En bref : Le comportement sécurisé d’un employé sur Internet repose sur six règles : (1) chaque mot de passe unique via un gestionnaire de mots de passe, (2) 2FA sur tous les comptes critiques, (3) vérifier l’expéditeur pour chaque demande d’informations sensibles, (4) Wi-Fi public uniquement via VPN, (5) navigateur à jour + audit des extensions, (6) signaler tout e-mail suspect en interne (canal #security-incident). Formation + simulations 4× par an maintiennent ces habitudes en pratique.
Internet est en 2026 l’outil de travail principal de chaque employé de bureau. Cela signifie que la sécurité de l’entreprise dépend en grande partie du comportement d’une personne concrète devant un écran concret. Les meilleures mesures techniques (pare-feu, EDR, sécurité e-mail) échouent si un employé clique sur un lien de phishing et y saisit ses mots de passe.
Cet article est un guide pratique pour les employés et les responsables informatiques des PME. Sans jargon technique, juste des règles et des situations concrètes. Pour le contexte plus large de la cyberdéfense, voir le pilier Cybersécurité des données d’entreprise.
Les menaces les plus fréquentes lors de la navigation
En Europe, les statistiques des CERT nationaux pour 2025 montrent :
- Phishing (60 % de tous les incidents commencent par un clic dans un e-mail ou un SMS)
- Drive-by malware (la visite d’un site infecté installe un malware sans consentement explicite)
- Credential stuffing (des mots de passe divulgués d’autres services sont essayés sur l’e-mail d’entreprise)
- Abus d’extensions de navigateur (extension avec accès à toutes les pages qui exfiltre les données)
- Malvertising (publicités malveillantes sur des sites légitimes)
Six règles de comportement sécurisé
1. Gestionnaire de mots de passe + mot de passe unique pour chaque service
La cause la plus fréquente des incidents d’entreprise en 2026 n’est pas un hack sophistiqué — c’est la réutilisation des mots de passe. Un employé utilise le même mot de passe sur Outlook d’entreprise, sur son Spotify personnel et sur un forum de loisirs. Le forum se fait pirater, le mot de passe fuit, l’attaquant essaie le même sur le compte d’entreprise — bingo.
Solution : gestionnaire de mots de passe d’entreprise comme 1Password, Bitwarden ou Dashlane. Il génère des mots de passe uniques de 20+ caractères pour chaque service. L’employé mémorise un seul mot de passe maître, le gestionnaire fait le reste.
Prix : 4 à 8 €/employé/mois. Le retour sur investissement s’atteint dès le premier incident évité.
2. 2FA / Passkey sur tous les comptes critiques
Même avec un mot de passe unique, un attaquant peut obtenir l’accès via le phishing. Le second facteur d’authentification l’arrête. Par ordre de préférence :
- Passkey (FIDO2/WebAuthn) — protection la plus forte, résistant au phishing
- Token matériel (YubiKey, Titan Key)
- TOTP via application (Google Authenticator, Microsoft Authenticator, 1Password)
- Notification push (Microsoft Authenticator, Duo)
- OTP par SMS — le plus faible, mais mieux que rien
Pour plus de détails, voir Authentification à deux facteurs.
3. Vérifier l’expéditeur pour chaque demande d’informations sensibles
En 2026, le phishing généré par IA est indiscernable d’un e-mail légitime au premier regard. Règle « vérifiez via un autre canal » :
- Demande de paiement / virement par e-mail → appelez la personne sur un numéro connu et confirmez
- Demande de mot de passe / accès → pas par e-mail, toujours en personne ou via chat interne
- Ajout d’un nouveau compte bancaire / fournisseur → procédure d’approbation physique (manager, double contrôle)
4. Wi-Fi public toujours via VPN
Les réseaux Wi-Fi publics (aéroport, café, hôtel) sont risqués pour trois raisons :
- Écoute — le fournisseur Wi-Fi ou un autre utilisateur du réseau peut espionner. Le chiffrement HTTPS atténue, mais pas tout.
- Evil twin — un attaquant crée un Wi-Fi avec le même nom (ex. « Hôtel Free Wi-Fi ») que le légitime et intercepte les communications.
- Infection drive-by — un routeur compromis peut injecter des malwares dans les pages non chiffrées.
Solutions :
- VPN d’entreprise (ou ZTNA) — obligatoire pour toute connexion externe.
- Hotspot mobile (4G/5G depuis le téléphone d’entreprise) — alternative plus sûre que le Wi-Fi public.
- Règle « aucun système d’entreprise sans VPN » — y compris l’e-mail, l’ERP, la banque.
Voir le glossaire /fr/glossaire/vpn.
5. Navigateur à jour + audit des extensions
Le navigateur est le logiciel le plus exposé de l’entreprise — il interagit avec des milliers de sites par jour. Trois mesures :
- Mises à jour automatiques activées — Chrome, Edge, Firefox, Safari se mettent à jour seuls. Les désactiver est un anti-pattern de sécurité.
- Audit des extensions installées — chaque extension a accès aux pages visitées. Extension compromise = exfiltration de données. Règle : max 5 extensions de confiance, aucun « convertisseur PDF gratuit » d’origine douteuse.
