WhatsApp Web fonctionne comme une extension du compte mobile, accessible depuis n’importe quel navigateur. Chaque session ouverte sur un ordinateur reste active tant qu’elle n’est pas fermée manuellement. Cette particularité crée une surface d’exposition que la plupart des utilisateurs sous-estiment, parce que la messagerie semble protégée par le chiffrement de bout en bout activé par défaut.
Sessions actives sur WhatsApp Web : la faille la plus courante
Le premier réflexe pour sécuriser WhatsApp Web ne concerne ni le mot de passe ni le chiffrement. Il porte sur un point bien plus basique : les sessions que vous laissez ouvertes sans le savoir.
A lire en complément : Comment un logiciel RGPD simplifie la gestion de la protection des données
Chaque fois que vous scannez le QR code depuis votre téléphone, un appareil est ajouté à la liste des appareils liés. Cette session reste connectée même après avoir fermé l’onglet du navigateur. Un collègue, un membre de la famille ou toute personne ayant brièvement accès à votre téléphone déverrouillé peut scanner le code et lire vos conversations à distance, sans notification visible sur votre écran.
Vérifier et révoquer les appareils liés
Le menu « Appareils liés » sur l’application mobile affiche tous les navigateurs et ordinateurs connectés au compte. Prenez l’habitude de le consulter régulièrement, par exemple une fois par semaine.
- Ouvrez WhatsApp sur votre téléphone, puis accédez aux paramètres et au menu « Appareils liés »
- Identifiez chaque session : navigateur, système d’exploitation et date de dernière activité sont affichés
- Déconnectez immédiatement toute session que vous ne reconnaissez pas ou qui correspond à un ordinateur partagé
- Après utilisation sur un PC public (cybercafé, espace de coworking, événement), déconnectez-vous sur place puis vérifiez depuis le téléphone que la session a bien été fermée
Cette vérification prend moins d’une minute. Elle neutralise le scénario d’espionnage le plus fréquent sur WhatsApp Web.
Vérification en deux étapes sur WhatsApp : un verrou supplémentaire
Le chiffrement protège le contenu des messages en transit. La vérification en deux étapes protège l’accès au compte lui-même, ce qui est un problème distinct.
Sans cette protection, une personne qui obtient votre numéro de téléphone et intercepte le SMS de vérification (par SIM swapping ou ingénierie sociale) peut activer votre compte sur un autre appareil. Tous vos groupes, contacts et conversations récentes deviennent alors accessibles.
Activer le code PIN à six chiffres
La vérification en deux étapes ajoute un code PIN personnel que WhatsApp demande périodiquement et lors de toute nouvelle activation du compte. Ce code n’est jamais transmis par SMS, ce qui le rend insensible aux interceptions classiques.
Pour l’activer : Paramètres, puis Compte, puis Vérification en deux étapes. Choisissez un code PIN qui n’est pas votre date de naissance ni une suite simple. Associez une adresse e-mail de récupération, différente de celle utilisée pour vos autres comptes sensibles.
Ne communiquez jamais ce code PIN à quiconque, même si la demande semble provenir de WhatsApp. Le support officiel ne demande pas ce code par message.
Chiffrement des sauvegardes : le maillon oublié de la confidentialité
Le chiffrement de bout en bout couvre les messages pendant leur transmission. En revanche, les sauvegardes stockées sur Google Drive ou iCloud ne bénéficient pas de cette protection par défaut. Concrètement, vos conversations sont lisibles par quiconque accède à votre espace de stockage cloud.
WhatsApp propose désormais d’activer le chiffrement de bout en bout pour les sauvegardes. Cette option se trouve dans Paramètres, puis Discussions, puis Sauvegarde, puis Sauvegarde chiffrée de bout en bout.
Deux choix sont proposés : créer un mot de passe dédié ou générer une clé de chiffrement. Le mot de passe est plus pratique, la clé plus sûre si vous la stockez hors ligne. Dans les deux cas, perdre cet identifiant signifie perdre l’accès à la sauvegarde, sans recours possible.
Nom d’utilisateur WhatsApp : nouvelle fonctionnalité, nouveau risque
WhatsApp déploie progressivement la possibilité de se connecter et d’être trouvé via un nom d’utilisateur (pseudo), sans partager son numéro de téléphone. Cette fonctionnalité modifie la surface d’exposition du compte.
Un pseudo public facilite le contact, mais il devient aussi un identifiant que des tiers peuvent cibler pour du phishing ou du spam. Avant de choisir un nom d’utilisateur, évaluez si vous avez réellement besoin d’être trouvable par des inconnus.
Précautions autour du pseudo
Évitez d’utiliser votre nom complet ou un pseudo identique à celui de vos autres réseaux sociaux. Un lien entre vos comptes facilite le recoupement d’informations personnelles. Si vous activez cette option, vérifiez dans les paramètres de confidentialité qui peut vous trouver via ce pseudo.
Ce réglage est réversible. En cas de doute, mieux vaut ne pas activer la fonctionnalité immédiatement et attendre que les paramètres de visibilité soient pleinement déployés.
Protéger les discussions sensibles avec le verrouillage par code secret
WhatsApp permet de masquer certaines conversations derrière un code secret dédié. Les discussions verrouillées disparaissent de la liste principale et ne sont accessibles qu’après saisie du code dans la barre de recherche.
Cette fonction est utile si plusieurs personnes utilisent le même téléphone ou si vous prêtez ponctuellement votre appareil. Elle ne remplace pas le verrouillage de l’application elle-même, mais ajoute une couche de protection ciblée sur les échanges les plus confidentiels.
Pour verrouiller une discussion : appui long sur la conversation, puis sélectionnez l’option de verrouillage. Le code secret doit être différent du code PIN de la vérification en deux étapes.
La sécurité d’une messagerie ne repose pas sur une seule mesure, mais sur l’empilement de plusieurs protections complémentaires. Révoquer les sessions inutiles, activer la vérification en deux étapes, chiffrer les sauvegardes et contrôler la visibilité du compte couvrent la grande majorité des scénarios d’attaque auxquels un utilisateur de WhatsApp Web peut être confronté.
