Protéger ses données en ligne à l’ère du web et de l’IA

Un soir, t’as un bug sur ton site. Tu copies le message d’erreur, tu le colles dans ton assistant IA, et pour qu’il t’aide mieux, tu colles aussi le petit bout de code où se trouve ta clé de connexion, sans trop savoir ce que c’est. Trente secondes plus tard, le bug a disparu. Sauf que protéger ses données en ligne, ça commence justement par ce genre de réflexe : tu viens peut-être de laisser les clés de ta maison sur le paillasson.

Je ne te dis pas ça pour te faire peur, ni pour que tu arrêtes d’utiliser l’IA. Je l’utilise tous les jours, y compris pour construire des choses dans mon propre business. Ce que je veux, c’est que tu l’utilises avec les bons réflexes, ceux qu’on t’enseigne nulle part quand on se lance.

Récemment, j’ai eu un rappel très concret du sujet. En fêtant l’anniversaire d’une copine dans un bar à Lille, je me suis fait voler mon sac. Entre le dépôt de plainte, la localisation de mon téléphone, les oppositions à faire et mon trousseau de clés envolé avec mon chiot seul à l’appart, la fin de soirée n’a pas ressemblé à ce que j’avais prévu. J’ai fini par récupérer le sac avec mes clés et mon passeport, mais pas mon téléphone (acheté en juillet), ni mes AirPods, ni ma carte d’identité. Ce qui m’a le plus marquée, c’est ce que cette histoire a révélé sur les protections dont on parle trop peu, et j’y reviens plus bas.

Protéger ses données en ligne : que ne jamais envoyer à une IA ?

Quand tu travailles avec une IA, t’as envie de lui donner un maximum de contexte, parce que c’est comme ça qu’elle t’aide le mieux. C’est vrai : plus tu expliques ta situation, plus la réponse est utile. Mais quatre familles d’informations ne devraient jamais partir dans une conversation.

Les clés API

Une clé API, c’est un badge d’accès qui permet à un outil d’en utiliser un autre. Ton site qui envoie un email grâce à ton service d’emailing, ta boutique qui se connecte à ton paiement, ton formulaire qui écrit dans ta base de données : à chaque fois, il y a une clé, une longue suite de lettres et de chiffres qui dit « oui, c’est bien moi, laisse-moi entrer ». Quiconque possède cette clé peut faire à peu près tout ce que fait ton site avec cet outil : envoyer des emails à ta place, lire ta base de données, parfois lancer des dépenses sur ton compte.

Quand tu veux partager du code pour un bug, remplace la clé par « MA_CLE » avant de coller. Ça prend dix secondes.

Les mots de passe

Ça paraît évident dit comme ça, et pourtant des personnes de mon entourage ont déjà fait la boulette, par réflexe, un soir de fatigue, quand on en a marre de s’arracher les cheveux. Une IA n’a pas besoin de ton mot de passe pour t’expliquer comment te connecter. Elle peut te guider pas à pas sans connaître tes codes. Et quand tu laisses un outil agir à ta place, passe par les connexions sécurisées prévues pour ça plutôt que par un copier-coller de tes identifiants.

Les données de tes clientes

Leurs noms, leurs emails, leurs numéros, leurs projets, ce qu’elles t’ont confié dans un questionnaire ou pendant un appel. Quand tu colles un export de ta base de contacts dans une IA pour « faire un tri rapide », tu partages des données qui ne t’appartiennent pas vraiment. Elles t’ont été confiées pour un usage précis. Si tu veux travailler dessus, anonymise d’abord : retire les noms, les emails, les numéros. Même vigilance quand un projet est confidentiel et qu’on t’a demandé de ne pas en parler.

Les documents sensibles

Contrats, devis détaillés avec des chiffres confidentiels, pièces d’identité, bilan, relevé bancaire. Avant de coller quoi que ce soit, pose-toi cette question : si quelqu’un d’autre lisait ce texte, est-ce que ça me poserait un problème ? Si oui, tu ne le colles pas, ou tu caviardes.

