La plupart des gens ne pensent à la sécurité de leur compte Google qu'après un problème : un email de connexion suspecte, un ami qui reçoit un message étrange envoyé « par vous », ou pire, un accès complètement perdu à une boîte Gmail utilisée depuis quinze ans. C'est un raisonnement compréhensible, mais coûteux.
Ce guide reprend, dans l'ordre, les dix actions qui font vraiment la différence pour protéger ce compte contre le piratage. Pas de jargon inutile ni de liste de conseils génériques recopiés d'un site à l'autre : chaque étape explique concrètement où cliquer, pourquoi elle compte, et ce qui se passe si vous la négligez.
Pourquoi la sécurité de votre compte Google mérite votre attention maintenant
Un compte Google n'est presque jamais isolé. Il sert de clé de connexion pour des dizaines d'autres services grâce au bouton « Se connecter avec Google » que l'on retrouve sur des sites de e-commerce, des applications bancaires secondaires, des outils de productivité ou des forums. Il centralise aussi les photos, les documents partagés au travail, les contacts, l'agenda et, pour les possesseurs d'un téléphone Android, la localisation et les sauvegardes de l'appareil. Un attaquant qui prend le contrôle de ce compte n'a donc pas seulement accès à votre courrier : il hérite de tout ce qui en dépend.
Contrairement à une idée reçue, la majorité des piratages de comptes personnels ne viennent pas d'une faille technique chez Google. Ils viennent d'un mot de passe réutilisé sur trois autres sites, d'un email de phishing bien imité, ou d'une session laissée ouverte sur un appareil partagé. C'est plutôt une bonne nouvelle : cela veut dire que le risque est largement entre vos mains, et qu'une poignée de réglages suffit à fermer la plupart des portes d'entrée.
Faites le point avec la vérification de sécurité Google
Avant de changer quoi que ce soit, commencez par un diagnostic. Google propose un outil intégré, la vérification de sécurité (Security Checkup), accessible depuis myaccount.google.com puis l'onglet Sécurité. Il passe en revue en quelques minutes l'état de votre mot de passe, les appareils connectés, les applications tierces autorisées et vos options de récupération, et il signale ce qui mérite votre attention avec un code couleur simple.
C'est un bon point de départ précisément parce qu'il évite de deviner. Beaucoup de comptes accumulent, au fil des années, des applications oubliées ayant toujours accès à vos données, ou un ancien numéro de téléphone de secours qui appartient maintenant à quelqu'un d'autre après un changement d'opérateur.
Prenez cinq minutes pour la lancer, notez chaque point signalé, puis suivez les étapes suivantes de ce guide pour les corriger un par un. Il est utile de refaire ce contrôle une ou deux fois par an, un peu comme on relit un contrat d'assurance : rien ne change tous les jours, mais les oublis s'accumulent avec le temps.
Remplacez vos mots de passe faibles par des mots de passe vraiment robustes
Même si Google pousse aujourd'hui vers les passkeys, le mot de passe reste, pour beaucoup de comptes, la première ligne de défense, ou la dernière solution de repli si un autre facteur d'authentification est perdu. Un bon mot de passe pour un compte Google doit remplir trois conditions simples : au moins 16 caractères, une utilisation strictement unique à ce compte, et aucune information personnelle devinable (date de naissance, prénom d'un enfant, nom d'une ville).
La méthode la plus fiable pour y arriver sans finir par tout noter sur un post-it consiste à utiliser un gestionnaire de mots de passe. Google propose le sien, intégré à Chrome et à Android, mais des solutions indépendantes comme Bitwarden ou 1Password fonctionnent tout aussi bien et présentent l'avantage de ne pas dépendre d'un seul écosystème. L'idée centrale reste la même : un seul mot de passe maître à retenir, et un mot de passe unique, généré aléatoirement, pour chaque service, y compris Google.
Un bon gestionnaire de mots de passe protège aussi contre le phishing, puisqu'il refuse de remplir vos identifiants sur un faux site dont l'adresse ne correspond pas exactement à l'originale.
