Comment sécuriser son téléphone : les 10 règles essentielles

Votre smartphone contient probablement plus d’informations sensibles que votre ordinateur : messages, photos, emails, comptes bancaires, authentification à deux facteurs, géolocalisation en temps réel… Pourtant, c’est souvent l’appareil le moins protégé du foyer. En avril 2025, l’ANSSI (l’agence nationale française de sécurité des systèmes d’information) a publié dix règles d’hygiène numérique dédiées aux téléphones mobiles, largement relayées par cybermalveillance.gouv.fr. Ce tutoriel reprend ces recommandations et les détaille pas à pas.

1. Verrouillez l’écran correctement

La base absolue, et pourtant encore trop souvent négligée. Un code simple (0000, 1234) ou l’absence totale de verrouillage rend inutiles toutes les autres mesures de sécurité de l’appareil.

Configurez un code d’accès complexe (6 chiffres minimum, ou mieux, un mot de passe alphanumérique) plutôt qu’un schéma de déverrouillage facilement repérable aux traces de doigts sur l’écran.
Activez la biométrie (empreinte digitale, reconnaissance faciale) en complément — pratique au quotidien, mais gardez toujours le code en secours, seul recours en cas d’échec de lecture biométrique.
Réduisez le délai de verrouillage automatique de l’écran (30 secondes à 1 minute d’inactivité) plutôt que de le laisser sur plusieurs minutes.

2. Mettez à jour systématiquement l’OS et les applications

Chaque mise à jour corrige des failles de sécurité parfois déjà exploitées activement. Un téléphone qui traîne trois versions derrière son système d’exploitation est une porte d’entrée ouverte.

Activez les mises à jour automatiques du système d’exploitation dans les réglages, plutôt que de repousser indéfiniment les notifications.
Faites de même pour les applications installées, via le Play Store ou l’App Store.
Redémarrez régulièrement votre téléphone — un simple redémarrage hebdomadaire limite la persistance de certains logiciels malveillants qui ne survivent pas au reboot.
Un appareil qui ne reçoit plus de mises à jour de sécurité de son fabricant (matériel trop ancien) devient un risque cumulatif — c’est un critère à prendre en compte au moment de renouveler son téléphone.

3. Installez vos applications uniquement depuis les stores officiels

Google Play Store et Apple App Store appliquent des contrôles de sécurité — imparfaits, mais réels — avant publication. Un fichier APK récupéré sur un site tiers ou un lien de « chargement latéral » (sideloading) contourne entièrement ces contrôles.

Évitez les boutiques d’applications alternatives non vérifiées et les liens de téléchargement direct reçus par SMS ou email.
Vérifiez le nombre d’installations, les avis et le nom du développeur avant d’installer une application peu connue — une appli à 500 téléchargements qui promet des fonctionnalités miracles mérite votre méfiance.

4. Passez en revue les autorisations des applications

Une application de lampe torche n’a aucune raison légitime de demander l’accès à vos contacts ou à votre micro.

Dans les réglages de confidentialité, parcourez la liste des autorisations accordées (localisation, micro, caméra, contacts, SMS) application par application.
Révoquez tout accès qui ne correspond pas à un usage évident de l’application.
Préférez, quand l’option existe, l’autorisation « uniquement pendant l’utilisation de l’application » plutôt que l’accès permanent en arrière-plan.
Désinstallez les applications inutilisées : chaque application installée est une surface d’attaque potentielle supplémentaire, même quand vous ne l’ouvrez plus depuis des mois.

5. Sauvegardez régulièrement vos données

Perte, vol, casse, ransomware mobile : la sauvegarde est votre seul vrai filet de sécurité contre la perte définitive de vos photos et documents.

Activez la sauvegarde automatique vers le cloud (iCloud, Google Drive/Photos) ou effectuez des sauvegardes locales régulières sur un support de confiance.
Vérifiez de temps en temps que la restauration fonctionne réellement — une sauvegarde jamais testée est une sauvegarde théorique.