Une bonne habitude à prendre en plus : va regarder les réglages de confidentialité de l’outil que tu utilises. Dans la plupart des cas, tu peux choisir si tes conversations servent à entraîner le modèle et si elles sont conservées. Ça prend cinq minutes, une seule fois.

Pourquoi un site créé avec l’IA n’est pas protégé par défaut ?

Avec des outils comme Claude Code, Lovable ou Bolt, tu peux aujourd’hui créer un site ou un petit outil sur mesure en quelques heures, parfois sans écrire une ligne de code. C’est puissant, et je pense que c’est une vraie ouverture pour les solopreneuses. Mais il y a un angle mort énorme.

Pour le comprendre, imagine un restaurant. La salle, c’est la partie visible de ton site : tes textes, tes images, tes boutons. La cuisine et la réserve, c’est la partie cachée, celle où se trouvent tes données : les contacts qui s’inscrivent, les messages du formulaire, les commandes, les comptes. La salle est publique par principe. La réserve, elle, doit être fermée à clé, avec des règles précises sur qui entre et pour prendre quoi.

Quand tu demandes à une IA un site avec un formulaire d’inscription, elle construit très bien la salle et branche la réserve pour que ça fonctionne. Elle ne pense pas toujours à la verrouiller, sauf si tu le demandes précisément ou que tu sais quoi demander. Tu te retrouves avec un site qui marche en apparence, où les données arrivent bien, et où ces données sont accessibles à quelqu’un qui sait où regarder.

Trois cas reviennent souvent. Une clé qui devrait rester côté serveur se retrouve dans le code que le navigateur télécharge, donc lisible par n’importe qui en ouvrant les outils de son navigateur. Une base de données reste en mode « ouvert à tous », parce que c’était pratique pendant les tests et qu’on a oublié de resserrer les règles avant la mise en ligne : les emails de tes inscrites et les messages de ton formulaire deviennent lisibles. Un fichier de configuration contenant des accès part par erreur sur un espace de code public.

Les quatre réflexes qui changent la donne

Pas besoin d’apprendre la cybersécurité. Voilà ce qui compte vraiment.

Une fois ton site construit, demande à l’IA elle-même de faire un audit de sécurité : « Vérifie s’il y a des clés ou des mots de passe visibles dans le code, vérifie les règles d’accès à ma base de données, et dis-moi ce qui n’est pas protégé. » Ce n’est pas infaillible, mais c’est une première couche que trop de gens sautent.

Sépare ce qui est public de ce qui est secret. Tes clés vont dans ce qu’on appelle des variables d’environnement, un coffre prévu par la plateforme qui héberge ton site, et jamais directement dans le code. Si tu ne sais pas faire, demande à l’IA de t’expliquer pas à pas pour ta plateforme précise.

Pour chaque donnée collectée, demande-toi si t’en as vraiment besoin. Moins tu stockes, moins tu risques. Si ton formulaire n’a pas besoin d’une date de naissance, ne la demande pas.

Dès que ton outil gère quelque chose de sensible (paiements, données de santé, comptes clientes, beaucoup d’informations personnelles), fais-le relire par quelqu’un qui s’y connaît. L’IA ne suffit pas là, et le dire n’a rien de gênant : c’est un signe de sérieux.

Pour mes propres outils, comme mon audit gratuit, l’IA a fait une partie du travail, mais tout est sécurisé derrière. J’utilise des outils comme GitHub, Vercel ou Supabase, qui me permettent de garder des environnements sécurisés, de contrôler les données et de savoir ce qui se passe concrètement. Il y a toujours un contrôle humain, et pour mes clientes en maintenance, je vérifie chaque semaine que tout va bien.

Pourquoi pirater quelqu’un est devenu si facile ?

Je ne pense pas à des hackers à capuche dans un sous-sol. Je pense aux outils, aux tutoriels et maintenant à l’IA, qui ont fait baisser la barrière d’entrée. Quelqu’un avec peu de compétences peut lancer des attaques qui demandaient de vraies connaissances il y a quelques années.

L’attaque la plus courante joue sur toi, bien plus que sur la technique : un faux message, un faux appel, un faux email qui ressemble à celui de ta banque, de ton hébergeur ou de ton outil de paiement. Ça marche parce que ça arrive au mauvais moment, quand t’es fatiguée ou pressée.

