Anciens appareils connectés à vos comptes : faire l’inventaire et retirer les accès inutiles

L’ancien téléphone ne sert plus qu’à écouter de la musique. La tablette a été donnée à un proche et l’ordinateur d’un précédent emploi est parti depuis longtemps. Pourtant, leurs connexions peuvent encore apparaître dans les paramètres de vos comptes. Avant de supprimer des lignes au hasard, il faut distinguer l’appareil, les sessions ouvertes et les autorisations accordées à des applications.

Cette revue évite de conserver des accès devenus inutiles et permet de repérer une connexion que vous n’expliquez pas. Elle demande surtout un ordre de travail : sécuriser votre accès actuel, identifier les éléments, puis retirer les droits adaptés.

Commencer depuis un accès que vous maîtrisez

Choisissez un appareil personnel à jour, sur lequel vous connaissez l’origine des logiciels installés. Ouvrez directement les paramètres de sécurité du service. N’utilisez pas le lien d’un courriel alarmant pour commencer cette vérification : une fausse alerte peut justement chercher à récupérer votre mot de passe.

Avant toute révocation, assurez-vous de connaître votre mot de passe et de disposer du deuxième facteur nécessaire. Vérifiez aussi les coordonnées de récupération. Une revue des accès ne doit pas vous laisser dépendant du téléphone que vous allez retirer.

La messagerie principale mérite de passer en premier : elle reçoit souvent les liens de réinitialisation d’autres services. Viennent ensuite le gestionnaire de mots de passe, les espaces de stockage, les comptes financiers et les outils professionnels. Pour ces derniers, les règles de votre organisation peuvent imposer une intervention du support.

Préparez un inventaire simple avec le service, le nom affiché de l’appareil, son propriétaire actuel et l’action envisagée. N’y inscrivez pas de mots de passe ni de codes. Le but est de suivre des décisions, pas de créer un nouveau fichier de secrets.

Si un appareil a été volé ou si une prise de contrôle est probable, cette revue ordinaire ne suffit plus. Il faut traiter l’incident sans attendre, notamment en protégeant la messagerie et en prévenant l’administrateur du compte professionnel.

Lire les listes sans confondre appareil et session

Une session active est un accès authentifié à un service. Un même ordinateur peut en posséder plusieurs : navigateur personnel, autre navigateur, application de messagerie ou profil professionnel. À l’inverse, un nom générique peut ne pas permettre de distinguer deux téléphones proches.

Google indique qu’un appareil peut présenter plusieurs sessions et que des activités récentes peuvent résulter d’une synchronisation en arrière-plan. L’heure affichée ne correspond donc pas toujours à une intervention humaine. Une ligne vue aujourd’hui n’implique pas qu’une personne a ouvert votre boîte à cet instant.

La localisation approximative doit aussi être interprétée avec prudence. Le réseau mobile, un VPN ou le routage du fournisseur peuvent donner une ville différente de la vôtre. Ce décalage reste un signal à examiner avec d’autres éléments, pas une preuve autonome de piratage.

Recoupez la date de première utilisation, le navigateur, le système et les habitudes du foyer. Un accès ancien près d’un lieu de vacances peut être explicable. Un navigateur inconnu associé à une modification de vos coordonnées l’est beaucoup moins.

Classez les éléments en trois groupes : reconnu et encore utile ; reconnu mais inutile ; inconnu à vérifier. Pour le dernier groupe, cherchez d’abord une explication concrète, sans passer des heures à défendre une connexion suspecte. Si vous ne pouvez pas la reconnaître, suivez la procédure de sécurité du fournisseur et révoquez l’accès concerné.

Prenez garde aux listes purement historiques. Certains services affichent des appareils récemment utilisés, y compris après déconnexion. La présence d’un nom n’indique pas toujours qu’il possède encore un droit actif. Lisez le statut et les actions disponibles.

Retirer ce qui permet encore d’agir

Pour un appareil reconnu devenu inutile, utilisez la commande de déconnexion à distance prévue par le service. Lorsque plusieurs sessions correspondent au même ancien appareil, examinez chacune d’elles ou utilisez l’option globale proposée. Les intitulés et la portée varient selon les fournisseurs.

Retirer un appareil de votre compte ne signifie pas nécessairement effacer les fichiers qui y ont déjà été téléchargés. Les courriels conservés hors ligne, pièces jointes, photos et exports peuvent rester sur le support. C’est la différence entre bloquer un accès futur et supprimer une copie existante.

