Clés d’accès (passkeys) au Cameroun : comment sécuriser les comptes d’une PME sans compliquer la vie ?

Une passkey est une méthode de connexion moderne basée sur deux éléments : une partie privée gardée sur votre appareil et une partie publique connue du service. Quand vous vous connectez, le site vérifie que votre appareil possède la bonne clé, puis vous confirmez avec votre empreinte, votre visage, le code PIN ou le mot de passe de l’appareil.

La différence importante est simple : vous ne donnez pas un mot secret à un site. D’après l’aide Google, les passkeys ne peuvent pas être partagées, copiées, écrites sur un papier ou données accidentellement à un faux site. Google précise aussi que les données biométriques restent sur l’appareil et ne sont pas partagées avec Google.

Dans beaucoup d’équipes, les comptes Gmail, Google Business Profile, Facebook, WhatsApp Business, hébergement web ou banque en ligne sont protégés par des mots de passe réutilisés. Le risque devient élevé quand un collaborateur reçoit un faux message urgent : “votre compte sera suspendu”, “vérifiez votre page”, “ouvrez cette facture”.

Une passkey aide parce qu’elle vérifie le vrai domaine avant de valider la connexion. Même si une personne clique sur une fausse page, l’authentification par passkey ne se comporte pas comme un mot de passe classique que l’on peut recopier. Ce n’est pas une protection magique contre toutes les erreurs, mais c’est une barrière très efficace contre le phishing.

Commencez par les comptes qui peuvent bloquer l’activité ou toucher l’argent, les clients et la réputation de l’entreprise.

• Le compte Google principal utilisé pour Gmail, Google Drive, YouTube, Google Ads, Google Business Profile ou Google Workspace.
• Les comptes administrateurs du site web, du nom de domaine, de l’hébergement et des emails professionnels.
• Les comptes Meta/Facebook/Instagram qui gèrent les pages et publicités.
• Les comptes de paiement, facturation, CRM, caisse ou application de gestion.
• Les boîtes email qui reçoivent les demandes clients, devis, contrats et accès de récupération.

Pour une petite structure à Douala, Yaoundé, Bafoussam, Garoua ou Kribi, il vaut mieux sécuriser 3 comptes critiques cette semaine que vouloir tout changer en une journée et abandonner.

La méthode exacte peut évoluer selon le téléphone et le navigateur, mais le principe reste le même : ouvrez les paramètres de sécurité du compte Google, cherchez “Clés d’accès” ou “Passkeys”, puis ajoutez l’appareil que vous utilisez réellement.

Avant d’activer, vérifiez trois points pratiques. D’abord, l’appareil doit avoir un verrouillage fiable : code PIN, empreinte ou reconnaissance faciale. Ensuite, conservez des options de récupération propres : numéro de téléphone, email secondaire et codes de secours si disponibles. Enfin, gardez au moins un administrateur de secours dans Google Workspace ou dans les outils critiques de l’entreprise.

Source technique utile : l’aide Google explique le fonctionnement des passkeys et leurs limites sur https://support.google.com/accounts/answer/13548313.

Pas toujours. Certains services gardent encore le mot de passe comme option de secours. D’autres demandent aussi une validation en deux étapes selon le niveau de risque. L’objectif n’est donc pas de supprimer toute discipline, mais de réduire l’usage quotidien du mot de passe et de renforcer les comptes les plus exposés.

Une bonne règle pour une PME : passkey quand le service le propose, gestionnaire de mots de passe pour les services qui ne le proposent pas encore, double authentification activée partout où c’est possible, et suppression des accès des anciens employés.

Une passkey ne protège pas contre un téléphone laissé déverrouillé, un employé qui partage son code PIN, un ordinateur infecté ou une mauvaise organisation des droits. Elle ne remplace pas non plus les sauvegardes, la formation de l’équipe et une liste claire des personnes autorisées à administrer les comptes.

Il faut aussi prévoir le cas du téléphone perdu ou volé. Chaque responsable doit savoir comment récupérer son compte, révoquer l’ancien appareil et prévenir l’administrateur. Dans une PME, cette procédure doit tenir sur une page simple, pas dans la tête d’une seule personne.

• Listez les 5 comptes les plus critiques : email, domaine, hébergement, réseaux sociaux, outil de gestion.
• Identifiez le propriétaire de chaque compte et un administrateur de secours.
• Activez la passkey sur le compte Google principal si l’appareil est à jour et verrouillé.
• Vérifiez les options de récupération : téléphone, email secondaire, codes de secours.
• Activez la double authentification sur les comptes qui ne proposent pas encore de passkey.
• Notez la procédure en cas de téléphone perdu ou de départ d’un collaborateur.

Dans la plupart des cas, activer une passkey ne coûte rien : c’est une fonction déjà intégrée aux comptes et aux appareils récents. Le vrai coût est organisationnel : prendre 30 à 60 minutes pour classer les accès, nettoyer les anciens administrateurs et former l’équipe à ne plus valider n’importe quelle demande de connexion.

Si l’entreprise utilise déjà Google Workspace, Microsoft 365, un hébergeur, un CRM ou une application métier, le plus important est de documenter les accès et les responsabilités. Une sécurité gratuite mais mal configurée peut rester fragile.

Demandez de l’aide si personne ne sait qui possède le compte principal, si plusieurs employés partagent le même mot de passe, si un ancien prestataire garde l’accès au domaine, ou si l’entreprise a déjà reçu des alertes de connexion suspecte.

EcoTech peut vous aider à faire un diagnostic gratuit des accès numériques, prioriser les comptes critiques et mettre en place une méthode simple pour votre équipe. Commencez ici : https://ecotechsarl.com/diagnostic-gratuit. Vous pouvez aussi consulter les services de cybersécurité sur https://ecotechsarl.com/services/cybersecurite, les services digitaux sur https://ecotechsarl.com/services et les autres guides sur https://ecotechsarl.com/blog.

Pour une PME au Cameroun, les passkeys sont une bonne évolution : elles rendent la connexion plus simple et plus résistante au phishing. Commencez par Google, les emails, l’hébergement, les réseaux sociaux et les comptes administrateurs. Gardez toujours une récupération propre, un administrateur de secours et une procédure claire si un téléphone est perdu.