Cet été, un peu avant mes 30 ans, j’ai failli me faire avoir par une arnaque bancaire. Tout était parfaitement ficelé. L’homme au téléphone avait des informations sur moi, qui venaient, je l’ai su après coup, d’une faille de données chez Bouygues en 2025. Ce qui m’a mis la puce à l’oreille, c’est qu’on me demandait un virement vers Revolut. J’ai eu ensuite un autre homme en ligne, impatient, désagréable parce que je ne voulais pas le faire. J’ai raccroché et appelé le numéro d’urgence de ma banque, qui m’a confirmé que des dizaines de personnes se faisaient piéger chaque jour avec ce scénario. Je pensais que ça n’arrivait qu’aux autres. Même prévenue, ça peut arriver.

Ma règle d’or : quand on te met la pression, tu ralentis. Une arnaque fonctionne grâce à l’urgence. « Votre compte sera bloqué dans une heure », « action immédiate requise », « appelez ce numéro tout de suite ». Si tu sens ce petit coup de stress qui pousse à agir vite, c’est un signal. Tu ne cliques pas sur le lien, tu ne rappelles pas le numéro donné, tu vas directement sur le site ou l’application de l’organisme en tapant toi-même l’adresse, et tu vérifies. Et si on travaille ensemble et qu’un de tes outils te remonte une alerte, appelle-moi, on regarde ça ensemble.

L’IA rend aussi ces arnaques plus crédibles : emails sans faute, messages bien rédigés, voix imitées. Chercher les fautes d’orthographe ne suffit plus. Ce qui te reste, c’est la procédure : tu ne décides jamais sous pression, tu vérifies par un autre chemin.

Et tu n’es pas « trop petite pour être ciblée ». Les attaques sont souvent automatisées, elles balayent des milliers de sites et de comptes sans regarder qui il y a derrière. Ce sont les protections faibles qui tombent en premier.

La double authentification protège-t-elle vraiment ton business ?

Oui, c’est ton meilleur filet de sécurité. Le principe : au lieu d’un seul élément (ton mot de passe), tu en utilises deux, ce que tu sais et ce que t’as, comme ton téléphone ou une application. Même si quelqu’un trouve ton mot de passe, il ne peut pas entrer sans le deuxième. Une porte à deux serrures différentes.

Active-la en priorité sur ta boîte mail principale (c’est elle qui réinitialise tous tes autres accès), sur ta banque, sur l’administration de ton site, ton hébergeur et ton nom de domaine, puis sur tes outils de paiement et tes réseaux sociaux. Si t’as le choix, préfère une application d’authentification au code reçu par SMS, qui peut être intercepté dans certaines attaques. Google Authenticator est très répandu. Moi, j’utilise la suite Proton, plus sécurisée et chiffrée, donc Proton Authenticator.

Mon sac volé m’a aussi appris quelque chose. Sans mon téléphone, je n’ai pas pu me connecter à ma banque pro, parce que mon téléphone volé était enregistré comme « téléphone de confiance ». J’ai dû appeler l’assistance, envoyer des mails, montrer mon passeport pour prouver que c’était bien moi. Sur le moment, j’étais agacée. Avec du recul, ça m’a rassurée : si quelqu’un avait volé mon téléphone avec de mauvaises intentions, il n’aurait pas pu en faire n’importe quoi. La contrainte qui m’a énervée est exactement ce qui me protège. C’est un bon critère pour choisir tes outils : entre deux solutions, prends celle qui prend la sécurité au sérieux, même si elle t’embête un peu de temps en temps.

Dernière précaution : ne mets pas tous tes œufs dans le même panier. Si ton téléphone est ta seule clé pour tout, le perdre te bloque partout en même temps. Garde les codes de secours donnés à l’activation dans un endroit sûr, pas sur le même appareil, et prévois une deuxième méthode de récupération si c’est possible.

Comment gérer tes mots de passe et tes accès ?

