La rentrée est souvent le moment où l’on remet de l’ordre dans son agenda, ses abonnements et ses dossiers. C’est aussi une excellente occasion de faire un contrôle simple de son hygiène numérique.

L’objectif n’est pas de transformer chaque particulier, parent ou collaborateur en expert en cybersécurité. Il s’agit de vérifier quelques points essentiels, dans un ordre cohérent : être capable de récupérer ses données, protéger ses accès, corriger les vulnérabilités connues, puis réduire les autres risques du quotidien.

Cette hiérarchie repose sur une réalité opérationnelle. Malgré toutes les précautions prises, aucun système n’est totalement à l’abri d’une panne, d’un vol, d’une erreur humaine ou d’une cyberattaque. Une bonne cybersécurité ne consiste donc pas seulement à empêcher l’incident. Elle doit aussi permettre d’en limiter les conséquences et de reprendre rapidement une activité normale.

Dans quel ordre faut-il traiter les risques cyber ?

Nous recommandons de commencer par quatre priorités.

La première concerne les sauvegardes et la capacité de restauration. Une sauvegarde réellement exploitable peut permettre de récupérer les photos d’une famille après le vol d’un téléphone, comme de relancer une entreprise après une attaque par rançongiciel.

La deuxième porte sur la protection des accès : authentification multifacteur, gestionnaire de mots de passe, séparation des comptes et limitation des privilèges.

La troisième concerne les mises à jour. Lorsqu’une vulnérabilité est connue et qu’un correctif existe, différer son installation revient parfois à laisser une porte ouverte.

Viennent ensuite les autres mesures d’hygiène numérique : vigilance face aux tentatives de fraude, maîtrise des données partagées, configuration des appareils, gestion des applications et préparation à l’incident.

Cet ordre n’est cependant pas absolu. Pour une personne dont la messagerie principale permet de réinitialiser tous les autres comptes, la protection de cette adresse électronique est aussi urgente que la sauvegarde de ses données. Dans une entreprise, il est également impossible d’organiser correctement les sauvegardes et les mises à jour sans savoir précisément quels systèmes, applications et données doivent être protégés.

Il faut donc comprendre cette hiérarchie comme un ordre de travail, et non comme une invitation à repousser indéfiniment les mesures suivantes.

1. La checklist cybersécurité des particuliers

Vérifier que ses données sont réellement sauvegardées

Synchroniser des fichiers dans le cloud n’est pas toujours équivalent à les sauvegarder. Si un document est supprimé, chiffré ou remplacé sur un appareil, cette modification peut être automatiquement répercutée sur les autres appareils synchronisés.

Commencez par identifier ce que vous ne voudriez vraiment pas perdre : photos, vidéos, documents administratifs, dossiers professionnels, créations personnelles, contacts ou archives de messagerie.

Vérifiez ensuite que ces données existent à au moins deux endroits différents. Pour les fichiers les plus importants, la règle dite « 3-2-1 » constitue un bon objectif : conserver trois copies des données, sur deux supports distincts, dont une copie hors ligne ou située hors du domicile. Cette règle est également recommandée par l’ANSSI dans ses ⁠fondamentaux relatifs à la sauvegarde des systèmes d’information.

Concrètement, une famille peut conserver ses fichiers sur son ordinateur, utiliser un service de sauvegarde en ligne et réaliser périodiquement une copie sur un disque externe. Ce disque ne doit pas rester continuellement connecté à l’ordinateur : un rançongiciel pourrait également chiffrer son contenu.

La rentrée est surtout l’occasion de réaliser le contrôle que beaucoup oublient : essayez de restaurer quelques fichiers. Une sauvegarde qui n’a jamais été testée reste une hypothèse.

À faire cette semaine :

• Vérifier la date de la dernière sauvegarde de chaque ordinateur et smartphone.
• Contrôler que les photos et documents importants sont bien inclus.
• Déconnecter le support de sauvegarde lorsqu’il n’est pas utilisé.
• Restaurer un fichier choisi au hasard.
• Noter la procédure à suivre pour récupérer ses données après la perte complète d’un appareil.