- Travailler dans un profil séparé — profil navigateur d’entreprise séparé du personnel. Cookies, mots de passe, historique ne se mélangent pas.
6. Signaler les e-mails suspects / incidents en interne
Si un employé reçoit un e-mail suspect ou clique sur quelque chose, le pire scénario est qu’il le taise. L’attaquant dispose alors de heures ou de jours avant d’être détecté par le monitoring.
Créez un canal interne pour les signalements :
- Canal #security-incident Slack/Teams
- Adresse security@entreprise.fr
- Ligne téléphonique pour les cas urgents
Politique : aucune sanction pour les signalements, même en cas d’erreur personnelle. Récompense pour les signalements rapides. Sans cette culture, les incidents resteront cachés.
Réseaux sociaux et présentation professionnelle
LinkedIn, Twitter (X), Facebook et Instagram sont des outils de travail légitimes, mais aussi une source de risque :
- Les données LinkedIn sont une mine d’or pour les attaquants préparant du spear-phishing — nom du manager, collègues, technologies, projets.
- Photos géolocalisées en vacances = signal que vous êtes absent et réagissez moins bien aux incidents.
- Partage d’informations d’entreprise (captures d’écran, vidéos de partage d’écran) peut involontairement divulguer des informations sensibles.
La politique sur les réseaux sociaux devrait définir :
- Ce qui ne peut pas être partagé publiquement (clients, projets sous NDA, données financières)
- Comment séparer les comptes personnels et professionnels
- La gestion de crise PR (pas de réactions improvisées des employés au nom de l’entreprise)
Appareils mobiles et BYOD
Les données d’entreprise en 2026 vivent en grande partie sur les téléphones — e-mail, Slack, application mobile ERP. Le minimum de sécurité :
- Écran de verrouillage avec biométrie ou code PIN minimum 6 chiffres
- Chiffrement du disque (par défaut sur iOS et Android moderne)
- MDM (Mobile Device Management) — Microsoft Intune, Jamf — permet l’effacement à distance en cas de perte
- Profils professionnels séparés sur les appareils personnels (BYOD)
- Aucun store d’applications non officiel (sideloading) — source de 90 % des malwares mobiles
Résumé et checklist pour l’employé
| Domaine | Action | Fréquence |
|---|---|---|
| Gestionnaire de mots de passe | Installé et actif | Toujours |
| 2FA / Passkey | Activé sur e-mail, ERP, banque | Toujours |
| Phishing | Vérifier via un autre canal pour toute demande sensible | À chaque demande |
| Wi-Fi | Public uniquement via VPN | À chaque accès externe |
| Navigateur | Mises à jour automatiques activées | Toujours |
| Extensions | Audit + suppression des inutiles | Trimestriellement |
| Signalement d’incident | Canal interne immédiatement | À chaque anomalie |
| Téléphone mobile | Écran de verrouillage + inscription MDM | Toujours |
| Formation | Simulation de phishing + e-learning | 4× par an |
La combinaison de ces habitudes avec un investissement de 20 à 50 €/employé/an en formation et en gestionnaire de mots de passe réduit les attaques réussies de 80 % et plus. C’est le meilleur ROI de toute la sécurité informatique d’entreprise.
Comment Modulario soutient le comportement sécurisé
Dans Modulario, des mesures techniques intégrées soulèvent une partie de la responsabilité de l’employé :
- 2FA / Passkey obligatoire pour les administrateurs, optionnel pour tous
- SSO via Azure AD / Google Workspace — un seul point de connexion, facilement révocable
- Journal d’audit de chaque action — les anomalies sont rapidement détectées
- IP whitelisting pour les fonctions critiques
- Délai d’expiration de session avec durée configurable
- Détection des connexions anormales (nouveau dispositif, nouvelle localisation géographique)
Pour plus de détails, voir la documentation sécurité. Pour l’agenda plus large de la cybersécurité d’entreprise, voir le pilier Cybersécurité des données d’entreprise.
Questions fréquentes
Quelles sont les erreurs les plus fréquentes des employés sur Internet ? Trois erreurs dominantes en 2026 : (1) cliquer sur un lien de phishing sans vérifier l’expéditeur — surtout pour les messages « urgents », (2) réutiliser des mots de passe entre services — une fuite sur l’un compromet tous les autres, (3) se connecter à un Wi-Fi public sans VPN. La formation et un gestionnaire de mots de passe résolvent 80 % des incidents.
Comment reconnaître un e-mail de phishing ? Sept signes : (1) expéditeur inattendu ou domaine inconnu, (2) urgence ou peur dans l’objet, (3) grammaire et style inadaptés, (4) URL différente en passant la souris dessus, (5) pièces jointes inattendues, (6) demande de données sensibles par e-mail, (7) adresses de réponse n’appartenant pas à l’entreprise. Deux signes ou plus = phishing très probable.
Le Wi-Fi public est-il sûr pour le travail en entreprise ? Sans VPN, non. La solution : VPN d’entreprise toujours activé pour l’accès distant, jamais de connexion aux systèmes d’entreprise depuis un Wi-Fi public sans VPN, le hotspot mobile comme alternative plus sûre.