6. Méfiez-vous des réseaux Wi-Fi publics et des connexions inconnues

Sur un Wi-Fi public (aéroport, café, hôtel), évitez de vous connecter à des services sensibles (banque, email professionnel) sans protection supplémentaire ; privilégiez votre connexion 4G/5G ou un VPN de confiance si vous devez absolument utiliser ce réseau.
Ne branchez jamais votre téléphone sur un chargeur ou un port USB public inconnu (borne de recharge en gare, aéroport…) : un câble ou une borne piégés peuvent exfiltrer des données ou installer un logiciel malveillant, une attaque connue sous le nom de « juice jacking ». Utilisez votre propre chargeur secteur, ou un câble « data-blocker » qui ne transmet que le courant.
Ne connectez pas votre téléphone à un ordinateur ou un support de stockage dont vous n’êtes pas certain de la fiabilité.

7. Désactivez les connectivités inutilisées

Wi-Fi, Bluetooth, NFC et localisation activés en permanence, même sans usage, élargissent inutilement la surface d’attaque et consomment de la batterie au passage.

Coupez le Bluetooth et le NFC quand vous ne les utilisez pas activement.
Désactivez la localisation en continu ; activez-la à la demande pour les applications qui en ont réellement besoin (navigation GPS, par exemple).
Ne laissez pas le Wi-Fi se connecter automatiquement à n’importe quel réseau ouvert détecté à proximité — désactivez la connexion automatique aux réseaux inconnus dans les réglages Wi-Fi avancés.

8. Séparez vos usages personnels et professionnels

Mélanger comptes pro et perso sur un même appareil complique la gestion des risques : une compromission personnelle (application douteuse, lien piégé reçu par un proche) peut exposer des données professionnelles sensibles, et inversement.

Utilisez, si votre employeur le propose, les fonctionnalités de conteneurisation professionnelle (profil de travail séparé sur Android, gestion MDM) plutôt qu’un compte professionnel mélangé aux applications personnelles.
Pour les échanges vraiment sensibles, envisagez un appareil dédié plutôt qu’un partage systématique du même terminal.

9. Privilégiez une messagerie chiffrée pour les informations sensibles

Le SMS classique n’est pas chiffré de bout en bout et transite par l’infrastructure de l’opérateur sans garantie de confidentialité forte.

Pour échanger des informations sensibles (mots de passe temporaires, documents confidentiels, données personnelles), privilégiez une messagerie à chiffrement de bout en bout plutôt que le SMS.
Restez vigilant même sur ces messageries : le chiffrement protège le contenu en transit, pas votre jugement face à un message frauduleux.

10. Restez vigilant face au phishing et au smishing

Le hameçonnage par SMS (« smishing ») exploite la confiance qu’on accorde naturellement à un message reçu sur son téléphone personnel — colis en attente, amende à payer, banque qui « vérifie » votre compte.

Ne cliquez jamais sur un lien reçu par SMS ou message d’une source inattendue sans vérifier indépendamment sa légitimité (en tapant vous-même l’adresse du site officiel plutôt qu’en suivant le lien).
Méfiez-vous particulièrement des messages qui demandent d’associer votre appareil à un nouveau compte, ou qui créent un sentiment d’urgence (« votre compte sera suspendu dans 24h »).
En cas de doute sur un message ou un appel, contactez l’organisme concerné par un canal officiel que vous connaissez déjà, jamais via les coordonnées fournies dans le message suspect lui-même.

Anticiper la perte ou le vol

Même avec toutes ces précautions, un téléphone peut être perdu ou volé. Préparez cette éventualité à l’avance :

Activez les fonctionnalités de localisation à distance (Localiser mon iPhone / Localiser mon appareil sur Android), qui permettent aussi de verrouiller ou d’effacer l’appareil à distance.
Notez et conservez en lieu sûr le numéro IMEI de votre téléphone (composez *#06# pour l’afficher) — indispensable pour signaler un vol à votre opérateur et faire bloquer l’appareil.
En cas de perte ou de vol confirmé, changez immédiatement les mots de passe des comptes sensibles accessibles depuis l’appareil (email, banque), en commençant par l’email principal qui sert souvent de sésame pour réinitialiser tous les autres.

En résumé

Aucune de ces mesures n’est spectaculaire prise isolément — c’est justement leur cumul qui fait la différence. Un code d’accès solide, des mises à jour à jour, des permissions passées en revue et une vigilance de base face au phishing couvrent déjà l’essentiel des scénarios d’attaque réels visant les particuliers. Le reste (VPN, séparation pro/perso, conteneurisation) s’ajoute selon votre niveau d’exposition et vos besoins réels — inutile de viser la paranoïa totale si votre usage est purement personnel et sans enjeu professionnel sensible.