Protéger en priorité sa messagerie et ses comptes essentiels

La messagerie électronique est souvent la clé maîtresse de notre vie numérique. Elle permet de réinitialiser les mots de passe des réseaux sociaux, des services administratifs, des plateformes commerciales et parfois même d’applications professionnelles.

Activez l’authentification multifacteur en priorité sur :

• votre messagerie principale ;
• vos comptes Apple, Google ou Microsoft ;
• vos services bancaires et de paiement ;
• vos réseaux sociaux ;
• vos espaces administratifs ;
• votre gestionnaire de mots de passe ;
• les services contenant des documents ou des photos.

Lorsque plusieurs méthodes sont proposées, une clé de sécurité physique ou une passkey offre généralement une meilleure résistance au phishing qu’un code reçu par SMS. Une application d’authentification reste néanmoins préférable à l’utilisation d’un mot de passe seul.

Téléchargez et conservez également les codes de récupération. Ils doivent être placés dans un endroit distinct de l’appareil utilisé pour s’authentifier. Sans cela, la perte d’un téléphone peut se transformer en perte d’accès à plusieurs comptes.

Un gestionnaire de mots de passe permet par ailleurs d’utiliser un mot de passe différent pour chaque service. Le mot de passe principal doit être long, unique et mémorisable. Il ne doit jamais être réutilisé ailleurs.

À faire cette semaine :

• Activer la double authentification sur sa messagerie principale.
• Remplacer les mots de passe réutilisés sur plusieurs sites.
• Installer et configurer un gestionnaire de mots de passe.
• Vérifier les numéros de téléphone et adresses de récupération.
• Télécharger les codes de secours.
• Fermer les anciennes sessions et supprimer les appareils inconnus.

Mettre à jour tous les équipements, pas seulement l’ordinateur

Les smartphones et les ordinateurs sont généralement mis à jour assez régulièrement. Les équipements périphériques sont beaucoup plus souvent oubliés : box Internet, routeur Wi-Fi, NAS, imprimante, télévision connectée, caméra, montre, console de jeux ou objet domotique.

Activez les mises à jour automatiques lorsqu’elles sont disponibles. Pour les appareils qui ne sont plus maintenus par leur fabricant, demandez-vous s’ils doivent réellement rester connectés au réseau.

Profitez également de ce contrôle pour supprimer les applications inutilisées. Chaque logiciel conservé constitue une surface supplémentaire à maintenir et potentiellement à attaquer.

À faire cette semaine :

• Installer les mises à jour en attente sur tous les téléphones et ordinateurs.
• Mettre à jour le navigateur et ses extensions.
• Vérifier le firmware de la box, du routeur, du NAS et des objets connectés.
• Supprimer les logiciels et extensions inutilisés.
• Remplacer les appareils qui ne reçoivent plus de correctifs de sécurité.

Préparer la perte ou le vol d’un téléphone

Le téléphone contient souvent des photographies, des conversations, des moyens de paiement et des accès déjà authentifiés. Sa perte peut donc être plus grave que celle d’un portefeuille.

Activez le verrouillage automatique, la biométrie et la fonction de localisation de l’appareil. Vérifiez également que vous connaissez le code PIN de la carte SIM et que les notifications sensibles ne s’affichent pas intégralement sur l’écran verrouillé.

Notez enfin, dans un endroit accessible, la marche à suivre pour localiser, verrouiller ou effacer l’appareil à distance. Cette procédure doit pouvoir être exécutée depuis un autre équipement.

Faire le ménage dans ses comptes et ses partages

Supprimez les comptes que vous n’utilisez plus et révoquez les accès accordés à d’anciennes applications. Sur les services cloud, contrôlez les dossiers et albums accessibles par un lien public.

Ce ménage doit aussi concerner les réseaux sociaux. Vérifiez qui peut consulter votre profil, vos publications, votre numéro de téléphone, votre adresse électronique ou votre localisation. Certaines informations anodines, comme une date de naissance, un établissement scolaire ou une période de vacances, peuvent faciliter une fraude ciblée.

2. La checklist cybersécurité pour les enfants

La cybersécurité des enfants ne peut pas reposer uniquement sur le contrôle parental. Celui-ci peut réduire certains risques, mais il ne remplace ni le dialogue ni l’apprentissage de bons réflexes.

