Et si la clé de votre caisse tenait dans un simple mot de passe ?
Imaginez que la clé de votre coffre soit aussi la clé de votre comptabilité, de votre fichier clients et de votre terminal de paiement. Si quelqu'un la copie, il n'a même pas besoin de forcer la porte. Pour une entreprise qui vend des services en ligne, l'espace d'administration de sa plateforme de facturation joue exactement ce rôle.
Ce que contrôle votre espace d'administration
Si vous utilisez WHMCS (un logiciel de facturation et de gestion clients très répandu chez les hébergeurs), son espace d'administration rassemble tout ce qui fait tourner votre activité :
- les fiches de vos clients et leurs coordonnées
- vos factures et l'historique des paiements
- la configuration de vos moyens d'encaissement
- les services que vous vendez et leur gestion
C'est la porte d'entrée la plus précieuse de votre entreprise, et elle est protégée, dans bien des cas, par une seule chose : un mot de passe.
Pourquoi des robots s'y attaquent chaque jour
Les pages de connexion de ce type de logiciel sont connues et faciles à repérer. Des programmes automatiques les testent en permanence, de deux façons :
- l'essai massif : le robot enchaîne des milliers de combinaisons jusqu'à tomber sur la bonne
- la réutilisation de mots de passe volés : si votre mot de passe a déjà fuité sur un autre site, les pirates l'essaient chez vous, en comptant sur le fait que beaucoup de gens utilisent le même partout
Vous n'avez pas besoin d'être une cible particulière. Il suffit que votre page de connexion soit accessible sur Internet.
Ce qu'un seul mot de passe volé peut coûter
Une fois à l'intérieur, une personne malveillante peut :
- passer de fausses commandes ou déclencher des remboursements à son profit
- récupérer les coordonnées de vos clients, avec les obligations de déclaration et l'image dégradée qui suivent
- modifier vos réglages de paiement, ce qui peut provoquer des contestations de la part des clients et des litiges bancaires
- ruiner la confiance de vos clients, ce qui se reconstruit lentement, parfois jamais
Un mot de passe solide et une limite sur le nombre d'essais ratés aident, mais ils ne règlent pas le fond du problème : si ce mot de passe est volé, deviné ou déjà connu, rien d'autre ne bloque l'intrus.
La solution : une deuxième preuve d'identité
L'authentification à double facteur (ou 2FA) ajoute une seconde vérification après le mot de passe, par exemple un code temporaire généré sur votre téléphone. C'est le principe de la carte bancaire : la carte seule ne suffit pas, il faut aussi le code. Avec ce système, un mot de passe volé devient presque inutile pour le voleur.
L'éditeur ShoHost, auteur de l'article dont s'inspire ce texte, propose un module dédié à WHMCS, ShoSecure Auth, facturé 3 $ par mois avec 15 jours d'essai gratuit et 7 jours de remboursement. C'est un exemple de solution parmi d'autres : l'important est que votre espace d'administration en dispose d'une.
Que faire dès cette semaine
- Demandez à la personne qui gère votre plateforme si la double authentification est activée pour chaque compte administrateur.
- Si ce n'est pas le cas, faites-la activer sans attendre, en priorité pour les comptes qui voient les paiements.
- Vérifiez que chaque personne a son propre compte, sans mot de passe partagé.
- Changez tout mot de passe utilisé ailleurs.
Conclusion
Un mot de passe seul reste un point de défaillance unique pour l'outil qui concentre vos clients et votre argent. Ajouter une seconde vérification prend peu de temps et coûte peu, face au prix d'une fraude ou d'une fuite de données.
Pour aller plus loin, consultez l'article d'origine : Why Your WHMCS Admin Login Needs More Than a Password.
