Comment sécuriser votre compte Instagram : liste de contrôle en 9 étapes

Les piratages de comptes Instagram impliquent rarement des méthodes exotiques. Ils se résument à un mot de passe faible ou déjà fuité ailleurs, à une connexion depuis un appareil que vous n'aviez pas remarqué, à un message qui semblait officiel sans l'être, ou à une application à laquelle vous avez confié vos identifiants et que vous avez oubliée.

Les neuf étapes ci-dessous ferment chacune l'une de ces portes, classées de manière à réduire d'abord le plus gros risque.

À propos des sources de cette page. Les réglages, chemins et règles ci-dessous proviennent du centre d'aide d'Instagram et du newsroom de Meta, et chaque section renvoie vers la page exacte dont elle est tirée. Deux affirmations viennent de sources extérieures à Meta et sont signalées là où elles apparaissent : Check Point Research, pour la fréquence à laquelle Instagram est usurpé, et l'équipe cybersécurité de l'université Masaryk, pour ce que fait réellement un gestionnaire de mots de passe. SocialGuardian est notre propre produit — lorsqu'il apparaît, il est marqué comme une promotion, et la seule chose qu'il prétend faire est de sauvegarder votre contenu.

La version en 30 secondes

• Activez la double authentification et enregistrez vos codes de récupération.
• Choisissez un mot de passe Instagram long, unique et que vous n'avez utilisé nulle part ailleurs.
• Examinez chaque appareil actuellement connecté et déconnectez ceux que vous ne reconnaissez pas.
• Lancez la Vérification de sécurité si quelque chose semble anormal.
• Considérez tout message direct (DM) concernant votre compte comme une arnaque — Instagram n'en envoie pas.
• Révoquez les applications tierces auxquelles vous ne faites pas confiance.
• Conservez une copie de votre contenu à un endroit où Instagram ne peut pas vous bloquer l'accès.

Ce qui fait réellement pirater les comptes Instagram

Instagram signale lui-même un compte à risque dans trois situations : votre mot de passe est faible, votre mot de passe a pu être exposé ou compromis par une source externe, ou votre compte est synchronisé avec une application tierce non autorisée. Le cas le plus courant est la réutilisation d'un mot de passe — vous avez utilisé le même mot de passe sur un autre site, et ce site a subi la fuite, selon Instagram.

L'autre grand vecteur est l'hameçonnage (phishing) : un message ou un lien suspect qui demande vos informations personnelles, prétendant souvent que votre compte sera banni ou supprimé si vous n'agissez pas, comme le décrit Instagram.

Ce n'est pas hypothétique. Dans le rapport de Check Point Research sur l'hameçonnage de marques au T2 2024, Instagram est réapparu dans le top 10 des marques les plus usurpées dans les attaques d'hameçonnage — 10e place, 0,7 % des événements d'hameçonnage de marques — pour la première fois depuis 2022, les chercheurs ayant observé de fausses pages de connexion Instagram conçues spécifiquement pour voler des identifiants.

Étape 1 — Activez la double authentification

Instagram qualifie la double authentification d'« étape la plus efficace pour protéger votre compte des pirates » et indique qu'il l'active par défaut sur les comptes de créateurs — donc si vous en avez un, vérifiez que vous ne l'avez pas désactivée à un moment donné, selon les consignes de sécurité d'Instagram.

Voici ce qui piège beaucoup de monde : la 2FA ne vous demande pas de code à chaque ouverture de l'application. Elle exige un code en cas de tentative de connexion depuis un appareil qu'Instagram ne reconnaît pas, selon le centre d'aide d'Instagram. Au quotidien, sur votre propre téléphone, vous ne le remarquerez pas.

Pour la configurer : Plus → Paramètres → Voir plus dans le Centre de comptes → Mot de passe et sécurité → Authentification à deux facteurs.

Un deuxième avantage n'est pas évident depuis l'écran des réglages. Avec la 2FA activée, vous recevez une alerte dès que quelqu'un tente de se connecter depuis un appareil ou un navigateur web qu'Instagram ne reconnaît pas. L'alerte vous indique quel appareil a tenté la connexion et où il se trouve, et vous pouvez approuver ou refuser la demande immédiatement depuis un appareil sur lequel vous êtes déjà connecté, comme l'explique Meta. Cela transforme une tentative de piratage en une notification que vous pouvez neutraliser d'une simple pression.

Quelle méthode de 2FA choisir ?

Lorsque vous configurez la double authentification, Instagram vous demande de choisir l'une de trois méthodes de sécurité — et l'e-mail n'en fait pas partie, selon Instagram.

Si vous n'avez pas de préférence marquée, suivez la recommandation d'Instagram et utilisez une application d'authentification.

Étape 2 — Enregistrez vos codes de récupération

Si vous perdez l'accès à votre téléphone ou à votre adresse e-mail et ne pouvez plus recevoir les codes de connexion, un code de récupération est ce qui vous permet de vous reconnecter, explique Instagram. Générez-les lorsque vous activez la 2FA et stockez-les à un endroit qui n'est pas le téléphone qu'ils protègent.