Un réflexe à prendre une bonne fois pour toutes : arrêtez de réutiliser le même mot de passe « pivot » légèrement modifié d'un site à l'autre (Password1, Password2, Password2024...). C'est exactement le schéma que les outils de piratage automatisés testent en premier lorsqu'ils récupèrent une base de données piratée ailleurs sur le web.
Activez la validation en deux étapes
La validation en deux étapes, aussi appelée 2FA ou authentification à deux facteurs, ajoute une seconde preuve d'identité en plus du mot de passe : un code temporaire, une notification à valider sur votre téléphone, ou une clé physique. Même si quelqu'un devine ou vole votre mot de passe, il se retrouve bloqué sans ce second élément.
Pour l'activer, direction Compte Google, onglet Sécurité, puis Validation en deux étapes. Google propose plusieurs méthodes, avec des niveaux de sécurité assez différents les uns des autres. Les codes reçus par SMS restent les plus simples à mettre en place, mais aussi les plus vulnérables : un SIM swap, le transfert frauduleux de votre numéro vers une autre carte SIM, suffit à les intercepter. Une application d'authentification comme Google Authenticator, qui génère des codes directement sur votre téléphone sans passer par le réseau mobile, est déjà nettement plus solide. Les invites de sécurité (Google Prompt), qui envoient une simple notification à valider sur un appareil de confiance, offrent un bon compromis entre sécurité et simplicité au quotidien.
Un point que beaucoup de gens négligent : une fois la 2FA activée, générez vos codes de secours et conservez-les hors ligne, par exemple imprimés dans un tiroir fermé. Ce sont eux qui vous sauvent le jour où vous changez de téléphone en urgence sans avoir eu le temps de tout reconfigurer.
Passez aux clés de sécurité et aux passkeys
Depuis que Google en a fait le mode de connexion par défaut pour les comptes personnels, les passkeys méritent qu'on s'y arrête sérieusement. Concrètement, une passkey remplace le mot de passe par le déverrouillage de votre appareil : empreinte digitale, reconnaissance faciale ou code PIN. Une paire de clés cryptographiques est générée, une partie reste stockée localement sur votre téléphone ou ordinateur, l'autre chez Google, et aucune des deux ne peut être devinée, réutilisée ailleurs ou récupérée par un email de phishing, puisqu'il n'y a tout simplement plus rien à taper.
Pour en créer une, allez dans Compte Google, Sécurité, puis Clés d'accès et clés de sécurité. Une fois configurée, une option « Ignorer le mot de passe si possible » apparaît : en l'activant, Google vous proposera la passkey en priorité à chaque connexion, sans pour autant supprimer votre mot de passe existant, qui reste disponible en solution de repli.
Pour les comptes qui gèrent des enjeux sensibles, activité professionnelle exposée, cryptomonnaies, contenu à forte audience, une clé de sécurité physique compatible FIDO2 va encore plus loin : elle exige une présence physique pour valider la connexion, ce qui neutralise presque entièrement le phishing à distance, même le plus sophistiqué.
Passez en revue les appareils connectés à votre compte
Un compte Google reste généralement connecté sur plusieurs appareils à la fois : l'ordinateur du bureau, le téléphone, une tablette, parfois un ordinateur familial partagé ou une session ouverte chez quelqu'un d'autre et jamais fermée. Chacun de ces appareils garde un accès actif tant que vous ne le révoquez pas explicitement.
La page « Vos appareils », accessible depuis l'onglet Sécurité, liste tout ce qui est actuellement connecté, avec le type d'appareil, la localisation approximative de la dernière activité et la date de connexion. Passez-la en revue posément : si un nom d'appareil ne vous dit rien, s'il est situé dans une ville où vous n'avez jamais mis les pieds, ou si c'est un vieux téléphone revendu sans déconnexion préalable, retirez-lui l'accès en un clic.