L’objectif n’est pas de leur faire peur. Il faut leur donner une procédure simple lorsqu’une situation les met mal à l’aise : ne pas répondre, conserver les preuves et venir immédiatement en parler à un adulte.

Sécuriser les appareils avant la rentrée

Les tablettes, téléphones et ordinateurs utilisés par les enfants doivent disposer d’un compte distinct de celui des parents. L’enfant ne devrait pas pouvoir installer librement une application ou modifier les principaux réglages de sécurité.

Configurez les mises à jour automatiques, le verrouillage de l’écran et les restrictions adaptées à son âge. Vérifiez les paramètres de confidentialité des jeux, réseaux sociaux et services de messagerie qu’il utilise.

Le ⁠guide destiné aux familles publié par la CNIL, Cybermalveillance.gouv.fr et l’UNAF recommande notamment d’accompagner les enfants dans le paramétrage de leurs comptes et d’expliquer l’utilité du contrôle parental.

Leur apprendre cinq règles faciles à retenir

Un enfant doit savoir qu’un mot de passe ne se partage pas, même avec un camarade. Il doit également comprendre qu’une personne rencontrée dans un jeu ou sur un réseau social n’est pas nécessairement celle qu’elle prétend être.

Avant de publier une photographie ou une vidéo d’une autre personne, il faut demander son accord. Une image envoyée dans une conversation privée peut être copiée, enregistrée ou repartagée.

Un cadeau virtuel, un concours ou un message alarmant ne justifie jamais de communiquer un mot de passe, un code reçu par SMS ou des informations bancaires.

Un enfant ne doit pas avoir à gérer seul une menace, un chantage, du harcèlement ou la diffusion d’un contenu intime.

Enfin, il ne doit pas supprimer immédiatement les messages problématiques. Des captures d’écran, les identifiants des comptes et les liens peuvent être nécessaires pour signaler les faits.

Une phrase simple peut servir de consigne familiale : « Si un message te fait peur, te met mal à l’aise ou te demande de garder un secret, tu ne réponds pas et tu viens nous voir. »

Vérifier les nouveaux outils scolaires

À chaque rentrée apparaissent de nouveaux comptes : espace numérique de travail, messagerie, plateforme pédagogique, application de transport ou activité extrascolaire.

Pour chacun d’eux, vérifiez :

• que le mot de passe initial a été remplacé ;
• qu’il n’est pas réutilisé sur un autre service ;
• que l’adresse de récupération appartient bien à la famille ;
• que le profil ne révèle pas inutilement d’informations personnelles ;
• que l’application téléchargée est bien l’application officielle ;
• que les autorisations demandées sont cohérentes avec le service rendu.

Pour les plus jeunes, les identifiants peuvent être conservés dans le gestionnaire de mots de passe familial plutôt que sur une feuille glissée dans le cartable.

Discuter de l’intelligence artificielle

La rentrée 2026 impose d’ajouter un nouveau réflexe : ne jamais transmettre à un outil d’intelligence artificielle une photographie intime, un document scolaire contenant des données personnelles, un dossier médical, un mot de passe ou des informations confidentielles sur une autre personne.

Les enfants doivent aussi savoir qu’une image, une voix ou une vidéo peut être générée ou manipulée. Une demande urgente semblant provenir d’un proche doit être vérifiée par un autre canal.

Cette éducation critique est désormais aussi importante que l’apprentissage du phishing classique.

Faire un exercice familial

Choisissez un exemple de faux SMS de livraison, de message de jeu vidéo ou de compte piraté. Demandez à l’enfant ce qui lui paraît suspect et ce qu’il ferait.

L’exercice doit aboutir à une règle très simple : en cas de doute, on s’arrête et on demande de l’aide. Il vaut mieux vérifier dix messages légitimes que répondre seul à une tentative de fraude.

Cybermalveillance.gouv.fr propose également des ressources destinées aux familles et une campagne de sensibilisation spécifiquement conçue pour les jeunes, ⁠Cyber en Clair.

3. La checklist cybersécurité au travail

En entreprise, la rentrée présente une configuration particulière : retour de congés, accumulation de messages, arrivée de nouveaux collaborateurs, renouvellement de prestataires et reprise de projets parfois laissés en pause. Cette période crée un terrain favorable aux erreurs, aux fraudes au président et aux campagnes de phishing.

