Protéger sa vie privée sur les réseaux sociaux : les bonnes pratiques

Protéger sa vie privée sur les réseaux sociaux : ce qui marche vraiment

La question qu'on me pose le plus souvent, quand j'anime des ateliers dans des collèges ou des PME, ce n'est pas « comment hacker un compte ». C'est : « Est-ce que je dois tout supprimer ? »

Non. Et si vous êtes venus chercher une liste de 25 réglages à cocher un par un, vous allez être déçus. Après plusieurs années à accompagner des profils très différents — collégiens, dirigeants, parents débordés — je suis arrivé à une conclusion un peu inconfortable : 90 % du risque se concentre sur une poignée de décisions. Le reste, c'est du vernis. Protéger sa vie privée sur les réseaux sociaux, ce n'est pas configurer 47 menus. C'est comprendre où vous êtes réellement exposé, et fermer ces portes-là en priorité.

L'erreur mentale qui vous coûte cher

On imagine le risque comme un cambriolage : quelqu'un force la porte et vole tout. Dans la réalité, c'est plutôt un puzzle. Chaque photo, chaque check-in, chaque commentaire est une pièce. Et il existe aujourd'hui des outils — souvent automatisés, parfois juste de la patience humaine — capables d'assembler ces pièces en quelques minutes.

J'ai fait le test sur moi-même. En partant de mon seul profil public, j'ai reconstitué en une vingtaine de minutes : mon quartier approximatif, le prénom de ma sœur, le nom de l'école de ma nièce (via une photo d'anniversaire taguée), et la marque de ma voiture. Rien de confidentiel pris isolément. Tout, mis bout à bout, forme un profil exploitable.

Voilà pourquoi les listes génériques de « bonnes pratiques » passent à côté. Elles traitent chaque publication comme un événement isolé. Le risque, lui, est cumulatif.

L'agrégation : le piège que personne ne voit

Un anniversaire posté sur Facebook. Une photo de bureau sur LinkedIn. Un commentaire sous une publication locale sur Instagram. Trois plateformes, trois contextes, une seule personne derrière. Un escroc qui prépare une arnaque au faux support technique n'a pas besoin de pirater quoi que ce soit : il a juste besoin de vous connaître assez pour paraître crédible au téléphone.

Ce qui change la donne, ce n'est pas la quantité d'informations. C'est leur cohérence. Une personne qui vous appelle en citant votre employeur, votre ville et le prénom de votre fils est immensément plus convaincante qu'un inconnu.

Les trois actions qui couvrent l'essentiel du risque

Si vous ne faites que trois choses cette semaine, faites celles-là. Le reste peut attendre.

1. L'authentification à deux facteurs, mais la bonne

La double authentification par SMS reste répandue. Elle est aussi la plus fragile : une attaque par échange de carte SIM permet à quelqu'un de récupérer votre numéro, et donc vos codes. J'ai vu le cas arriver à un client — un commercial dont le compte WhatsApp professionnel a été détourné en une nuit, avec à la clé des demandes de virement envoyées à ses contacts. Dégâts : environ 4 800 € sur un des destinataires, jamais récupérés.

Ce qu'il faut faire concrètement :

• Utiliser une application d'authentification (type générateur de codes hors ligne) plutôt que les SMS quand l'option existe.
• Si une clé physique est proposée, elle reste le niveau le plus solide, mais tout le monde n'en a pas.
• Conserver les codes de secours imprimés, pas dans une note sur le téléphone.
• Vérifier que l'authentification à deux facteurs est bien active sur la messagerie liée à votre compte, pas seulement sur le compte.

C'est le point d'entrée n°1 des piratages de comptes personnels. Pas parce que c'est subtil — parce que la version faible (SMS) reste la valeur par défaut.

2. Contrôler l'audience, publication par publication

Le réglage global « amis uniquement » ne suffit pas. Sur la plupart des plateformes, chaque publication a son propre niveau de visibilité, et il revient souvent à « public » par défaut si vous ne touchez à rien.