Étape 3 — Corrigez votre mot de passe

Les règles de mot de passe publiées par Instagram sont précises ; les voici donc sans fioritures. Votre mot de passe doit comporter au moins six caractères, mais Instagram recommande au moins huit caractères pour une sécurité renforcée, avec une combinaison de chiffres, de lettres et de caractères spéciaux. Il doit être différent de ceux que vous utilisez pour d'autres comptes, comme votre e-mail ou votre compte bancaire, et vous devez éviter les informations faciles à deviner, comme votre date de naissance ou votre numéro de téléphone — c'est la recommandation d'Instagram elle-même.

La page sécurité d'Instagram ajoute deux autres règles : utilisez une combinaison d'au moins six chiffres, lettres et caractères spéciaux (comme !$@%) en essayant d'éviter les répétitions, et ne donnez jamais votre mot de passe à une personne que vous ne connaissez pas et en qui vous n'avez pas confiance. Elle recommande également d'utiliser un gestionnaire de mots de passe tiers, citant LastPass et 1Password, dans le même article d'aide.

Si vous ne voyez pas en quoi un gestionnaire de mots de passe aide : il stocke et chiffre vos identifiants de connexion pour que vous n'ayez à retenir qu'un seul mot de passe principal fort, il génère des mots de passe sécurisés et les remplit automatiquement à la connexion — selon l'équipe cybersécurité de l'université Masaryk, une source extérieure à Instagram. C'est le remède concret à la réutilisation de mots de passe qui fait signaler les comptes en premier lieu.

Étape 4 — Vérifiez où vous êtes connecté

Vous pouvez à tout moment consulter la liste des appareils qui se sont récemment connectés à votre compte Instagram. Si vous ne reconnaissez pas une connexion récente, vous pouvez vous déconnecter de cet emplacement ou appareil et indiquer à Instagram que la connexion n'était pas de vous, comme le décrit le centre d'aide.

Deux chemins vers la même liste :

• Paramètres → Centre de comptes → Mot de passe et sécurité → « Où vous êtes connecté »
• Paramètres → Activité de connexion

Pour chaque connexion, vous pouvez confirmer « C'était moi » ou indiquer « Ce n'était pas moi » — et marquer une connexion comme « Ce n'était pas moi » déclenche une réinitialisation du mot de passe. Vous pouvez aussi déconnecter n'importe quel appareil à distance. Faites-le avant de changer votre mot de passe, pour savoir ce que vous regardez.

Étape 5 — Lancez la Vérification de sécurité d'Instagram

La Vérification de sécurité est un parcours dédié aux comptes qui ont peut-être été piratés. Lancée en juillet 2021, elle vous guide pas à pas : vérification de l'activité de connexion, revue des informations du profil, confirmation des comptes qui partagent des informations de connexion et mise à jour des coordonnées de récupération du compte, comme le numéro de téléphone ou l'e-mail, selon le newsroom de Meta.

C'est le moyen le plus rapide de couvrir les étapes 1, 4 et 6 en une seule fois si vous soupçonnez que quelque chose s'est déjà produit.

Étape 6 — Apprenez à reconnaître un vrai message Instagram

C'est la chose la plus utile de cette page, car elle fait échouer la plupart des tentatives d'hameçonnage au premier coup d'œil :

Instagram ne vous enverra jamais de message direct (DM) concernant votre compte. Les messages qui prétendent que votre compte risque d'être banni ou qu'il enfreint les règles sont des arnaques. Si Instagram souhaite vous contacter au sujet de votre compte, il le fait via l'onglet « E-mails d'Instagram » dans vos paramètres — le seul endroit où vous trouverez une communication directe et authentique d'Instagram dans l'application, selon Meta.

Vous disposez ainsi d'une vérification en une étape pour tout message alarmant : ouvrez Paramètres, consultez l'onglet « E-mails d'Instagram » et vérifiez si le message s'y trouve. S'il n'y est pas, il ne vient pas d'Instagram.

Pour les e-mails, vous pouvez confirmer que l'expéditeur est affilié à Meta en vérifiant l'adresse, qui peut inclure [email protected], [email protected], @fb.com, @meta.com ou @account.meta.com. Ne vous fiez pas aux messages qui demandent de l'argent, offrent des cadeaux ou menacent de supprimer ou de bannir votre compte, et ne cliquez jamais sur des liens suspects ni ne répondez avec votre mot de passe, votre numéro de sécurité sociale ou vos informations de carte de crédit — les consignes d'Instagram sur l'hameçonnage couvrent tout cela.

Si vous avez déjà été victime d'hameçonnage : réinitialisez votre mot de passe, déconnectez-vous des appareils qui ne vous appartiennent pas et signalez l'e-mail suspect à [email protected].