La checklist doit donc dépasser la simple communication de sensibilisation. Elle doit conduire à des contrôles vérifiables.

Tester la capacité réelle de restauration

Il ne suffit pas qu’un tableau de bord affiche des sauvegardes en vert. L’entreprise doit savoir quelles données sont sauvegardées, pendant combien de temps, où elles sont stockées et dans quel ordre les systèmes devront être restaurés.

Pour chaque service critique, il faut définir deux objectifs :

• le RPO, c’est-à-dire la quantité maximale de données que l’organisation accepte de perdre ;
• le RTO, c’est-à-dire la durée maximale acceptable avant la reprise du service.

Une sauvegarde quotidienne ne répond pas à un besoin de reprise avec moins d’une heure de perte de données. De même, conserver plusieurs téraoctets dans le cloud ne garantit pas qu’ils pourront être téléchargés et restaurés dans les délais attendus.

Organisez un test de restauration portant sur un service représentatif. Mesurez le temps nécessaire, documentez les difficultés et vérifiez que les personnes compétentes, les secrets, les licences et les fichiers de configuration sont disponibles.

L’ANSSI recommande notamment de séparer l’infrastructure de sauvegarde de la production, d’utiliser des comptes d’administration dédiés, de maintenir une copie hors ligne et de tester régulièrement la restauration. Cette séparation est essentielle, car les attaquants cherchent fréquemment à supprimer ou à chiffrer les sauvegardes avant de déclencher leur attaque.

Contrôles à réaliser :

• Établir la liste des applications et données critiques.
• Vérifier les RPO et RTO avec les responsables métiers.
• Contrôler les alertes et les journaux de sauvegarde.
• Vérifier l’existence d’une copie hors ligne ou immuable.
• S’assurer que les comptes de sauvegarde sont distincts des comptes de production.
• Tester une restauration complète.
• Documenter l’ordre de redémarrage des services.
• Prévoir une procédure permettant d’isoler immédiatement les sauvegardes en cas d’attaque.

Revoir les accès et les privilèges

La rentrée est le bon moment pour rapprocher les droits informatiques de la réalité de l’organisation.

Les comptes des personnes parties doivent être désactivés. Les collaborateurs ayant changé de fonction ne doivent pas conserver automatiquement leurs anciens droits. Les comptes de prestataires doivent avoir une date d’expiration et les accès administrateurs doivent être limités aux personnes qui en ont réellement besoin.

L’authentification multifacteur doit être imposée sur la messagerie, les accès distants, les services cloud, les outils d’administration, les plateformes de développement et les applications manipulant des données sensibles.

Un administrateur ne devrait pas utiliser son compte privilégié pour consulter ses e-mails ou naviguer sur Internet. Il doit disposer d’un compte courant pour son activité quotidienne et d’un compte séparé pour les opérations d’administration.

Contrôles à réaliser :

• Exporter la liste des comptes actifs.
• Comparer cette liste à celle des salariés et prestataires présents.
• Désactiver les comptes orphelins ou inutilisés.
• Réexaminer les groupes administrateurs.
• Vérifier que le MFA est effectivement appliqué, sans exception injustifiée.
• Révoquer les sessions anciennes et les appareils inconnus.
• Faire expirer les accès temporaires.
• Contrôler les applications tierces autorisées à accéder à Microsoft 365, Google Workspace ou aux autres services SaaS.

Rattraper les mises à jour en attente

Le patch management doit commencer par un inventaire. Une entreprise ne peut pas corriger ce qu’elle ne sait pas posséder.

Il faut recenser les postes de travail, serveurs, machines virtuelles, équipements réseau, applications exposées sur Internet, logiciels métiers, hyperviseurs, solutions de sauvegarde et équipements de sécurité.

La priorité doit être donnée aux vulnérabilités activement exploitées, aux services exposés sur Internet et aux composants donnant accès à des privilèges importants. Les VPN, pare-feu, passerelles de messagerie et solutions de sauvegarde méritent une attention particulière.

