Tu veux recevoir une alerte si une porte s’ouvre chez toi pendant ton absence, avec une photo prise automatiquement par ta caméra ? Voici comment mettre en place ce système avec Home Assistant, des capteurs Zigbee et l’application Companion sur Android.
Prérequis : Home Assistant installé et accessible depuis l’extérieur via une URL sécurisée (https), Zigbee2MQTT opérationnel, application Home Assistant Companion installée sur ton téléphone Android, service d’envoi d’email déjà configuré dans HA (voir Détecter une coupure de courant avec Home Assistant).
Les capteurs d’ouverture de porte
Les capteurs d’ouverture Zigbee doivent être appairés et visibles dans Home Assistant avant de commencer. Si ce n’est pas encore fait, consulte l’article Étendre son réseau Zigbee dans Home Assistant qui couvre l’appairage et le maillage Zigbee.
Une fois appairés, chaque capteur expose une entité de type binary_sensor dans HA. Pour retrouver leurs identifiants exacts, va dans Paramètres > Appareils et services > Entités et filtre sur « contact ». Tu obtiendras des identifiants de la forme :
Note : certains capteurs bon marché (comme les MOES ZG-1027L utilisés ici) mesurent aussi la luminosité en plus de l’ouverture. Les deux fonctions coexistent sans se gêner – l’entité contact reste bien celle qui détecte l’ouverture.
Créer le groupe de capteurs
Plutôt que de surveiller chaque capteur individuellement dans l’automatisation, on les regroupe dans un seul capteur virtuel. Ce groupe passe à « activé » dès qu’une seule porte s’ouvre, et revient à « désactivé » quand toutes sont fermées. Ajouter une nouvelle porte plus tard se résume à ajouter une ligne dans ce groupe.
Va dans Paramètres > Appareils et services > Entrées, clique sur + Créer une entrée, puis choisis Groupe > Groupe binaire.
Nom : Groupe ouvertures surveillées
Membres : ajoute tes capteurs d’ouverture
Option « Toutes les entités » : désactivée (logique « au moins un »)
Enregistre. HA crée automatiquement l’entité binary_sensor.groupe_ouvertures_surveillees.
Détecter la présence par téléphone
Créer l’entité Personne
Dans HA, va dans Paramètres > Personnes, crée une entrée pour chaque personne à suivre et associe-lui le téléphone correspondant. HA crée automatiquement une entité person.personne_1 qui passe à home ou not_home selon la position du téléphone.
Configurer l’application Companion
La détection de présence ne fonctionne correctement que si l’application est bien configurée. Deux points sont critiques.
L’URL du serveur : l’app doit pouvoir joindre HA aussi bien depuis le réseau local que depuis l’extérieur. Dans l’app, va dans ≡ > Paramètres > Companion app > Serveur et configure :
URL de Home Assistant : https://ha.ton-domaine.com (ton URL externe)
URL de connexion interne : http://192.168.x.x:8123 (l’IP locale de ton mini PC)
Si seule l’IP locale est renseignée, le téléphone perd le contact avec HA dès qu’il quitte le Wi-Fi maison et ne remonte plus aucune donnée – y compris sa position.
Les capteurs de localisation : dans ≡ > Paramètres > Companion app > Capteurs > Capteurs de localisation, active :
Localisation en arrière-plan
Zone de localisation
Sans ces deux options, HA ne reçoit aucune information de position.
Dans les paramètres Android, vérifie aussi que l’app Home Assistant dispose de la permission de localisation réglée sur « Toujours autoriser », et que l’optimisation de batterie est désactivée pour cette app.
Le capteur Wi-Fi comme filet de sécurité
La détection GPS peut être lente ou imprécise selon les conditions. On ajoute donc un deuxième critère : si le téléphone n’est plus connecté au Wi-Fi maison, on considère la personne comme absente.
L’entité à utiliser est sensor.telephone1_wi_fi_connection (remplace par l’identifiant correspondant à ton téléphone). Sa valeur est le nom du réseau Wi-Fi connecté (par exemple MON_RESEAU_WIFI) quand tu es à la maison, et <not connected> quand tu es dehors.
Pour activer ce capteur, va dans Paramètres > Appareils et services > Entités, recherche ton téléphone et active l’entité « Wi-Fi connection » si elle est désactivée.
