Le téléphone que vous avez vendu est toujours connecté à vos comptes.

Le téléphone datant d’il y a deux ans est entre les mains de quelqu’un d’autre depuis longtemps. Il a été vendu, donné ou échangé, et a d’abord été réinitialisé aux paramètres d’usine. La plupart des gens considèrent que l’affaire est close.

Ce n’est pas le cas de Google. Sa page d’aide énumère les raisons pour lesquelles vous pourriez ne pas reconnaître un appareil dans votre compte, et l’une d’entre elles est la suivante : « Vous avez récemment réinitialisé votre appareil aux paramètres d’usine. L’appareil pourrait tout de même apparaître. » La réinitialisation efface le contenu du téléphone. Elle n’efface pas pour autant l’entrée correspondante dans votre compte. L’accès peut survivre au matériel, et il en va de même pour un ancien numéro de téléphone mobile.

La plupart des gens ont dans ces listes plus d’entrées qu’ils ne le pensent. D’anciens téléphones, un ordinateur portable d’un ancien employeur, un téléviseur sur lequel une connexion a été établie une seule fois, le temps d’une soirée. Chaque entrée correspond à un appareil qui peut toujours accéder au compte.

Un nouveau mot de passe ne déconnecte pas tous les appareils

On pense souvent que changer de mot de passe déconnecte automatiquement tous les autres utilisateurs. C’est le cas pour certains services, mais pas pour d’autres, et la plupart des fournisseurs ne fournissent aucune information à ce sujet. Les sessions en cours constituent le point faible dans ce domaine. Un cookie de session volé permet à un pirate d’accéder à votre compte sans mot de passe ni authentification à deux facteurs.

Google est le plus clair à ce sujet. Si vous changez votre mot de passe sur ce service, vous serez déconnecté partout, à trois exceptions près : les appareils que vous utilisez pour vérifier votre identité lors de la connexion, certains appareils équipés d’applications tierces auxquelles vous avez accordé l’accès à votre compte, et les appareils domestiques connectés auxquels vous avez accordé l’accès à votre compte. Une enceinte connectée fait partie de ce dernier groupe.

Amazon précise également cet effet, mais uniquement dans la version anglaise de ses pages d’aide : « La modification de votre mot de passe vous déconnectera des applications et sites Web Amazon sur tout appareil autre qu’un Kindle. » Les Kindles restent connectés.

Netflix propose une case à cocher. Son centre d’aide indique : « Nous vous recommandons de laisser la case “Se déconnecter de tous les appareils” cochée. » Si vous décochez cette case, vous modifiez le mot de passe sans que les sessions en cours ne soient interrompues.

Microsoft, Apple et Instagram ne mentionnent rien à ce sujet dans leurs pages d’aide officielles. Apple fait la distinction entre ces deux aspects. Dans son guide consacré aux comptes susceptibles d’avoir été piratés, la modification du mot de passe constitue la première étape, tandis que la suppression des appareils inconnus intervient quatre étapes plus tard, en tant que tâche distincte. Nous avons récemment rencontré la même limite avec les mots de passe d’application, qui ne sont absolument pas affectés par un changement de mot de passe.

Vous ne pouvez donc pas vous fier uniquement à un changement de mot de passe. Vous devez de toute façon vérifier la liste des appareils.

Où se trouvent les listes d’appareils

Chaque service les dissimule à un endroit différent, et plusieurs d’entre eux gèrent plusieurs listes. L’aperçu ci-dessous vous y mène directement. Deux d’entre eux proposent un bouton permettant de se déconnecter de tous les appareils. Sur les cinq autres, vous devez vous déconnecter appareil par appareil.

Ce que les listes ne vous disent pas

Une liste vide ou courte ne prouve rien. Netflix indique clairement que certains appareils peuvent manquer. Tout appareil n’ayant pas été actif au cours des 90 derniers jours n’apparaît pas du tout, tout comme les appareils utilisés uniquement pour les jeux Netflix ou uniquement pour accéder à Tudum. Un appareil peut mettre jusqu’à 48 heures à apparaître pour la première fois.

Microsoft mentionne le même délai pouvant aller jusqu’à 24 heures pour sa propre liste, et il faut tout autant de temps pour qu’une déconnexion prenne effet. La Xbox fait exception à cette règle et reste connectée.

Apple a son propre piège. Si vous supprimez un appareil qui est toujours connecté à votre compte, celui-ci réapparaît. La page d’aide l’explique ainsi : « Si vous êtes toujours connecté à votre compte Apple sur l’appareil, celui-ci peut réapparaître sur l’écran de votre compte Apple la prochaine fois que votre appareil se connectera à Internet. » Un téléphone que vous avez vendu ne disparaît définitivement qu’une fois que vous vous êtes déconnecté d’iCloud, de « Médias et achats », d’iMessage, de FaceTime et du Game Center sur cet appareil, ou que vous l’avez effacé.

Les horodatages ont également moins de valeur qu’il n’y paraît. Google souligne que l’heure affichée peut provenir d’une synchronisation en arrière-plan plutôt que de l’utilisation effective de l’appareil par quelqu’un. Une entrée datant de ce matin ne signifie pas pour autant que quelqu’un tenait ce téléphone ce matin.

WhatsApp effectue lui-même un nettoyage, selon deux délais différents

WhatsApp gère les appareils associés mieux que les autres, car le service se charge du nettoyage à votre place. Il existe toutefois deux délais distincts, qui prêtent souvent à confusion. Si votre téléphone principal reste inutilisé pendant plus de 14 jours, tous les appareils associés sont déconnectés. Si un seul appareil connecté reste inactif, celui-ci est déconnecté au bout de 30 jours. WhatsApp n’autorise de toute façon pas plus de quatre appareils connectés à la fois.

Cela fait de WhatsApp une exception. Aucun autre service ne prévoit d’expiration automatique, ou du moins rien n’est mentionné dans leur documentation.

10 minutes, un seul passage

Passez en revue une à une les sept adresses figurant dans l’aperçu. Déconnectez-vous de chaque entrée que vous ne pouvez pas identifier immédiatement. Déconnecter par erreur l’un de vos propres appareils vous obligera à vous reconnecter. En oublier un qui ne vous appartient pas vous coûtera plus cher.

Gardez trois points à l’esprit pendant cette opération. Plusieurs lignes portant le même nom d’appareil peuvent correspondre à un seul appareil ou à plusieurs, et Google conseille de vous déconnecter de toutes ces entrées en cas de doute. Avec Apple, vous devez également vous déconnecter sur l’appareil lui-même, sinon l’entrée réapparaîtra. Quant à Microsoft et Netflix, la déconnexion ne prend effet qu’au bout de quelques heures ; par conséquent, si vous vérifiez à nouveau immédiatement, l’état antérieur s’affiche toujours.

Si vous repérez un appareil qui ne vous dit absolument rien, la déconnexion n’est que la première étape. Modifiez ensuite le mot de passe et vérifiez vos paramètres d’authentification à deux facteurs.