Le cloud simplifie le partage et l’accès aux fichiers, mais il déplace aussi les risques : mauvais réglage, compte piraté, sauvegarde absente ou dépendance au fournisseur. Voici comment protéger vos données, chez vous comme en entreprise.
Le cloud donne l’impression que les fichiers sont à l’abri dès qu’ils ont quitté l’ordinateur ou le téléphone. Ils restent pourtant accessibles par un compte, copiés sur des serveurs, partagés par des liens et parfois synchronisés sur plusieurs appareils. Le principal danger ne vient pas toujours d’une attaque sophistiquée : une adresse saisie par erreur, un dossier rendu public ou un mot de passe réutilisé peuvent suffire.
Stocker des documents dans le cloud n’est pas, en soi, moins sûr que les garder sur un disque local. C’est un changement de modèle. Le fournisseur sécurise une partie de l’infrastructure ; vous gardez la main sur les identités, les autorisations, les fichiers déposés et les réglages de partage. Comprendre cette répartition permet de réduire les risques sans renoncer à la praticité du service.
Dans le cloud, le fournisseur prend généralement en charge les bâtiments, le matériel, le réseau physique et une part des logiciels qui font fonctionner le service. Mais cette protection ne couvre pas automatiquement vos choix. Un espace de stockage bien conçu peut devenir vulnérable si un utilisateur autorise un accès trop large ou si un compte administrateur est compromis.
La frontière varie selon le type de service :
Pour un particulier, cela veut dire vérifier les albums, documents et sauvegardes de téléphone partagés. Une photothèque familiale mérite autant d’attention qu’un dossier professionnel : les conseils pour organiser vos photos et vos albums sont aussi l’occasion de trier ce qui doit rester privé. Pour une entreprise, la même logique s’applique aux espaces d’équipe, boîtes partagées, outils de travail collaboratif et comptes techniques.
Le mot « piratage » recouvre des situations très différentes. Distinguer le risque aide à choisir une réponse adaptée. Un antivirus ne corrigera pas un lien de partage public ; un chiffrement ne remplacera pas une sauvegarde indépendante ; une sauvegarde ne bloque pas un accès frauduleux.
| Risque | Cause fréquente | Conséquence possible | Protection prioritaire |
|---|---|---|---|
| Compte compromis | Hameçonnage, mot de passe réutilisé, appareil perdu | Lecture, export ou suppression de fichiers | Mot de passe unique, MFA, alertes de connexion |
| Partage excessif | Lien public, mauvais groupe, droits hérités | Fuite de documents confidentiels | Accès nominatif, durée limitée, revue des partages |
| Effacement ou synchronisation indésirable | Erreur humaine, logiciel malveillant, appareil synchronisé | Fichiers supprimés ou chiffrés partout | Versions, corbeille, sauvegarde hors de l’espace principal |
| Mauvaise configuration technique | Base de données ou stockage exposé, clé d’accès divulguée | Accès massif à des données ou à des services | Paramètres privés par défaut, journalisation, contrôle des accès |
| Indisponibilité du service | Panne, incident réseau, compte suspendu | Travail bloqué, accès temporairement impossible | Copies exportables, procédure de continuité |
| Départ d’un collaborateur | Compte non désactivé, propriété des fichiers confuse | Accès persistant ou perte de documents | Gestion centralisée des comptes et transfert de propriété |
Le vol d’identifiants demeure un scénario central. Un faux message peut imiter une invitation à consulter un fichier, une alerte de quota ou une demande de reconnexion. Avant de saisir un mot de passe, ouvrez directement le service depuis vos favoris ou son application officielle. Ne validez pas non plus une demande de connexion reçue sur votre téléphone si vous ne l’avez pas initiée.
Les liens « toute personne disposant du lien » sont pratiques, mais ils circulent facilement : transfert de courriel, historique de navigateur, messagerie de groupe ou capture d’écran. Préférez une invitation adressée à une personne identifiée, avec le droit minimal nécessaire : lecture plutôt que modification, modification plutôt qu’administration.
Le chiffrement rend les données illisibles sans la clé adéquate. Il est utile, mais il ne résout pas tous les problèmes. Si un utilisateur légitime ouvre un fichier puis le transmet au mauvais destinataire, le chiffrement du stockage ne l’empêchera pas. De même, un pirate qui prend le contrôle de votre session peut parfois accéder aux données comme vous.