Ce que je recommande à chaque fois :

1. Passer en revue les publications des 12 derniers mois. C'est long, faites-le en trois sessions plutôt qu'en une.
2. Repérer celles qui révèlent une routine : « chaque mardi, jogging à 6h », « en déplacement à Lyon jusqu'à vendredi ».
3. Limiter ou supprimer celles qui contiennent un lieu précis, un horaire, ou une information sur un tiers.
4. Vérifier les tags des autres. Une photo postée par un ami avec votre prénom et votre position peut apparaître dans votre profil même si vous ne l'avez pas publiée.

Ce dernier point est le plus négligé. J'ai vu des comptes parfaitement verrouillés exposer la date d'un anniversaire, le nom d'un conjoint et une adresse partielle — uniquement via des tags d'autres personnes.

3. Reprendre la main sur les applications tierces

Vous vous êtes déjà connecté à un site via « Continuer avec Google » ou « Continuer avec Facebook » ? Vous avez accordé un accès. Souvent il y a des années, souvent à une application que vous avez oubliée, souvent avec des droits plus larges que nécessaire.

La marche à suivre est simple, quel que soit le réseau :

• Ouvrez les paramètres de sécurité, section « applications connectées » ou « applications tierces ».
• Révoquez tout ce que vous n'utilisez plus. Franchement, il y en a presque toujours une dizaine.
• Pour celles que vous gardez, ouvrez le détail des autorisations et retirez au minimum l'accès à votre liste de contacts, à votre boîte mail et à vos données de localisation.

Cette opération prend vingt minutes et coupe l'accès à des données que vous ne saviez probablement même pas partagées. C'est le meilleur rapport effort/risque de toute cette liste.

Ce qui change d'une plateforme à l'autre

Les réglages ne sont pas transposables. Un compte verrouillé sur un réseau ne dit rien de vos réglages ailleurs. Voici comment je hiérarchise les quatre plateformes les plus utilisées — du plus exposé au plus contrôlable, dans mon expérience.

Plateforme	Réglage critique à vérifier	Piège le plus fréquent	Verdict
TikTok	Visibilité des vidéos et des « j'aime »	Compte public par défaut chez les plus jeunes	Le plus exposé
Instagram	Audience des stories et tags	Position géographique dans les stories	Exposition élevée
Facebook	Visibilité par publication + apps connectées	Historique ancien resté public	Fuite silencieuse
LinkedIn	Visibilité du profil hors connexion	Coordonnées personnelles en clair	Exposition professionnelle

Le point important n'est pas le classement — il est discutable et dépend de votre usage. C'est que chaque plateforme a son angle mort. Vérifier un seul compte, c'est laisser les autres ouverts.

Le cas LinkedIn : le paradoxe du réseau pro

Beaucoup de gens se croient protégés parce que leur profil est « seulement professionnel ». C'est l'inverse. LinkedIn est aujourd'hui l'une des sources les plus riches pour un escroc : nom complet, employeur, poste, parfois historique de carrière complet, et souvent un email dans la section contact.

Deux réglages à réviser : la visibilité de votre profil en dehors de la plateforme (elle permet à votre nom d'apparaître dans des recherches externes), et l'affichage de vos coordonnées. Un numéro de portable visible sur LinkedIn, c'est une invitation au démarchage — et parfois à des tentatives d'hameçonnage ciblées qui citent votre parcours.

Ce que je dis aux ados (et à leurs parents)

Le discours « les réseaux, c'est dangereux » ne fonctionne pas. Je l'ai testé. Il produit exactement l'effet inverse : les gamins continuent, mais cachent. C'est pire.

Ce qui marche mieux, c'est de parler de conséquences concrètes et de leur laisser la main sur les décisions. Un exemple qui fait mouche à chaque fois : demandez-leur ce qui se passe si une capture d'écran d'un message envoyé à 23h finit dans un groupe de classe au printemps suivant. Ils connaissent la réponse. Ils l'ont déjà vu arriver à quelqu'un.

