Question de sécurité : définition, risques réels et ce qu’il faut faire à la place

Une question de sécurité, c’est cette fameuse question qu’on vous pose quand vous avez oublié votre mot de passe ou que vous essayez de récupérer l’accès à un compte. « Quel est le nom de jeune fille de votre mère ? », « Dans quelle ville êtes-vous né ? », « Quel était le nom de votre premier animal de compagnie ? ». L’idée derrière, c’est d’avoir un secret partagé qui prouve que c’est bien vous. Ça semble simple et pratique. Sauf que, en cybersécurité, on sait depuis un moment que ce système est fragile, voire franchement risqué.

Ça ne date pas d’internet. Les banques l’utilisaient déjà au téléphone au début du XXe siècle pour vérifier l’identité d’un client sans avoir à le voir. Avec l’explosion des services en ligne dans les années 2000, ça s’est généralisé pour permettre aux gens de réinitialiser leur mot de passe tout seuls, sans passer par le support. Moins cher pour les entreprises, plus rapide pour l’utilisateur. Sur le papier, c’était gagnant-gagnant. En réalité, c’est devenu un point d’entrée classique pour les attaques.

Pourquoi les questions de sécurité sont devenues un problème

Le vrai souci, c’est que ces questions reposent sur des informations personnelles qui sont de plus en plus faciles à trouver. Les réseaux sociaux regorgent de détails sur votre enfance, votre famille, vos anciens lieux de vie ou vos animaux. Un attaquant n’a même pas besoin d’être très doué : une recherche Google ou un profil public suffit souvent. Ajoutez à ça les fuites de données massives, et la réponse que vous avez donnée il y a dix ans peut se retrouver exposée.

L’exemple le plus connu reste la fuite Yahoo de 2016, qui a compromis les questions et réponses de sécurité de centaines de millions de comptes. Une fois que c’est sorti, les attaquants ont pu enchaîner sur d’autres services où les gens réutilisaient les mêmes réponses. Microsoft, de son côté, a clairement tiré la sonde : dans sa documentation mise à jour en février 2026, l’entreprise explique que les questions de sécurité sont trop vulnérables aux attaques d’ingénierie sociale et à la devinette. Elle les retire complètement de la réinitialisation de mot de passe en libre-service à partir de mars 2027. Ils ne veulent plus en entendre parler pour les comptes admin, et ils recommandent de les combiner avec quelque chose de plus solide, voire de les abandonner.

La CNIL en France va dans le même sens. Elle insiste lourdement sur l’authentification multifacteur pour les accès à distance, surtout sur les grosses bases de données, et elle a renforcé ses contrôles à partir de 2026. Les guidelines NIST aux États-Unis, elles, considèrent depuis longtemps que ce type de vérification par connaissance n’est pas un facteur fiable seul. Bref, tout le monde converge vers la même conclusion : c’est un maillon faible.

Et le truc, c’est que même quand vous choisissez une question « intelligente », le système reste bancal. Les réponses peuvent changer avec le temps (vous déménagez, vous changez de préférences), ou vous les oubliez vous-même. Des études ont montré que jusqu’à 40 % des gens n’arrivent plus à se souvenir de leurs propres réponses après un certain temps. Pendant ce temps, un attaquant qui a un peu de contexte ou qui fait du phishing ciblé a souvent plus de chances d’y arriver que vous.

Comment choisir une question de sécurité un peu moins mauvaise (quand on n’a pas le choix)

Parfois, on n’a pas le luxe de refuser. Certains services obligent encore à en configurer une. Dans ce cas, il y a quand même des critères qui limitent un peu les dégâts.

La réponse doit être précise, stable dans le temps, difficile à deviner et pas trop présente en ligne. Évitez tout ce qui est générique ou changeant : couleur préférée, film préféré, sport préféré, date de naissance. Ces questions ont un nombre limité de réponses possibles et se retrouvent facilement sur les profils publics.

Des exemples un peu plus solides reviennent souvent : « Dans quelle ville vos parents se sont-ils rencontrés ? », « Quel était le modèle exact de votre première voiture ? », « Quel est le deuxième prénom de votre frère ou sœur aîné ? », ou encore « Dans quelle rue avez-vous habité pendant votre première année de lycée ? ». Ces questions sont plus personnelles, moins documentées publiquement, et la réponse a moins de chances d’être devinée par force brute.

Le vrai conseil des pros, c’est de ne pas répondre franchement. Traitez la réponse comme un mot de passe : inventez-en une longue, aléatoire, avec des chiffres et des symboles, et stockez-la dans un gestionnaire de mots de passe. Comme ça, même si quelqu’un devine la question, il n’a aucune chance. Et renouvelez de temps en temps si le service le permet. C’est mieux que rien, mais ça reste une rustine.

La direction claire en 2026 : l’authentification multifacteur

Ce qui protège vraiment aujourd’hui, c’est l’authentification multifacteur, ou MFA. Un mot de passe (ce que vous savez) plus un code généré par une application comme Microsoft Authenticator ou Google Authenticator, ou une clé physique comme une YubiKey (ce que vous avez). Ou de la biométrie sur votre téléphone.

Même si un attaquant récupère votre mot de passe via une fuite ou du phishing, il lui faut encore franchir cette deuxième barrière. C’est beaucoup plus compliqué. La CNIL l’a rendu quasi obligatoire pour les accès distants sur les systèmes sensibles dès 2026. Microsoft, Google, Apple et la plupart des gros acteurs poussent très fort dans cette direction. Les questions de sécurité, elles, passent au second plan, voire disparaissent.

Pour la récupération de compte, privilégiez les méthodes liées à votre téléphone ou à une app authenticator plutôt que les vieilles questions. Évitez les codes par SMS quand c’est possible : les attaques par échange de carte SIM existent toujours et restent efficaces contre les numéros qui ne sont pas bien protégés.

Ce que vous pouvez faire concrètement dès maintenant

Activez la MFA sur tous vos comptes importants : messagerie, banque, réseaux sociaux, cloud, outils pro. C’est gratuit et ça change vraiment la donne. Utilisez un gestionnaire de mots de passe correct pour générer et stocker des identifiants uniques et solides. Vous n’aurez plus à tout retenir, et vous pourrez mettre des réponses bidon aux questions de sécurité quand elles sont obligatoires.

Faites un peu de ménage sur ce que vous partagez publiquement. Moins il y a d’infos sur votre enfance, votre famille ou vos anciens lieux de vie en ligne, moins un attaquant aura de matière pour deviner ou rechercher vos réponses. Et configurez vos options de récupération à l’avance : ajoutez un numéro de téléphone secondaire, une adresse mail de secours fiable, ou une clé de sécurité physique. Mieux vaut le faire maintenant que dans l’urgence après une compromission.

Honnêtement, les questions de sécurité ont rempli leur rôle à une époque où les alternatives étaient rares. Aujourd’hui, elles sont dépassées par les menaces et par les outils qu’on a. Les remplacer par de l’authentification multifacteur bien configurée, c’est le vrai pas en avant en cybersécurité. Vos comptes vous diront merci.