Commencez par classer simplement les fichiers :
Cette classification détermine les précautions. Un fichier courant peut être partagé à une équipe. Un fichier confidentiel exige des destinataires nommés, une durée d’accès limitée et une trace des actions si le service le permet. Pour les données très sensibles, limitez fortement les copies, chiffrez le fichier avant son dépôt lorsque le contexte le justifie, et évitez de stocker mots de passe, clés privées ou codes de récupération dans un dossier partagé.
La plupart des fournisseurs proposent un chiffrement pendant le transfert et sur leurs serveurs. Il faut toutefois distinguer les clés gérées par le prestataire, plus simples à utiliser, des clés contrôlées par le client, parfois disponibles dans les offres professionnelles. Garder ses propres clés peut renforcer le contrôle, mais crée une responsabilité : une clé perdue peut rendre les données irrécupérables, et certaines fonctions de recherche, de prévisualisation ou de collaboration peuvent être limitées.
Ne recherchez pas le chiffrement le plus complexe à tout prix. Recherchez un dispositif que vous saurez administrer : clés documentées, accès de secours encadré, récupération de compte et procédures connues des personnes autorisées.
Un compte partagé par plusieurs personnes empêche de savoir qui a fait quoi et rend le départ d’un utilisateur difficile à gérer. Chaque personne doit disposer de son propre identifiant. Les comptes administrateurs doivent être rares, distincts des comptes utilisés au quotidien et protégés avec un niveau d’exigence supérieur.
Adoptez ces réglages de base :
Une revue périodique est plus efficace qu’une liste de droits oubliée. Examinez les invités externes, les liens actifs, les applications tierces connectées et les appareils autorisés. Dans une petite structure, un rendez-vous trimestriel peut suffire pour commencer ; dans un environnement plus sensible, adaptez la fréquence aux changements d’équipe et à la criticité des données.
Les usages personnels comptent aussi. Un téléphone déverrouillé donne souvent accès aux applications synchronisées. Protégez-le par un verrouillage d’écran, activez sa fonction de localisation ou d’effacement à distance si elle vous convient, et retirez les sessions d’appareils que vous ne reconnaissez pas. La même prudence vaut pour les messageries : bloquer un contact sur WhatsApp ne protège pas un lien cloud déjà partagé ; il faut aussi retirer ou remplacer ce lien.
La synchronisation n’est pas une sauvegarde. Elle reproduit souvent rapidement les modifications : si un fichier est supprimé ou chiffré par un logiciel malveillant sur un appareil connecté, le changement peut se propager dans le cloud. Les versions précédentes et la corbeille peuvent aider, mais elles dépendent du paramétrage, du délai prévu par l’offre et de l’accès à votre compte.
La règle dite 3-2-1 fournit un repère simple : conservez trois copies des données importantes, sur deux types de supports ou environnements, dont une copie séparée du site ou du compte principal. Elle ne doit pas être appliquée mécaniquement. L’objectif est d’éviter qu’un même incident — piratage d’un compte, incendie, erreur de manipulation ou panne d’un prestataire — atteigne toutes les copies.
Pour être utile, une sauvegarde doit répondre à quatre questions :
Pour un usage professionnel, prévoyez aussi une copie exportable dans un format exploitable si vous devez quitter le fournisseur. Cela réduit la dépendance au service et accélère la reprise après une indisponibilité prolongée. Si vous exploitez vous-même un serveur, les critères de sécurité sont plus larges : mises à jour, pare-feu, comptes système et supervision s’ajoutent au stockage. Le choix d’un hébergement ne dispense donc pas d’évaluer les critères utiles d’un hébergeur VPS.
Avant de déposer des données sensibles, lisez les éléments qui expliquent réellement le niveau de service. Cherchez notamment : le lieu d’hébergement annoncé, la liste des sous-traitants, les conditions de transfert de données, les options de journalisation, la durée de conservation des fichiers supprimés, la procédure de restitution et les modalités de suppression à la fin du contrat.
Pour une organisation traitant des données personnelles, le rôle juridique doit être clair. Le client détermine souvent les finalités du traitement et le fournisseur agit comme sous-traitant, mais la situation dépend du service et de l’usage. Vérifiez l’accord de traitement des données, les mesures de sécurité proposées, les sous-traitants ultérieurs et les engagements de notification en cas d’incident. Un délégué à la protection des données, un responsable sécurité ou un juriste doit valider les situations sensibles, en particulier pour les données de santé, RH, bancaires ou concernant des mineurs.
Méfiez-vous aussi des formules vagues telles que « données hébergées en Europe ». Elles ne répondent pas à toutes les questions : des équipes de support, des sauvegardes, des prestataires ou des fonctions d’analyse peuvent intervenir ailleurs. Demandez où se trouvent les données, qui peut y accéder, pour quelle raison et sous quelles garanties contractuelles.
