Mots de passe sécurisés et que faire en cas de mot de passe compromis

Un bon mot de passe est la protection la plus importante de votre site et de votre messagerie. Cet article explique quels mots de passe sont liés à votre pack, comment les rendre sûrs et que faire si l'un d'eux a été compromis.

Quels mots de passe avez-vous ?

Ces mots de passe sont indépendants les uns des autres. Si vous modifiez votre mot de passe DA, vos mots de passe de boîte mail, de base de données et de site ne changent pas.

Un mot de passe sécurisé

• Long : au moins 15 caractères. La longueur rend un mot de passe bien plus robuste que des caractères bizarres. Une phrase de passe composée de cinq ou six mots choisis au hasard est solide tout en restant mémorisable.
• Vraiment aléatoire : laissez un gestionnaire de mots de passe choisir le mot de passe ou les mots. Un mot de passe que vous inventez vous-même, comme un mot avec une année et un point d'exclamation, suit presque toujours un schéma que les pirates essaient en premier.
• Unique : utilisez chaque mot de passe à un seul endroit. S'il fuit sur un autre site, votre pack reste en sécurité.
• Impossible à deviner : pas de nom, de date de naissance, de nom d'entreprise ou de nom de domaine.
• Conservé dans un gestionnaire de mots de passe, comme Bitwarden, 1Password ou le gestionnaire de mots de passe de votre navigateur. Celui-ci peut aussi générer des mots de passe forts pour vous. Dans Mon WebOké, c'est possible avec Générer au niveau du mot de passe DA.
• Non partagé par e-mail, WhatsApp ou un post-it sur votre écran.
• Pas de changement sans raison : un mot de passe fort et unique n'a pas besoin d'être changé tous les quelques mois. Changez-le toutefois immédiatement s'il y a une raison, par exemple une notification de fuite de données ou un collègue qui quitte l'entreprise et connaissait le mot de passe.

Ces recommandations suivent les directives du NIST américain (SP 800-63B-4) ainsi que les conseils du Centre National de Cybersécurité néerlandais (NCSC). Certains systèmes imposent en outre leurs propres exigences, comme une majuscule, un chiffre ou un caractère spécial. Ajoutez-les alors à votre mot de passe long.

Sécurité supplémentaire

• Activez l'Authentification à deux facteurs dans DirectAdmin (voir Configurer l'authentification à deux facteurs) et utilisez une application d'authentification pour Mon WebOké.
• Ne donnez pas accès à d'autres personnes avec votre propre mot de passe. Créez un compte FTP dédié pour un développeur web (voir Créer et gérer des comptes FTP) ou une clé de connexion avec une date d'expiration (voir Clés de connexion : se connecter pour des scripts et des programmes).
• Déconnectez-vous d'un ordinateur que vous partagez avec d'autres personnes (voir Se déconnecter et fermer la session en toute sécurité).

Vous pensez qu'un mot de passe a fuité ?

Par exemple parce que vous avez reçu une notification de fuite de données, que vous voyez une adresse IP inconnue dans l'Historique de connexion, ou que des e-mails sont soudainement envoyés en votre nom. Procédez alors comme suit :

1. Changez le mot de passe immédiatement. S'il s'agit de DirectAdmin, définissez un nouveau mot de passe DA dans Mon WebOké (voir Votre mot de passe DA définir ou modifier). Cela fonctionne même si quelqu'un d'autre a déjà modifié l'ancien mot de passe.
2. Mettez fin à toutes les autres sessions dans DirectAdmin : Profil, onglet Sessions, BEËINDIG ALLE ANDERE (voir Se déconnecter et fermer la session en toute sécurité).
3. Vérifiez l'Historique de connexion à la recherche d'adresses IP inconnues (voir Historique de connexion : qui s'est connecté et quand ?).
4. Vérifiez les Clés de connexion et supprimez les clés que vous ne reconnaissez pas (voir Clés de connexion : se connecter pour des scripts et des programmes).
5. Vérifiez vos comptes FTP et supprimez les comptes que vous ne reconnaissez pas (voir Créer et gérer des comptes FTP).
6. Vérifiez votre messagerie : regardez dans Redirections si aucune redirection vers une adresse inconnue n'a été ajoutée, et changez les mots de passe de vos boîtes mail (voir Redirections : transférer des e-mails vers une autre adresse et Modifier le mot de passe d'une adresse e-mail). Si du spam est envoyé depuis votre adresse, consultez Que faire en cas d'utilisation abusive de votre adresse e-mail.
7. Faites analyser votre site à la recherche de malwares avec Imunify360 (voir Imunify360 : scanner votre site web contre les malwares). Si votre site a été piraté, suivez Mon site est piraté : plan d'action.
8. Activez l'Authentification à deux facteurs (voir Configurer l'authentification à deux facteurs).
9. Changez également le mot de passe ailleurs où vous utilisiez le même mot de passe.

Attention : Après avoir changé un mot de passe de boîte mail, adaptez également le mot de passe dans votre logiciel de messagerie sur votre ordinateur et votre téléphone. Si un appareil continue d'essayer avec l'ancien mot de passe, le serveur finit par bloquer votre adresse IP (voir Problèmes de connexion résolus).

Est-ce aussi possible dans Mon WebOké ?

Oui. Vous définissez votre mot de passe DA dans Mon WebOké sans connaître l'ancien : Mes produits, Administration, bloc Changer le mot de passe DA. Le nouveau mot de passe s'applique immédiatement, y compris pour le compte FTP par défaut.

Astuce : Vous n'êtes pas certain qu'il y ait un problème ? Créez un ticket via le Centre de support. Nous pouvons consulter les journaux du serveur.