C'est une vérification à refaire chaque fois que vous changez de matériel, prêtez votre ordinateur pour une session ponctuelle, ou après un séjour dans un lieu public où vous vous êtes connecté sur un poste qui n'était pas le vôtre : un cybercafé, un ordinateur d'hôtel, une borne en libre accès.
Contrôlez les applications tierces qui ont accès à vos données
Chaque fois que vous cliquez sur « Continuer avec Google » pour créer un compte sur une nouvelle application, vous accordez un niveau d'accès à vos données, parfois large : lecture de vos contacts, de votre agenda, voire de vos emails pour certains outils de productivité. La plupart de ces autorisations sont légitimes le jour où vous les accordez. Le problème, c'est qu'elles restent actives indéfiniment, bien après que vous ayez arrêté d'utiliser le service en question.
Sur la page « Applications tierces avec accès au compte », dans les paramètres de sécurité, vous trouverez la liste complète de ces autorisations. Prenez le temps de la parcourir une fois par an et de révoquer tout ce qui ne vous sert plus : une vieille application de retouche photo installée pour un usage ponctuel, un outil marketing testé une seule fois, un service que vous avez complètement oublié avoir utilisé.
C'est une étape souvent négligée parce qu'elle ne semble pas urgente, mais elle réduit directement la surface d'attaque : si l'un de ces services tiers subit lui-même une fuite de données, c'est potentiellement une porte d'entrée vers votre compte Google qui reste ouverte sans que vous le sachiez.
Mettez à jour vos informations de récupération
Votre email de récupération et votre numéro de téléphone de secours ne servent presque jamais, jusqu'au jour où vous perdez l'accès à votre compte : oubli de mot de passe, téléphone volé, ou tentative de piratage. C'est justement pour cette raison qu'ils méritent d'être tenus à jour, car c'est le genre d'information qu'on configure une fois et qu'on ne revérifie jamais, alors même que les numéros de téléphone changent d'opérateur et que les adresses email secondaires finissent parfois désactivées.
Vérifiez que l'email de récupération renseigné est un compte auquel vous avez toujours accès, et idéalement hébergé par un autre fournisseur que Gmail, pour éviter de vous retrouver bloqué des deux côtés en cas de problème. Faites de même pour le numéro de téléphone : s'il correspond à une ancienne carte SIM ou à un forfait résilié, remplacez-le sans attendre.
Ce sont ces deux informations que Google utilise en priorité pour vérifier votre identité lors d'une procédure de récupération de compte. Les laisser obsolètes revient à égarer la clé de secours de sa propre maison sans jamais s'en rendre compte.
Activez les alertes de connexion et de modification
Google envoie par défaut une alerte par email, et souvent une notification sur vos appareils, dès qu'une connexion inhabituelle est détectée : nouvel appareil, nouvelle localisation, ou modification d'un paramètre sensible comme le mot de passe ou l'email de récupération. Encore faut-il les remarquer et savoir comment réagir.
Si vous recevez un jour une alerte de ce type et que la connexion ne vous est pas familière, ne l'ignorez pas en pensant à un faux positif. Cliquez sur « Ce n'était pas moi » directement depuis l'email ou la notification : Google déclenche alors une procédure de sécurisation qui peut inclure la déconnexion immédiate de l'appareil suspect et une demande de changement de mot de passe.
À l'inverse, si l'alerte concerne bien une connexion que vous venez d'effectuer depuis un nouvel appareil, confirmez-la simplement. Ce sont ces confirmations répétées, dans un sens ou dans l'autre, qui permettent aussi à Google d'affiner sa détection des comportements réellement anormaux sur votre compte.
Apprenez à repérer une tentative de phishing visant votre compte Google
La très grande majorité des comptes Google compromis le sont par phishing, pas par une attaque technique directe contre les serveurs de Google. Le principe reste toujours le même : un email, un SMS ou parfois un appel imite une communication officielle de Google pour vous pousser à saisir votre mot de passe ou votre code de validation sur une fausse page qui ressemble à s'y méprendre à l'originale.