L’automatisation
L’automatisation se déclenche quand le groupe de capteurs passe à « ouvert », à condition qu’au moins l’une des deux conditions suivantes soit vraie : person.personne_1 est not_home, ou le Wi-Fi du téléphone n’est pas le réseau maison.
Elle prend alors un snapshot de la caméra avec un nom horodaté, puis envoie un email avec la photo en pièce jointe.
Note sur la caméra : cette configuration fonctionne avec une caméra intégrée dans HA via l’intégration Tuya. Cette intégration cloud est limitée – elle ne permet pas l’enregistrement local continu ni la gestion avancée des flux vidéo. Le snapshot (photo statique au moment du déclenchement) est la seule action fiable disponible depuis HA avec ce type de caméra.
Le snapshot est sauvegardé dans le dossier /media du container Home Assistant. Ce dossier doit être mappé explicitement dans le docker-compose.yml de Portainer :
Crée le dossier sur le mini PC avant de redémarrer le container :
mkdir /home/USER/docker/home-assistant/media
Va dans Paramètres > Automatisations, clique sur + Créer une automatisation, choisis Créer une automatisation vide, puis passe en mode YAML et colle le code suivant :
alias: "[home AL] Alerte ouverture en absence"
description: >-
Alerte si une porte s'ouvre alors qu'aucune personne autorisée n'est à la
maison. Automatisation : alerte_ouverture_absence_v2
triggers:
- entity_id: binary_sensor.groupe_ouvertures_surveillees
to: "on"
trigger: state
conditions:
- condition: or
conditions:
- condition: state
entity_id: person.personne_1
state: "not_home"
- condition: not
conditions:
- condition: state
entity_id: sensor.telephone1_wi_fi_connection
state: "MON_RESEAU_WIFI"
actions:
- variables:
snapshot_file: >
/media/alerte_ouverture_{{ now().strftime('%Y%m%d_%H%M%S') }}.jpg
- action: camera.snapshot
data:
filename: "{{ snapshot_file }}"
target:
entity_id: camera.ma_camera
- action: notify.email_alertes
data:
title: "[home AL] Ouverture détectée en absence"
message: >
Une porte ou fenêtre surveillée vient de s'ouvrir alors qu'aucune
personne autorisée n'est détectée à la maison.
Heure : {{ now().strftime('%d/%m/%Y à %H:%M:%S') }}.
(Automatisation : alerte_ouverture_absence_v2)
data:
images:
- "{{ snapshot_file }}"
mode: single
Adapte les identifiants suivants à ta configuration :
binary_sensor.groupe_ouvertures_surveillees : l’identifiant de ton groupe de capteurs
person.personne_1 : l’entité Personne de ton téléphone
sensor.telephone1_wi_fi_connection : le capteur Wi-Fi de ton téléphone
MON_RESEAU_WIFI : le nom de ton réseau Wi-Fi maison
camera.ma_camera : l’identifiant de ta caméra
notify.email_alertes : le nom de ton service d’email
Tester
Pour tester sans sortir de chez toi, désactive le Wi-Fi de ton téléphone. L’entité sensor.telephone1_wi_fi_connection passe alors à <not connected>, ce qui satisfait la condition d’absence.
Ouvre ensuite une porte surveillée. Tu dois recevoir un email avec la photo en pièce jointe dans les secondes qui suivent, et un fichier horodaté doit apparaître dans /home/USER/docker/home-assistant/media/.
Pour vérifier le détail d’une exécution, va dans Paramètres > Automatisations > [home AL] Alerte ouverture en absence > Historique des exécutions.
Ajouter un deuxième téléphone
Pour surveiller un deuxième téléphone, ajoute son entité Personne et son capteur Wi-Fi dans les conditions. L’alerte ne se déclenche que si les deux personnes sont absentes :
conditions:
- condition: or
conditions:
- condition: and
conditions:
- condition: state
entity_id: person.personne_1
state: "not_home"
- condition: state
entity_id: person.personne_2
state: "not_home"
- condition: and
conditions:
- condition: not
conditions:
- condition: state
entity_id: sensor.telephone1_wi_fi_connection
state: "MON_RESEAU_WIFI"
- condition: not
conditions:
- condition: state
entity_id: sensor.telephone2_wi_fi_connection
state: "MON_RESEAU_WIFI"
Tu veux savoir si une coupure de courant a eu lieu chez toi pendant ton absence, sans investir dans du matériel dédié ? Voici comment détecter une panne secteur avec des prises connectées Zigbee et Home Assistant, et recevoir une alerte par e-mail à chaque coupure et à chaque retour du courant.
