Chaque semaine, je reçois le même message : « Patrick, on m'a pris ma page. »
La suite ne varie jamais. La personne a mis deux ans à construire son audience. Elle venait d'atteindre ses premiers seuils. Et en une nuit, quelqu'un a changé le mot de passe, retiré son accès, et publie maintenant à sa place devant ses abonnés.
Ce qui me frappe, ce n'est pas le piratage. C'est ce que la personne me répond quand je lui demande si la double authentification était activée. Presque toujours la même phrase : « Je comptais le faire. »
Pourquoi la sécurité passe avant tout le reste
Vos réseaux sociaux ne sont pas un passe-temps. Ce sont des actifs numériques. Une page qui commence à générer des revenus a une valeur marchande, et tout ce qui a une valeur marchande attire quelqu'un.
La plupart des créateurs commencent par la fin. Ils cherchent la niche, le format, le seuil de monétisation, et ils remettent la sécurité à plus tard. Plus tard, c'est le lendemain du vol. Trop tard.
Dans notre méthode, l'ordre n'est pas décoratif : on protège, on développe, on encaisse. On ne construit pas sur un terrain qu'on ne possède pas encore.
Voici les cinq réglages. Comptez une heure. Faites-les ce soir, pas ce week-end.
1. La double authentification, mais pas par SMS
La double authentification, c'est le deuxième code demandé après votre mot de passe. Sans elle, un mot de passe volé suffit à tout perdre.
Activez-la. Mais choisissez l'application d'authentification, pas le SMS.
Le SMS paraît plus simple, et c'est justement le maillon faible : une carte SIM se perd, se clone, se récupère chez un opérateur avec un peu d'aplomb. L'application, elle, est sur votre téléphone et ne dépend de personne d'autre.
Un détail que presque tout le monde saute : au moment de l'activation, Facebook affiche des codes de récupération. Notez-les. Sur papier, dans un carnet que vous gardez chez vous. Le jour où vous perdez votre téléphone, ces codes sont la seule porte qui reste ouverte.
2. Faites le ménage dans les accès
Ouvrez la liste des personnes qui ont un accès à votre page. Regardez-la vraiment.
Il y a souvent le monteur d'il y a huit mois. Le cousin qui devait « aider à publier ». Une agence dont vous ne vous souvenez plus du nom. Chacun de ces accès est une porte d'entrée que vous ne contrôlez plus, et qui restera ouverte le jour où c'est leur compte à eux qui sera piraté.
Trois règles, et elles ne souffrent pas d'exception :
- Retirez tous les accès qui ne servent plus. Aujourd'hui, pas quand vous y penserez.
- Donnez le minimum nécessaire : quelqu'un qui publie n'a pas besoin d'un accès complet.
- Gardez au moins deux administrateurs de confiance. Un seul, c'est un point de rupture : si ce compte tombe, la page tombe avec lui.
Les menus de Meta changent de nom tous les six mois. Cherchez du côté des paramètres de la page ou du Meta Business Suite, à la rubrique des accès et des rôles. Le nom bouge, l'endroit reste.
3. Regardez qui est connecté à votre compte en ce moment
Dans les paramètres de sécurité, il existe une liste des appareils actuellement connectés à votre compte, avec la ville et l'appareil.
Ouvrez-la. C'est le réglage le plus rapide des cinq, et c'est celui qui provoque le plus de silences gênés.
Une connexion depuis une ville où vous n'avez jamais mis les pieds, un appareil que vous ne reconnaissez pas : déconnectez tout, puis changez immédiatement de mot de passe. Dans cet ordre. Si vous changez le mot de passe sans fermer les sessions, l'intrus reste connecté sur son téléphone et vous croyez le problème réglé.
4. Protégez l'adresse e-mail avant la page
Celui-là, personne ne le fait, et c'est celui qui coûte le plus cher.
Votre page dépend de votre compte Facebook. Votre compte Facebook dépend de votre adresse e-mail. Celui qui entre dans votre boîte mail demande une réinitialisation du mot de passe, reçoit le lien, et prend tout le reste sans jamais avoir eu besoin de pirater quoi que ce soit.
Votre adresse e-mail est la clé de la maison. La page n'est qu'une pièce.
Donc : double authentification sur l'e-mail aussi, un mot de passe qui ne ressemble à aucun autre de vos mots de passe, et un numéro de récupération à jour. Vérifiez aussi qu'aucune règle de transfert automatique n'a été ajoutée à votre insu — c'est la trace classique d'une boîte déjà compromise.
5. Le message qui vous fera tout perdre
Il arrive par e-mail, par Messenger, parfois en commentaire. Le ton est officiel, le logo est correct, et il dit à peu près ceci :
Votre page a enfreint nos règles sur les droits d'auteur. Elle sera supprimée sous 24 heures. Cliquez ici pour faire appel.
Le lien mène vers une page qui ressemble à Facebook. Vous entrez votre mot de passe. C'est fini.
Retenez une seule chose, elle vous suffira : Facebook ne vous demandera jamais votre mot de passe par message. Jamais. Aucune notification légitime ne se règle en cliquant sur un lien reçu en privé.
Le bon réflexe est toujours le même : fermez le message, ouvrez vous-même l'application ou le site, et allez voir dans les notifications officielles de votre page. S'il y a un vrai problème, il sera là. S'il n'y a rien, c'est qu'il n'y avait rien.
L'urgence est l'outil de travail de l'escroc. Vingt-quatre heures, suppression définitive, dernière chance : tout est fait pour que vous cliquiez avant de réfléchir. Une menace pressante est un signal d'alerte, pas une raison de se dépêcher.
Trois idées fausses qui coûtent cher
« Mon mot de passe est compliqué, ça suffit. » Un mot de passe compliqué ne protège de rien si vous l'avez tapé vous-même sur une fausse page. Et il ne sert à rien s'il est le même que celui d'un site qui s'est fait voler sa base de données l'an dernier.
« Je n'ai que deux mille abonnés, personne ne s'intéresse à moi. » On ne vous vise pas personnellement. Les attaques passent par des outils automatiques qui ratissent des milliers de comptes à la fois. Une petite page mal protégée est prise avant une grosse page bien protégée, simplement parce qu'elle est plus facile.
« Ma page est protégée parce que mon compte personnel est protégé. » C'est l'inverse qu'il faut comprendre : votre page ne survit pas à la chute de votre compte personnel. C'est bien pour ça qu'on commence par lui.
Et si c'est déjà arrivé ?
Ne paniquez pas et ne payez personne. Aucun « expert » qui vous écrit en privé pour récupérer votre compte contre de l'argent ne récupérera votre compte. Il existe une procédure officielle, elle fonctionne, et elle demande de la méthode plus que de la chance.
Je l'ai détaillée étape par étape dans la formation Compte Facebook piraté, récupérez-le. Et pour tout verrouiller avant l'incident, c'est Sécurisez efficacement votre page Facebook.
Une heure aujourd'hui, ou tout reconstruire demain
Aucun de ces cinq réglages ne vous fera gagner un franc. Ils ne feront pas grandir votre audience et ils n'accéléreront pas votre monétisation.
Ils font autre chose : ils garantissent que le travail des deux prochaines années vous appartiendra toujours dans deux ans.
Faites-les ce soir. Puis revenez construire.
Une question sur un réglage précis, ou un doute sur un message que vous venez de recevoir ? Écrivez-nous sur WhatsApp avant de cliquer. Il vaut toujours mieux poser la question dix minutes trop tôt que dix minutes trop tard.