez la double authentification sur votre boîte mail et vérifiez que votre dernière sauvegarde est lisible. Vingt minutes, pas une de plus.
Si vous souhaitez aller plus loin, nous avons également préparé un dossier complet dédié à la cybersécurité vue côté dirigeant : gouvernance, pilotage et prise de décision. L’objectif n’est pas de faire de vous un expert technique, mais de vous aider à structurer votre démarche, prioriser les risques et intégrer la sécurité dans la gestion de votre entreprise.
Parce qu’au fond, l’objectif est simple : faire en sorte que pirater votre entreprise devienne si pénible que le hacker finisse par préférer chercher un vrai travail.