Nos données personnelles sont-elles en sécurité sur Internet ? Selon le second baromètre Dashlane sur la protection des données des consommateurs sur Internet, il y a de quoi être inquiet puisque 86% des sites ont des politiques de sécurité de mots de passe en dessous de la moyenne acceptable.
Le verdict est sans appel et sans concession. La très grande majorité des sites avides de données personnelles n’assurent pas une sécurité convenable. L’étude annonce
« Beaucoup n’ont pas mis en œuvre ne serait-ce que les règles de base, laissant les données personnelles des consommateurs sur Internet dangereusement vulnérables. »
Dans son second baromètre sur la protection des données des consommateurs sur Internet Dashlane a passé au crible plus de 130 des sites américains, anglais et français (44) les plus populaires du web à la suite de la faille Heartbleed. L’étude s’appuie sur 22 critères identifiés comme critiques pour la sécurité des mots de passe sur Internet. Il est expliqué
« Chaque critère permet d’attribuer un nombre de points positif ou négatif, ce qui donne un score final possible en -100 et +100 pour chaque site web étudié. Un score de +50 points correspond à la mise en œuvre minimale des bonnes pratiques vis-à-vis des mots de passe »
Apple, le grand gagnant.
Apple est le grand gagnant de cette étude avec l’obtention de la note maximale. Live.com (Microsoft) termine second, tandis que UPS, Yahoo et Paypal occupent respectivement les troisième, quatrième et cinquième positions. D’autres sites ont également réussi, citons La Poste, leboncoin.fr, eBay et Skype. Gmail et la Fnac sont ex aequo à la dixième place.
Le plus inquiétant touche cependant à d’autres poids lourds du Web comme Showroomprivé, Meetic Affinity et Spartoo qui enregistrent les plus mauvais scores. Nous trouvons également comme mauvais élèves les 3 Suisses, Alloresto, Viadeo, easyJet.com, Cdiscount et Amazon. Dans le détail se sont les sites de rencontre qui obtiennent la plus mauvaise moyenne suivis des sites de sécurité, de e-commerce et de voyages.
Les sites sont conscients de ne pas demander de mots de passe sécurisés.
Il est rappelé que qu’une corrélation existe entre la complexité des mots de passe utilisés et la sécurité obtenue. En d’autres termes, plus le site impose un mot de passe complexe, meilleure est la sécurité réelle des mots de passe des utilisateurs. La conclusion est alors que
« Les mots de passe représentent la première ligne de défense des données personnelles des consommateurs sur Internet. Le fait que certains sites ne demandent pas de mots de passe sécurisés veut donc dire qu’ils sont conscients d’exposer leurs utilisateurs aux attaques et aux logiciels malveillants. »
Autre information importante 51% (55% pour les sites français) des sites les plus importants ne verrouillent pas les comptes des utilisateurs après 10 tentatives de connexion incorrectes. Il s’agit pourtant d’une des méthodes les plus utilisées par des pirates, celles d’essayer au hasard les mots de passe les plus répandus.
Voici les recommandations avancées pour une sécurité renforcée.
- Mot de passe de 8 caractères minimum
- Mot de passe comprenant des chiffres et des lettres, avec des minuscules et des majuscules
- Email de confirmation pour tout changement de mot de passe
- Ne pas accepter les 10 mots de passe les plus vulnérables
- Bloquer le compte utilisateur après 10 tentatives incorrectes de connexion
Emmanuel Schalit, CEO de Dashlane commente les résultats de cette étude
« Les entreprises et les sites web n’ont aucune excuse pour leur faible politique en matière de mot de passe. La mise en œuvre de politiques de sécurité pour les mots de passe ne coûte pas cher et est facilement réalisable grâce aux technologies open source existantes. »
Bilan de l’étude.
Voici un résumé de la situation
- 86% des sites étudiés n’arrivent pas au seuil minimum des règles de base en matière de mots de passe
- 66% des sites français ont reçu des notes négatives (contre 53% sur l’ensemble de l’étude)
- 55% des sites français ne verrouillent pas un compte après 10 tentatives avec un mot de passe incorrect (Twitter, LinkedIn, Airbnb ou Amazon) contre 51% sur l’ensemble de l’étude)
- 52% des sites français acceptent les pires mots de passe tels que « 123456 » (Dropbox, Airbnb et Amazon) contre 43% sur l’ensemble de l’étude
- 68% des sites français acceptent « motdepasse » comme mot de passe (contre 48% sur l’ensemble de l’étude)