Un bon mot de passe est long, unique et impossible à deviner. Long, parce que la longueur compte plus que les symboles compliqués : une phrase de plusieurs mots vaut mieux qu’un mot court avec des chiffres. Unique, parce que si tu le réutilises partout, le jour où un service est piraté, tous tes comptes sont exposés d’un coup. Impossible à deviner, donc ni ta date de naissance ni le prénom de ton chien.

Personne ne retient des dizaines de mots de passe longs et uniques, alors utilise un gestionnaire de mots de passe : un coffre numérique qui les génère et les retient pour toi, avec un seul code principal costaud à mémoriser. Certains sont gratuits ou intégrés à ton navigateur ou ton téléphone. Le principal, c’est d’en utiliser un plutôt que de noter tes codes dans un fichier sur ton bureau ou dans les notes de ton téléphone.

Ensuite, tu ne partages ton mot de passe avec personne, pas à ta prestataire, pas à ton assistante virtuelle, pas à ton frère. La plupart des outils permettent d’inviter quelqu’un avec ses propres identifiants et des droits limités. Tu peux lui retirer l’accès d’un clic quand la mission est terminée, sans tout changer.

Fais aussi le tri de tes comptes admin au moins une fois par an. Avec le temps, on accumule : un compte créé pour tester, un autre pour une prestataire partie il y a deux ans, un « admin2 » oublié. Chacun est une porte potentielle. Ouvre la liste des utilisatrices de ton site, de ton hébergeur et de tes outils principaux, supprime ce qui ne sert plus, et donne à celles qui restent le niveau d’accès minimum nécessaire. Quelqu’un qui écrit des articles n’a pas besoin d’être administratrice.

Au moindre doute, change le mot de passe : un mauvais pressentiment après un clic, un accès prêté dont tu n’es plus sûre, un service qui annonce avoir été piraté. Ça te prend cinq minutes, alors qu’ignorer un doute peut te coûter des semaines. Et si ton site est sur WordPress, les mises à jour régulières et les sauvegardes font partie de la sécurité, avec des sauvegardes stockées ailleurs que sur le même endroit que ton site.

Quel plan d’action pour sécuriser ton activité en 30 minutes ?

Dans les dix premières minutes, active la double authentification sur ta boîte mail principale et sur ta banque. Rien d’autre. Si tu ne fais que ça, t’as déjà énormément réduit ton risque.

Dans les dix suivantes, ouvre ton gestionnaire de mots de passe et change ceux de ta boîte mail et de l’accès à ton site avec des mots de passe longs et uniques générés par l’outil.

Pour les dix dernières, fais le tour des accès : la liste des utilisatrices de ton site et de ton hébergeur. Repère les comptes que tu ne reconnais pas ou qui ne servent plus, et note ce que tu supprimeras ou limiteras.

Quand t’auras un peu plus de temps, vérifie les réglages de confidentialité de tes outils d’IA, fais passer un audit de sécurité à tes outils créés avec l’IA, et prends l’habitude de retirer clés et mots de passe avant de coller quoi que ce soit.

Et maintenant ?

Quand on bâtit son business toute seule, on se retrouve vite sans personne à qui demander « est-ce que c’est normal que mon site fonctionne comme ça ? » ou « est-ce que j’ai vraiment fermé ce qu’il fallait fermer ? ». Si tu veux un regard sur ton écosystème, avec ses forces et ses points fragiles, tu peux déposer une candidature pour un suivi 1:1 (c’est sur candidature, pour que le choix soit réciproque). Si tu préfères avancer dans un cadre avec d’autres entrepreneures, tu trouveras tout sur la page du HUB, avec son statut et la liste d’attente. Et pour un premier pas sans rien engager, il y a mon audit gratuit d’une vingtaine de questions : t’as juste à cliquer ici !

Si tu veux comprendre comment tout cet écosystème tient ensemble, ma page sur la stratégie digitale pose les bases, et celle sur l’automatisation et l’IA explique comment s’équiper sans se mettre en danger.

Cette semaine, fais ton plan de trente minutes. Une seule chose, même petite, vaut mieux que rien. Se sentir protégée, ça libère aussi de l’énergie pour le reste.