Enfin, vérifiez la réversibilité avant de signer. Vous devez savoir exporter vos données et métadonnées, récupérer les droits et l’historique utile, connaître le format de sortie et anticiper le délai nécessaire. Les conditions, options et tarifs évoluent : contrôlez la documentation contractuelle applicable à votre offre plutôt que de vous fier à une promesse commerciale ancienne.
Commencez par un audit court, sur le compte qui contient le plus de données ou qui donne accès aux autres. Une heure bien ciblée peut éliminer plusieurs failles courantes.
En cas de suspicion de compromission, ne vous contentez pas de changer un mot de passe. Déconnectez les sessions inconnues, révoquez les applications tierces suspectes, changez les identifiants depuis un appareil fiable, vérifiez les règles de transfert et de partage, puis examinez les journaux disponibles. Préservez les éléments utiles à l’analyse. Si des données personnelles ou des informations professionnelles sensibles sont concernées, alertez sans délai les responsables compétents ; l’obligation éventuelle d’informer les personnes ou l’autorité dépend de la nature de l’incident et doit être évaluée avec le référent juridique ou le DPO.
La bonne sécurité cloud n’est pas un réglage unique. C’est une série de choix simples et vérifiables : savoir qui accède à quoi, limiter les partages, garder une copie récupérable et pouvoir réagir sans improviser.
Les deux répondent à des risques différents. Le cloud protège mieux contre la perte physique d’un appareil et facilite l’accès à distance, mais expose aux erreurs de partage et au vol de compte. Un disque externe peut servir de copie indépendante, mais il peut être perdu, tomber en panne ou rester obsolète. Le plus sûr est souvent de combiner plusieurs copies séparées.
Il protège généralement les données lors du transfert et du stockage, ce qui est utile. Il ne protège pas d’un compte compromis, d’un partage envoyé au mauvais destinataire ou d’une suppression volontaire par un utilisateur autorisé. Vérifiez surtout la MFA, les droits d’accès, les sauvegardes et les options de contrôle des clés lorsque vos données sont très sensibles.
Un mot de passe long et unique réduit fortement le risque, mais il peut être obtenu par hameçonnage, logiciel malveillant ou fuite sur un autre service. La MFA demande une preuve supplémentaire de connexion. Privilégiez, lorsque c’est possible, une passkey, une clé de sécurité ou une application d’authentification, et protégez vos codes de récupération.
Oui techniquement, mais un lien public ou transférable est difficile à contrôler après son envoi. Pour un document sensible, invitez les personnes par leur adresse, limitez le droit à la lecture, définissez une expiration si le service le permet et retirez l’accès dès que l’échange est terminé. Évitez de placer dans un lien public une pièce d’identité ou des données clients.
Commencez par éviter de multiplier les modifications : elles peuvent se synchroniser partout. Vérifiez la corbeille et l’historique des versions, puis restaurez dans un emplacement de test si possible. Si vous suspectez un logiciel malveillant ou un accès frauduleux, sécurisez d’abord le compte et les appareils, puis utilisez une sauvegarde indépendante si les versions en ligne sont touchées.
Demandez où sont stockées les données et sauvegardes, quels sous-traitants interviennent, comment exporter les données, quels journaux d’activité sont disponibles et comment sont gérés les incidents. Vérifiez aussi les options de MFA, de gestion des rôles, de conservation, de chiffrement et de suppression. Pour les données personnelles sensibles, faites relire le contrat par le DPO ou un juriste compétent.
La réalité augmentée fait entrer créatures, énigmes et décors virtuels dans votre salon ou votre quartier. Elle renouvelle l’expérience de jeu, mais exige un appareil compatible, une attention constante à l’environnement et une gestion prudente des données personnelles.
La langue des menus, le pays des formats de date et de nombre, et la langue d’un rapport partagé ne se règlent pas au même endroit dans Power BI. Voici le bon chemin dans Desktop, le service web et l’application mobile, avec les vérifications utiles avant de publier.
Une interface haptique ne se résume pas à faire vibrer un moteur. Du scénario d’usage au choix de l’actionneur, du pilotage logiciel aux essais utilisateurs, ce guide donne une méthode concrète pour produire des retours tactiles compréhensibles, fiables et sûrs.
Le suivi d’une lettre recommandée peut être obtenu par téléphone, à condition de disposer du numéro de suivi et de joindre le bon opérateur. Voici les informations à préparer, les limites de l’appel et les démarches à engager en cas de retard ou de litige.