Cette distinction compte particulièrement avant de donner ou de vendre du matériel. Il faut sauvegarder ce qui doit être conservé, retirer les comptes selon la procédure du fabricant, puis réinitialiser correctement l’appareil. La simple suppression d’une ligne dans un tableau de sécurité ne prépare pas un ordinateur à la revente.

Pour un appareil égaré, les fonctions de localisation, de verrouillage et d’effacement constituent un parcours distinct. Vérifiez les prérequis et les conséquences avant de retirer l’appareil d’un compte qui permet encore de le retrouver ou de le protéger. Certaines opérations peuvent empêcher des actions ultérieures.

Une clé d’accès enregistrée sur un ancien appareil mérite également un examen spécifique. La session peut être fermée alors qu’un moyen d’authentification reste enregistré. Consultez la rubrique des méthodes de connexion et retirez les éléments qui ne doivent plus autoriser de nouvelles connexions.

Après l’opération, contrôlez le résultat dans les paramètres. Ne vous contentez pas du souvenir d’avoir cliqué. Si une connexion réapparaît sans explication, cherchez un mécanisme de reconnexion ou un autre accès encore valide.

Examiner les applications autorisées à côté des appareils

Les applications tierces peuvent conserver des permissions indépendantes d’une session de navigateur. Un outil de calendrier, un logiciel de sauvegarde ou une ancienne application de retouche peut avoir reçu l’autorisation de lire ou modifier certaines données.

Ouvrez la liste des connexions et autorisations du compte. Pour chaque application, vérifiez le nom de l’éditeur, le service utilisé et l’étendue des droits. Une application que vous reconnaissez peut néanmoins disposer d’autorisations beaucoup plus larges que votre usage actuel ne le justifie.

Retirez les connexions abandonnées. Pour une application utile, vérifiez si des permissions plus limitées sont disponibles. La bonne question n’est pas seulement « ai-je déjà utilisé ce logiciel ? », mais « a-t-il encore besoin de ce droit aujourd’hui ? ».

Google précise que retirer un accès tiers empêche les accès futurs concernés, sans supprimer automatiquement les données déjà copiées chez le prestataire. Si vous souhaitez leur effacement, examinez aussi le compte détenu auprès de ce prestataire et ses possibilités de suppression.

Les mots de passe d’application, lorsqu’ils existent, constituent une autre catégorie. Ils peuvent servir à un ancien client de messagerie ou à un appareil ne prenant pas en charge la connexion moderne. Les supprimer peut couper une synchronisation encore utile : identifiez le logiciel dépendant avant d’agir, puis révoquez ceux qui ne servent plus.

Dans une petite équipe, ajoutez les jetons d’API et les comptes de service à la revue, avec l’aide du responsable technique. Ils ne sont pas toujours visibles dans la liste des appareils et ne doivent pas être effacés au hasard sur un système en production.

Rechercher les conséquences d’un accès douteux

Une connexion inconnue appelle des contrôles supplémentaires : activité récente, nouveaux facteurs d’authentification, adresse de récupération modifiée et règles de transfert de messagerie. Une personne qui a eu accès au compte peut avoir préparé une autre façon de recevoir vos informations.

Le changement de mot de passe est pertinent en cas de compromission, mais sa portée sur les sessions existantes varie. Utilisez les commandes prévues pour fermer les sessions ou sécuriser un compte compromis. Ne présumez pas qu’un nouveau mot de passe annule automatiquement tous les jetons et toutes les autorisations.

Pour les documents partagés, vérifiez aussi si des destinataires ont été ajoutés. Une session supprimée ne retire pas forcément un lien public créé auparavant. Pour la messagerie, contrôlez les messages envoyés, supprimés et archivés lorsque le service le permet.

Conservez les dates et éléments utiles avant de modifier massivement les paramètres. Pour un compte professionnel, transmettez ces observations au support via un canal connu ; elles peuvent aider à comprendre l’incident. Évitez de continuer à utiliser un poste suspect pour saisir les nouveaux secrets.

Une fois la revue terminée, donnez des noms reconnaissables à vos appareils lorsque c’est possible et enregistrez la décision prise pour chaque accès. La prochaine vérification sera plus rapide si « téléphone personnel actuel » se distingue clairement d’un modèle conservé dans un tiroir.

Déclenchez une nouvelle revue après une perte, un départ de collaborateur, un changement de téléphone ou l’abandon d’un service important. Une routine de retrait au moment de la transition vaut mieux qu’une grande liste incompréhensible plusieurs années plus tard. Le résultat attendu est simple : savoir quels accès restent autorisés, pourquoi ils le sont et comment les fermer.