Quelques signaux restent fiables pour les repérer. L'adresse d'expédition d'un email de phishing imite souvent le nom affiché de Google mais utilise un domaine légèrement différent une fois qu'on vérifie l'adresse complète, pas seulement le nom affiché. Le message crée presque toujours un sentiment d'urgence artificiel : compte suspendu dans 24 heures, activité suspecte à confirmer immédiatement, facture à régler sans délai.
Google ne vous appellera jamais pour vous demander de confirmer un code de validation à deux étapes par téléphone. Tout appel de ce type est une tentative de fraude, même s'il affiche un numéro qui semble officiel.
En cas de doute sur un email, ne cliquez sur aucun lien qu'il contient. Ouvrez directement votre navigateur et tapez vous-même l'adresse myaccount.google.com pour vérifier l'état réel de votre compte. Cette habitude simple, taper l'adresse plutôt que cliquer sur un lien reçu, neutralise à elle seule une grande partie des tentatives de phishing, aussi bien conçues soient-elles visuellement.
Envisagez le programme de protection avancée si vous êtes une cible à risque
Le programme de protection avancée de Google va plus loin que les réglages classiques de sécurité. Conçu à l'origine pour les journalistes, les responsables politiques, les avocats ou les dirigeants d'entreprise, il impose une authentification forte par clé de sécurité ou passkey, restreint fortement l'accès des applications tierces aux données du compte, applique une analyse renforcée des emails entrants dans Gmail contre les pièces jointes malveillantes, et complique volontairement la procédure de récupération de compte pour la rendre plus difficile à usurper.
L'inscription se fait depuis g.co/advancedprotection. Ce niveau de protection convient en particulier à toute personne qui gère un compte à forte visibilité, une audience importante sur les réseaux sociaux, des informations professionnelles sensibles, ou qui a déjà été la cible d'une tentative de piratage ciblée.
Le compromis à connaître avant de l'activer : ce programme réduit délibérément certaines commodités du quotidien pour gagner en sécurité, notamment l'accès de certaines applications tierces et la souplesse de récupération du compte. Pour un compte personnel sans exposition particulière, les étapes précédentes de ce guide couvrent déjà l'essentiel des risques réels. Mais pour un profil exposé, ce niveau de protection change concrètement la donne.
Comparatif des méthodes de validation en deux étapes
Toutes les méthodes de validation en deux étapes ne se valent pas. Le tableau ci-dessous résume les principaux compromis entre simplicité d'usage et niveau de protection réel, pour vous aider à choisir celle qui correspond le mieux à votre situation.
Que faire si vous pensez que votre compte est déjà compromis
Si vous soupçonnez que votre compte Google a déjà été compromis, mot de passe qui ne fonctionne plus, emails envoyés que vous n'avez pas écrits, notifications de connexion depuis un lieu inconnu, la rapidité de réaction compte plus que la perfection de la procédure.
Commencez par tenter de vous connecter normalement sur myaccount.google.com. Si l'accès fonctionne encore, changez immédiatement le mot de passe, puis passez en revue, dans l'ordre, les appareils connectés, les applications tierces autorisées et les informations de récupération : un attaquant qui a eu accès même brièvement modifie souvent l'un de ces trois éléments pour préparer un retour ultérieur.
Si le mot de passe ne fonctionne plus, utilisez l'outil de récupération de compte de Google, accessible directement depuis la page de connexion via le lien « Mot de passe oublié ? » ou « Vous ne pouvez plus accéder à votre compte ? ». Le formulaire vous demandera des informations que seul le propriétaire légitime connaît généralement : d'anciens mots de passe utilisés, la date de création approximative du compte, ou le contenu de dossiers spécifiques. Répondez avec autant de précision que possible, même approximative, plutôt que de laisser des champs vides.
Une fois l'accès récupéré, ne vous arrêtez pas au changement de mot de passe. Reprenez les dix étapes de ce guide dans l'ordre, en particulier la validation en deux étapes et la révision des appareils connectés : un compte qui a déjà été ciblé une fois a statistiquement plus de chances de l'être à nouveau, souvent par la même méthode qui a fonctionné la première fois.
