Chaîne YouTube piratée : une clé d’accès ne suffit pas sans plan de secours

Pour protéger une chaîne YouTube contre le phishing sans risquer de perdre votre propre accès, créez une clé d’accès sur un appareil personnel et préparez un autre moyen de vous connecter au compte Google. Vérifiez aussi les personnes autorisées à gérer la chaîne : la sécurité du compte principal ne protège pas les comptes des collaborateurs.

Le plan de secours doit fonctionner si le téléphone qui porte la clé disparaît. Les étapes ci-dessous relient la connexion au compte Google, les permissions dans YouTube Studio et la récupération de la chaîne après une intrusion. Faites-les dans cet ordre tant que vous avez encore accès à tous vos appareils.

Préparer la chaîne et ses accès en sept étapes

1. 1. Inventoriez les accès. Identifiez le compte Google associé à la chaîne, les autres comptes qui peuvent la gérer et les appareils sur lesquels vous êtes connecté. Dans les paramètres de sécurité du compte, relevez les clés d’accès enregistrées ainsi que les coordonnées de récupération. Ouvrez ensuite les permissions de YouTube Studio : une personne inconnue ou un ancien prestataire doit être examiné avant d’ajouter un nouveau moyen de connexion.

   Notez également qui peut modifier les permissions de la chaîne et comment joindre cette personne en dehors de la messagerie liée au compte. Ce repère devient utile si cette boîte de réception est inaccessible pendant l’incident.

2. 2. Créez une clé d’accès sur un appareil personnel. Dans les options de connexion du compte Google, ouvrez « Clés d’accès et clés de sécurité », puis créez la clé sur un téléphone ou un ordinateur que vous contrôlez. Les consignes de Google sur les clés d’accès expliquent que cette connexion résiste mieux au phishing qu’un mot de passe et qu’une personne capable de déverrouiller l’appareil peut accéder au compte. Évitez donc l’appareil partagé et protégez son déverrouillage.

   Repérez dès maintenant la liste des clés enregistrées. Si vous perdez un appareil, vous pourrez ouvrir les mêmes réglages depuis un autre appareil accessible, sélectionner la clé que vous avez créée et la supprimer. Une clé créée automatiquement sur Android suit un autre parcours : il faut déconnecter l’appareil concerné depuis « Vos appareils ».

3. 3. Protégez les autres parcours de connexion. Activez la validation en deux étapes et gardez un mot de passe propre à ce compte. La clé d’accès peut permettre une connexion sans mot de passe ; selon le parcours choisi, le mot de passe et les autres méthodes enregistrées restent utilisables. Les recommandations de l’ANSSI préconisent la double authentification lorsqu’elle est disponible et un mot de passe distinct pour chaque accès.

   Appliquez cette discipline aux comptes des collaborateurs, chacun sur son propre compte. Une permission accordée dans YouTube Studio donne accès à la chaîne par le compte de son titulaire ; renforcer seulement celui de la personne propriétaire laisse donc d’autres accès à surveiller.

4. 4. Mettez les moyens de secours à portée. Vérifiez que l’adresse e-mail et le numéro de récupération sont actuels et que vous pouvez utiliser au moins un moyen de secours sans votre téléphone principal. Si votre configuration de validation en deux étapes propose des codes de secours, générez-les et conservez-les dans un endroit protégé, distinct de l’appareil quotidien. Un code de secours sert à franchir la seconde étape de connexion avec le mot de passe ; il ne remplace pas ce mot de passe.

   Si les codes ont disparu ou ont pu être consultés par quelqu’un d’autre, créez un nouveau jeu pour rendre l’ancien inutilisable. Conserver une copie sur le seul téléphone que vous risquez de perdre ne résout pas le problème d’accès.

5. 5. Prévoyez la perte d’un appareil. Consultez la liste des appareils connectés au compte Google et fermez les sessions que vous ne reconnaissez pas. Si le téléphone est perdu, connectez-vous depuis un autre appareil accessible, supprimez la clé liée au téléphone disparu et déconnectez celui-ci du compte. Lorsque plusieurs sessions portent le même nom d’appareil, examinez-les toutes : ce nom ne permet pas à lui seul de savoir si elles viennent d’un ou de plusieurs appareils.

   La suppression d’une clé créée manuellement et la déconnexion d’un appareil Android dont la clé a été créée automatiquement sont deux actions différentes. Savoir à l’avance quel cas vous concerne évite de chercher le mauvais bouton lorsque l’appareil manque.

6. 6. Déléguez sans partager les identifiants. Dans les permissions de YouTube Studio, donnez à chaque collaborateur un accès avec son propre compte et choisissez un rôle adapté à son travail. Une personne chargée de publier une vidéo n’a pas forcément besoin de gérer les permissions des autres. Réexaminez ces rôles quand l’équipe change et retirez les accès devenus inutiles.

   Cette organisation permet de retirer l’accès d’un collaborateur sans transmettre ni changer les identifiants du compte principal. Elle suppose que chaque personne autorisée protège aussi son compte et dispose de ses propres moyens de récupération.

7. 7. Répétez le parcours de secours. Depuis un autre appareil que votre téléphone principal, vérifiez que vous connaissez l’adresse du compte, que les options de connexion prévues sont disponibles et que les coordonnées de récupération sont encore utilisables. Contrôlez où sont conservés les codes de secours sans en consommer un uniquement pour cet exercice.

   La personne responsable de la chaîne doit pouvoir décrire la suite des actions : retrouver l’accès au compte Google, retirer la clé de l’appareil perdu, fermer ses sessions, puis examiner les permissions de la chaîne. Si une étape dépend toujours du téléphone absent dans ce scénario, préparez une autre méthode avant d’en avoir besoin.

Si la chaîne a déjà été compromise

Récupérez et sécurisez d’abord le compte Google associé à la chaîne. Les instructions de YouTube pour nettoyer une chaîne piratée décrivent ensuite la vérification des vidéos ajoutées, des permissions et des informations de la chaîne. L’outil de nettoyage de YouTube Studio est destiné aux propriétaires et aux gestionnaires lorsqu’il est disponible ; les changements peuvent aussi être examinés manuellement.

Suivez cet ordre pour récupérer le compte Google, retirer les accès suspects et corriger les modifications sur la chaîne. Après récupération du compte, les créateurs éligibles, notamment ceux du Programme Partenaire YouTube, peuvent solliciter l’assistance aux créateurs. Un collaborateur encore autorisé peut aider à repérer un changement dans YouTube Studio, mais son accès à la chaîne ne lui permet pas de récupérer le compte Google d’une autre personne.

À lire aussi :

• Chaîne YouTube piratée : récupérer Google avant de réparer les vidéos
• Sécuriser un agent IA : la sandbox ne suffit pas sans cinq contrôles
• Search Console suit désormais une chaîne YouTube, mais pas ses impressions internes