Étape 7 — Révoquez les applications tierces auxquelles vous ne faites pas confiance

Soyez prudent lorsque vous autorisez une application tierce, et ne partagez jamais vos informations de connexion avec une application en qui vous n'avez pas confiance. Si vous donnez à une application vos informations de connexion — que ce soit via un jeton d'accès ou en lui transmettant votre nom d'utilisateur et votre mot de passe — elle peut obtenir un accès complet à votre compte, prévient Instagram.

Pour éliminer celles dont vous n'êtes pas sûr, révoquez l'accès de toute application tierce suspecte sur instagram.com/accounts/manage_access, c'est la voie qu'Instagram indique pour les comptes piratés ou à risque.

Étape 8 — Déconnectez-vous sur les appareils partagés

Déconnectez-vous d'Instagram lorsque vous utilisez un ordinateur ou un téléphone partagé avec d'autres personnes, et ne cochez pas la case « Se souvenir de moi » lors d'une connexion depuis un ordinateur public — cela vous maintient connecté même après la fermeture de la fenêtre du navigateur, explique Instagram.

Étape 9 — Conservez une copie de votre contenu hors d'Instagram

Les étapes 1 à 8 protègent l'accès au compte. Aucune d'elles ne protège ce qui vous a réellement pris des années à créer.

Instagram vous permet d'emporter vos données : allez dans Centre de comptes → Vos informations et autorisations → Exporter vos informations et exportez vers votre appareil ou vers un service externe. L'exportation est un processus protégé par mot de passe — et Instagram peut mettre jusqu'à 30 jours pour vous envoyer le lien d'exportation par e-mail, selon Instagram.

Un délai de 30 jours convient pour une archive planifiée. Ce n'est pas un plan de récupération viable le jour où vous êtes verrouillé hors de votre compte, car vous demandez l'export après avoir perdu l'accès, c'est-à-dire précisément au moment où vous ne le pouvez plus.

Si votre compte est déjà piraté

Commencez sur instagram.com/hacked depuis votre navigateur de bureau ou mobile pour sécuriser le compte, et assurez-vous que votre compte e-mail est également sécurisé — toute personne qui peut lire vos e-mails peut probablement aussi accéder à votre compte Instagram, selon Instagram.

À partir de là, les consignes de récupération d'Instagram vous offrent plusieurs voies, et il vaut la peine de toutes les connaître avant d'en avoir besoin :

• Vérifiez vos e-mails pour un message de [email protected]. Si l'attaquant a modifié l'e-mail de votre compte, ce message peut vous permettre d'annuler le changement d'e-mail.
• Demandez un lien de connexion envoyé à votre adresse e-mail ou à votre numéro de téléphone via « Mot de passe oublié » afin qu'Instagram puisse confirmer que vous êtes propriétaire du compte.
• Demandez un code de sécurité ou une assistance si le lien de connexion ne vous parvient pas.
• Vérifiez votre identité avec un selfie vidéo. Si vous demandez une assistance pour un compte contenant des photos de vous, il vous sera demandé d'enregistrer un selfie vidéo en tournant la tête dans différentes directions. La vidéo n'est jamais visible sur Instagram et est supprimée dans les 30 jours.

Si vous pouvez encore vous connecter, suivez plutôt cette liste — même source :

• Changez votre mot de passe ou envoyez-vous un e-mail de réinitialisation du mot de passe (instagram.com/accounts/password/change/).
• Activez la double authentification.
• Confirmez que votre numéro de téléphone et votre adresse e-mail dans les paramètres du compte sont corrects.
• Vérifiez le Centre de comptes et supprimez tout compte lié que vous ne reconnaissez pas.
• Révoquez l'accès de toute application tierce suspecte.

Comptes à haut risque : la Protection renforcée d'Instagram

Certains comptes Instagram sont considérés comme particulièrement vulnérables aux fraudes et aux tentatives de piratage — les abonnés Meta Verified, les propriétaires d'entreprise, les personnalités politiques, les journalistes et les annonceurs. Pour eux, la double authentification n'est pas facultative : la Protection renforcée d'Instagram la rend obligatoire, et si vous ne vous êtes pas inscrit dans le délai de grâce imparti, votre compte sera verrouillé jusqu'à ce que vous terminiez l'inscription, selon Instagram. Les méthodes disponibles sont les trois mêmes : application d'authentification (recommandée), SMS ou WhatsApp.

Si vous faites partie de l'une de ces catégories, inscrivez-vous avant la fin du délai de grâce plutôt que de découvrir le verrouillage.

Référence rapide : où se trouve chaque réglage

La seule habitude à garder

Les paramètres de sécurité sont un travail ponctuel à revérifier deux fois par an : 2FA toujours active, aucun appareil inconnu dans la liste des connexions, aucune application tierce non reconnue, mot de passe toujours unique à Instagram.

La sauvegarde, elle, doit continuer de fonctionner toute seule, car le jour où vous en avez besoin est le jour où vous ne pouvez plus la configurer.