Trois repères à transmettre

• Publier, c'est archiver. Même un message « éphémère » peut être capturé. La durée de vie d'un contenu n'est jamais celle que l'application annonce.
• Les inconnus ne sont pas toujours des inconnus. Un profil de fille de 13 ans peut cacher un adulte. Les demandes d'amis de gens « de l'autre collège » sont souvent le premier pas d'un contact malveillant.
• Un compte verrouillé ne l'est pas contre tout. Vérifier l'appareil, c'est la base. Il faut aussi activer l'authentification à deux facteurs.

Pour les parents, une consigne simple : ne surveillez pas en secret. Un adolescent qui découvre une surveillance cachée apprend surtout à mieux dissimuler, pas à mieux se protéger.

Faut-il vraiment tout supprimer ?

Non, et je vous le déconseille. Supprimer son compte n'efface pas les données déjà collectées, déjà scrapées, déjà revendues. Cela vous coupe d'un outil social, professionnel ou personnel, sans régler le fond du problème. Et ça donne un faux sentiment de sécurité.

La démarche que je défends est plus modeste : réduire l'agrégation. Moins de pièces éparpillées, donc un puzzle plus difficile à assembler. Cela passe par des choix concrets, pas par un grand geste.

Ce qui continue de fuiter, même bien configuré

Il faut être honnête sur une chose : certains canaux ne dépendent pas de vous.

• Les listes d'amis que vous ne contrôlez pas chez les autres.
• Les commentaires publics sur les profils d'autres personnes que vous ne voyez plus.
• Les groupes dont vous êtes membre et qui deviennent visibles après un changement de règles de la plateforme.
• La revente de données par des applications tierces mal configurées.
• Les messages privés que la plateforme peut voir et traiter selon ses conditions d'utilisation.

Je ne vous dis pas ça pour vous décourager. Mais croire qu'on peut atteindre le risque zéro est une illusion qui, paradoxalement, mène à un excès de confiance. Le bon modèle mental est celui d'une porte qu'on ferme, pas d'un mur qu'on érige.

Une routine à refaire tous les six mois

Le problème avec les réglages, c'est qu'ils changent. Les plateformes modifient les options, ajoutent de nouveaux paramètres de collecte, réinitialisent parfois des choix par défaut. Ce qui était verrouillé l'an dernier peut avoir été modifié sans notification.

Je me suis imposé une routine le premier dimanche de chaque trimestre. Trente minutes, chrono en main :

1. Authentification à deux facteurs sur les trois comptes principaux.
2. Tour des applications connectées.
3. Vérification des publications récentes et de leurs tags.
4. Contrôle du numéro et de l'email de récupération — souvent obsolètes.

Rien de spectaculaire. Mais cette régularité a fait plus pour ma tranquillité que n'importe quel outil. Un compte qui devient inactif reste souvent ouvert, accessible et sans surveillance — c'est précisément le profil recherché par quelqu'un qui prépare une usurpation.

Le fond du sujet

Il y a une question que personne ne pose dans ces ateliers, et qui est pourtant la vraie. Pas « comment protéger mes données », mais : pourquoi est-ce que je publie ça ?

La personne qui partage son petit-déjeuner tous les matins et celle qui poste son avis de départ en vacances avec la date exacte obéissent souvent à la même mécanique : donner un signe de présence. C'est humain, et aucun réglage de confidentialité ne va corriger ça.

Le vrai levier, à mon sens, c'est de réintroduire une pause avant publication. Pas une paranoïa. Juste une seconde de recul. Ce selfie devant chez vous, prise à 20h, est-ce qu'il dit quelque chose que vous vouliez dire, ou juste quelque chose que vous n'aviez pas pensé à cacher ?

Les règles changent tous les deux ans. La plupart des tutoriels que j'ai lus cette semaine seront obsolètes avant l'été. Ce qui reste stable, c'est la question de départ. Et c'est la seule que je vous encourage à retenir quand tout le reste aura été réécrit par une mise à jour automatique.