Contrôles à réaliser :

• Identifier les équipements qui ne remontent plus dans l’outil de gestion.
• Installer les correctifs critiques en attente.
• Mettre à jour les navigateurs, extensions et logiciels de télémaintenance.
• Vérifier les versions des pare-feu, VPN, NAS et hyperviseurs.
• Retirer ou isoler les systèmes arrivés en fin de support.
• Fixer un délai de traitement selon la criticité des vulnérabilités.
• Contrôler que les mises à jour ont réellement été installées, et pas seulement programmées.

Vérifier la résistance aux fraudes de rentrée

Une campagne de sensibilisation générique est rarement suffisante. Les collaborateurs doivent connaître les scénarios susceptibles de les viser dans leur métier : changement de RIB, fausse facture, demande urgente d’un dirigeant, invitation à partager un document, faux support informatique ou demande de réinitialisation d’un accès.

Les procédures internes doivent prévoir une vérification hors bande. Un changement de coordonnées bancaires, par exemple, ne devrait jamais être validé uniquement sur la base d’un e-mail. Il doit être confirmé à l’aide d’un numéro déjà connu, et non de celui indiqué dans le message reçu.

Il faut également rappeler qu’un appel vidéo ou un message vocal ne constitue plus nécessairement une preuve d’identité suffisante. Les techniques d’usurpation assistées par intelligence artificielle renforcent l’importance des procédures de validation.

S’assurer que l’entreprise sait quoi faire en cas d’incident

Les premières minutes ont souvent une influence importante sur l’étendue d’un incident. Pourtant, de nombreuses organisations ne savent pas immédiatement qui contacter ni quelles mesures prendre.

Une fiche courte doit préciser :

• qui alerter en interne ;
• comment joindre le prestataire informatique ou l’équipe de réponse à incident ;
• qui peut décider d’isoler un poste, un serveur ou un site ;
• où trouver les contrats d’assurance cyber ;
• comment contacter l’assureur ou le courtier ;
• quelles informations préserver ;
• quels organismes devront éventuellement être informés ;
• quels moyens de communication utiliser si la messagerie habituelle est indisponible.

Cette fiche doit exister en dehors du système d’information. Elle ne sera d’aucune utilité si elle est inaccessible au moment où les serveurs et la messagerie sont chiffrés.

Pour les assureurs et les courtiers, ce point est particulièrement important. La qualité des premières actions, la préservation des traces et la rapidité de mobilisation des intervenants peuvent conditionner l’analyse de l’incident, la maîtrise des pertes d’exploitation et l’efficacité de l’accompagnement assuré.

Une heure pour réaliser son contrôle de rentrée

Une checklist utile doit rester réalisable. Pour un particulier ou une famille, une heure peut suffire pour vérifier les sauvegardes, activer le MFA sur les comptes principaux, installer les mises à jour et revoir quelques paramètres de confidentialité.

Dans une entreprise, le même exercice doit être organisé comme un contrôle piloté, avec un responsable, des preuves et des dates de correction. Une case cochée ne vaut pas démonstration : la présence d’une sauvegarde doit être confirmée par une restauration, l’activation du MFA par un contrôle de configuration et le déploiement d’un correctif par un état de conformité.

La rentrée peut ainsi devenir un rendez-vous annuel simple, au même titre qu’un exercice d’évacuation ou qu’une révision comptable. Mais les mesures essentielles ne doivent pas attendre septembre prochain. Les sauvegardes doivent être surveillées en continu, les accès réexaminés lors de chaque mouvement de personnel et les vulnérabilités corrigées selon leur niveau de criticité.

La cybersécurité la plus efficace n’est pas nécessairement la plus spectaculaire. C’est celle qui transforme quelques principes fondamentaux en habitudes vérifiables : savoir restaurer, protéger les clés d’accès, corriger rapidement et être prêt à réagir.

Titre SEO : Checklist cybersécurité de la rentrée 2026 : particuliers, enfants et entreprises
Méta-description : Sauvegardes, MFA, mots de passe, mises à jour et réaction aux incidents : la checklist cybersécurité pratique de la rentrée pour les familles, les enfants et les entreprises.
Mots-clés principaux : checklist cybersécurité, cybersécurité rentrée 2026, hygiène informatique, sauvegarde informatique, authentification multifacteur, MFA, protection des enfants en ligne, patch management, sécurité informatique entreprise, plan de reprise d’activité.