Gestes essentiels pour protéger votre identité en 2026 : guide pratique

L’identité à protéger ne se limite pas à votre carte d’identité

L’usurpation d’identité consiste à utiliser vos données pour se faire passer pour vous : ouvrir une ligne téléphonique, commander un crédit, détourner un compte, récupérer un colis ou convaincre vos proches de verser de l’argent. Les éléments les plus recherchés sont souvent moins visibles qu’une carte nationale d’identité : votre adresse e-mail, votre numéro de téléphone, vos accès bancaires et les réponses à vos questions de récupération.

Le risque ne disparaît jamais totalement. En revanche, vous pouvez rendre l’attaque nettement plus difficile et limiter ses conséquences. L’objectif est simple : empêcher qu’un mot de passe volé, un document transmis ou une information publique suffise à accéder à plusieurs services.

Hiérarchisez vos comptes avant de tout sécuriser

Ne traitez pas tous vos comptes de la même manière. Un ancien forum peu utilisé ne présente pas le même enjeu que votre messagerie, votre banque ou votre compte de téléphone. Commencez par les accès capables de réinitialiser les autres, de déclencher des paiements ou de recevoir des codes.

Faites une liste courte dans un carnet conservé chez vous ou dans une note sécurisée : e-mail principal, banque, opérateur mobile, espace fiscal et administratif, achats en ligne, réseaux sociaux et stockage de documents. Vérifiez aussi les adresses e-mail et numéros de téléphone de récupération enregistrés sur ces comptes.

Des mots de passe uniques, stockés dans un gestionnaire

Un bon mot de passe n’est pas seulement complexe : il doit être différent pour chaque site. Réutiliser le même mot de passe transforme la fuite d’un petit site marchand en tentative d’accès à votre messagerie ou à votre banque. Changer périodiquement tous ses mots de passe n’apporte pas grand-chose si les mots de passe sont déjà longs, uniques et si aucune alerte ne le justifie.

Un gestionnaire de mots de passe permet de générer des suites aléatoires de 16 à 24 caractères et de les remplir automatiquement sur le bon site. Vous n’avez alors qu’un mot de passe maître robuste à retenir. Préférez une phrase longue, personnelle et non réutilisée, plutôt qu’une formule prévisible fondée sur des informations visibles sur vos réseaux sociaux.

Activez le verrouillage automatique du gestionnaire sur ordinateur et téléphone. Conservez ses codes de récupération hors de l’appareil principal, par exemple imprimés et rangés dans un endroit fermé. Une capture d’écran des codes laissée dans la galerie du téléphone est une mauvaise sauvegarde.

Préférez une authentification forte aux codes reçus par SMS

L’authentification à deux facteurs, ou 2FA, demande une preuve supplémentaire après le mot de passe. Elle bloque beaucoup de tentatives réalisées avec un identifiant volé. Activez-la en priorité sur votre messagerie, vos comptes de paiement, vos réseaux sociaux et votre espace de stockage de documents.

Lorsqu’un service le propose, les clés d’accès, aussi appelées passkeys, constituent une solution très pratique. Elles s’appuient sur le verrouillage de votre téléphone ou de votre ordinateur et sont liées au vrai site, ce qui réduit fortement le risque de saisir un code sur une page d’hameçonnage. À défaut, utilisez une application d’authentification. Le SMS reste préférable à l’absence de 2FA, mais il est moins résistant à certaines fraudes liées au numéro de téléphone.

Ne communiquez jamais un code de connexion reçu par SMS, e-mail ou application, même à une personne qui prétend appeler au nom de votre banque, d’un service public ou d’un support technique. Un organisme sérieux ne vous demande pas ce code pour « annuler une fraude ». Ce code est précisément ce qui lui permettrait d’accéder à votre compte.

Reconnaître un piège avant de cliquer ou de répondre

Les messages frauduleux ne sont plus tous remplis de fautes. Ils imitent les couleurs d’une banque, un avis de livraison, un remboursement ou une alerte de sécurité. Les QR codes collés sur une affiche, les fausses pages de connexion et les appels avec une voix convaincante complètent désormais les e-mails et SMS classiques.

Le bon réflexe consiste à interrompre le scénario imposé par le message. Ne passez ni par son lien, ni par son numéro, ni par son QR code. Ouvrez vous-même l’application officielle ou tapez l’adresse habituelle du service dans votre navigateur. Pour un appel inquiétant, raccrochez puis rappelez le numéro affiché sur votre relevé, votre carte ou le site officiel.

