Un compte avec une audience a mis des années à se construire et peut se perdre en un après-midi. Les mesures qui l’évitent sont ennuyeuses, rapides et presque toujours repoussées.
La double authentification, et laquelle
Activez-la partout. Mais la méthode compte : les codes par SMS valent mieux que rien et sont l’option la plus faible, parce qu’un numéro peut être transféré sur la SIM de quelqu’un d’autre. Une application d’authentification est le choix par défaut raisonnable ; une clé matérielle est meilleure encore si le compte est l’entreprise.
La partie qu’on saute
- Gardez les codes de secours ailleurs que dans le téléphone où se trouve l’authentificateur
- Vérifiez que l’adresse de récupération est encore la vôtre — pas celle d’une entreprise que vous avez quittée
- Ajoutez un second administrateur sur les Pages et les canaux, pour qu’un téléphone perdu ne soit pas la fin
- Sachez où se trouve la procédure de récupération avant d’en avoir besoin, tant que vous lisez encore calmement
La récupération est soit une chose que vous avez préparée, soit une chose que vous regrettez. Il n’y a pas de troisième état.
La menace qui arrive vraiment
Pas une attaque sophistiquée. Un message proposant une collaboration, un lien vers un « portail de marque », une page de connexion qui a l’air correcte, et un mot de passe tapé dedans. Tout le reste découle de cet unique instant.
La règle qui survit à toutes les variantes : ne tapez jamais un mot de passe sur une page atteinte depuis un lien. Ouvrez l’application ou saisissez l’adresse vous-même. Cela coûte dix secondes et élimine toute la catégorie.
Où se situe un planificateur
Il doit détenir un jeton révocable, pas un mot de passe, et ne devrait jamais en demander un. Un outil qui veut vos vrais identifiants vous demande de lui céder le compte lui-même.