Les erreurs qui rendent tous ces efforts inutiles
Certaines habitudes annulent presque à elles seules tous les réglages de sécurité mis en place par ailleurs.
- Réutiliser un mot de passe, même robuste, sur plusieurs services. Le jour où l'un de ces services subit une fuite de données, ce mot de passe circule sur des forums spécialisés et finit testé automatiquement sur des centaines d'autres comptes, dont le vôtre.
- Communiquer un code de validation à deux étapes à qui que ce soit, y compris à une personne qui prétend appeler de la part de Google, d'une banque ou d'un service de support technique. Ce code n'a d'utilité que pour vous, à cet instant précis.
- Laisser une session ouverte sur un appareil partagé ou public sans jamais s'en soucier : un ordinateur familial, un poste de cybercafé, un appareil professionnel qui n'est pas vraiment le vôtre.
- Ne jamais mettre à jour ses informations de récupération depuis la création du compte, parfois plusieurs années auparavant. Un vieux numéro résilié en guise de méthode de récupération n'aide personne le jour où vous en avez réellement besoin.
Questions fréquentes
Combien de temps faut-il pour sécuriser complètement un compte Google ?
Comptez entre vingt et quarante minutes pour parcourir les dix étapes de ce guide une première fois. Les vérifications suivantes, une à deux fois par an, prennent rarement plus de cinq minutes, puisqu'il s'agit surtout de confirmer que rien n'a changé.
La validation en deux étapes ralentit-elle la connexion au quotidien ?
Un peu, mais de façon minime une fois configurée correctement. Avec une invite de sécurité ou une passkey, la validation prend une ou deux secondes sur un appareil déjà reconnu comme fiable, et Google ne la redemande pas à chaque connexion sur ce même appareil.
Que faire si je perds le téléphone utilisé pour la validation en deux étapes ?
C'est exactement pour cette situation que les codes de secours générés au moment de l'activation existent. S'ils ont été conservés hors ligne, ils permettent de se connecter et de reconfigurer un nouvel appareil sans délai. Sans eux, la procédure de récupération de compte de Google reste disponible, mais plus longue.
Les passkeys remplacent-elles complètement le mot de passe ?
Elles peuvent le faire, mais ce n'est pas obligatoire. Google conserve le mot de passe existant comme solution de repli tant que vous ne le supprimez pas explicitement, ce qui reste une bonne précaution le temps de vous familiariser avec les passkeys sur l'ensemble de vos appareils.
Le programme de protection avancée est-il utile pour un compte personnel sans exposition particulière ?
Pas nécessairement. Il ajoute des contraintes réelles, en échange d'un niveau de sécurité pensé pour des profils exposés à des attaques ciblées. Pour la plupart des comptes personnels, les neuf premières étapes de ce guide couvrent déjà largement les risques concrets.
Comment savoir si mon compte a déjà été consulté par quelqu'un d'autre ?
La page des appareils connectés et l'historique d'activité du compte, tous deux accessibles depuis l'onglet Sécurité, indiquent les connexions récentes avec leur localisation approximative. Une connexion depuis un pays ou un appareil qui ne vous est pas familier est le signal le plus fiable à surveiller régulièrement.
À retenir
Sécuriser un compte Google n'est pas un projet que l'on termine un jour pour ne plus jamais y repenser. C'est plutôt une routine légère à reprendre une ou deux fois par an, un peu comme on change les piles d'un détecteur de fumée sans attendre qu'il sonne pour de mauvaises raisons.
Les dix étapes de ce guide n'ont rien de spectaculaire prises individuellement : un mot de passe plus long, une validation en deux étapes activée, une liste d'appareils passée en revue. Mais additionnées, elles ferment la quasi-totalité des portes par lesquelles un compte se fait généralement compromettre. Le temps investi aujourd'hui, une demi-heure tout au plus, coûte largement moins cher que les heures, parfois les jours, qu'il faut pour récupérer un compte piraté, sans même la garantie de tout retrouver intact à la fin.