Fermez les portes sur vos appareils et votre numéro mobile

Un téléphone déverrouillé contient souvent vos e-mails, vos codes et vos applications bancaires. Protégez-le par un code d’au moins six chiffres, ou par une phrase de verrouillage quand l’appareil le permet. Activez la fonction de localisation, de verrouillage et d’effacement à distance, puis installez sans attendre les mises à jour du système, du navigateur et des applications.

Sur ordinateur, utilisez un compte protégé, verrouillez l’écran dès que vous vous éloignez et activez le chiffrement du disque s’il est proposé par le système. Évitez les logiciels téléchargés hors de leur boutique ou éditeur officiel. Une extension de navigateur inconnue peut lire ce que vous saisissez sur les pages web.

Votre numéro mobile est aussi une clé d’accès. Demandez à votre opérateur quelles protections existent contre le remplacement abusif de carte SIM ou le transfert de ligne. Utilisez un code client distinct de ceux de vos autres comptes, et retirez votre numéro des profils publics lorsqu’il n’est pas nécessaire.

Réduisez les traces laissées sur les réseaux et dans vos documents

Sur les réseaux sociaux, masquez votre date de naissance complète, votre adresse, votre numéro de téléphone et la liste de vos proches lorsque les réglages le permettent. Évitez de publier en direct votre absence, le recto d’un billet de transport, une étiquette de colis ou une photo où apparaissent un justificatif, une plaque d’immatriculation ou un badge professionnel.

Avant d’envoyer une pièce d’identité, posez trois questions : qui la demande, pour quelle obligation précise et par quel canal sécurisé ? Préférez le portail officiel du professionnel ou de l’organisme à un e-mail ordinaire. N’envoyez que les pages nécessaires et masquez les informations qui ne sont pas demandées, sans modifier un élément indispensable à la vérification.

Le service public FiligraneFacile peut ajouter un filigrane sur une copie de document. Mentionnez le destinataire, le motif et la date, par exemple « Copie transmise à [organisme] pour [démarche], le [date] ». Le filigrane dissuade la réutilisation et facilite la traçabilité, mais il ne remplace pas la prudence : un document filigrané peut encore être volé.

Surveillez les signaux faibles sans vivre en alerte permanente

Activez les notifications de paiement dans votre application bancaire et consultez vos mouvements au moins une fois par semaine. Un paiement inconnu, même d’un faible montant, mérite une vérification rapide : certains fraudeurs testent d’abord si une carte fonctionne. Ne concluez pas trop vite à une fraude : un libellé commercial peut différer du nom de l’enseigne, mais contactez votre banque si le doute persiste.

Surveillez aussi les e-mails de changement de mot de passe, les appareils connectés à vos comptes, les factures d’un opérateur inconnu et les courriers de recouvrement concernant un contrat que vous n’avez jamais souscrit. Une demande de récupération de compte non sollicitée peut signaler que quelqu’un essaie déjà d’entrer.

Que faire dès le premier signe d’usurpation ou de fraude

Agissez sans attendre, mais sans suivre les liens contenus dans l’alerte reçue. Votre priorité est de reprendre le contrôle de l’e-mail et des moyens de paiement, puis de constituer un dossier daté. Gardez les captures d’écran, e-mails, SMS, références de transactions et éventuels numéros de dossier : ils faciliteront les échanges avec la banque, les plateformes et les autorités.

Utilisez vos droits, et demandez de l’aide quand le dossier se complique

Les organisations qui détiennent vos données doivent respecter des règles de protection, notamment de minimisation et de sécurité. Vous pouvez demander l’accès à vos données, la rectification d’une erreur et, selon la situation, l’effacement ou l’opposition à la prospection. Une suppression n’est toutefois pas toujours possible lorsqu’une obligation légale de conservation existe.

Écrivez d’abord au service concerné en gardant une trace de votre demande. Si la réponse est insuffisante, la CNIL peut être saisie dans les situations relevant de la protection des données. Pour un litige bancaire, une identité utilisée pour un crédit ou une fraude technique difficile à contenir, faites-vous accompagner par votre banque, un conseiller juridique, une association d’aide aux victimes ou un professionnel qualifié.

La règle la plus utile reste durable : partagez moins, verrouillez mieux et vérifiez les alertes par un canal indépendant. Ces gestes protègent aussi les enfants et les proches : expliquez-leur qu’un code reçu sur téléphone, une photo de document et une demande urgente d’argent ne se transmettent jamais sans vérification directe.