Cet article s’inscrit dans la série Domotique avec Home Assistant et réutilise l’infrastructure mise en place dans la série Projets Ubuntu (Docker, Portainer, Zigbee2MQTT).
Le matériel utilisé
Un mini PC Ubuntu, protégé par un onduleur, faisant tourner Home Assistant, Mosquitto et Zigbee2MQTT en containers Docker
Un dongle Zigbee (Sonoff MG21)
Cinq prises connectées Zigbee Nous A7Z, chacune alimentant un appareil différent de la maison (dont le réfrigérateur et le congélateur, dont la charge constante en fait de bons indicateurs)
Un Chromecast Audio, connecté en Wi-Fi
L’idée : si tous ces appareils disparaissent du réseau en même temps, c’est qu’il n’y a plus de courant dans la maison. Le mini PC et sa box internet, eux, restent en ligne grâce à l’onduleur.
Demander à Zigbee2MQTT de vérifier activement le réseau
Sans réglage supplémentaire, une prise Zigbee débranchée, ou sans courant, ne passe jamais à indisponible : Zigbee2MQTT ne vérifie pas activement, par défaut, si un appareil alimenté sur secteur répond encore. Il se contente d’afficher la dernière valeur reçue, indéfiniment, tant qu’aucun nouveau message n’arrive. Pour une prise débranchée, ça veut dire un blocage permanent sur son dernier état connu.
Il faut donc activer la fonctionnalité de vérification de disponibilité de Zigbee2MQTT, qui va interroger (ping) les prises à intervalles réguliers pour confirmer qu’elles répondent encore.
Piège à éviter : ce réglage ne doit jamais être fait en éditant directement le fichier configuration.yaml de Zigbee2MQTT à la main. Zigbee2MQTT garde sa configuration active en mémoire et la réécrit sur le fichier physique à chaque redémarrage du container, ce qui efface silencieusement toute modification manuelle qui n’a pas été prise en compte par le service lui-même.
Le bon réglage passe par l’interface Web de Zigbee2MQTT :
Va dans Paramètres > Disponibilité
Active la case « Activer les vérifications de disponibilité »
Dans la section Active, renseigne un timeout (en minutes). Trois minutes est un bon compromis entre rapidité de détection et charge sur le dongle Zigbee
Enregistre
Ce réglage global s’applique à tous les appareils Zigbee alimentés sur secteur (comme les prises), sans qu’il soit nécessaire d’activer quoi que ce soit individuellement pour chacune.
Une fois activé, débranche une prise et observe sa fiche dans le frontend de Zigbee2MQTT : après le délai configuré, elle passe à « Disponibilité : Désactivé ». Côté Home Assistant, l’entité switch correspondante passe à indisponible au même moment, ce qui fait automatiquement basculer le capteur de groupe.
Sécuriser l’envoi d’e-mail
Avant de configurer l’envoi d’alertes, un point de sécurité important : n’utilise jamais un compte e-mail personnel ou professionnel pour ce genre d’automatisation. Si ce compte est compromis un jour, l’impact reste limité à cette seule automatisation.
La bonne pratique consiste à créer un compte Gmail secondaire, dédié uniquement à l’envoi de ces alertes, avec un mot de passe d’application (pas le mot de passe du compte lui-même). Tout le détail de cette mise en place, avec l’activation de la double authentification (mais pas la création du mot de passe d’application), fait l’objet d’un article séparé : Sécuriser son compte Gmail avec la double authentification et Aegis Authenticator.
Une fois le mot de passe d’application créé, tous les identifiants (mot de passe, adresse expéditrice, adresse destinataire) sont stockés dans secrets.yaml, jamais directement dans configuration.yaml, pour ne jamais les exposer si tu partages ta configuration.
Dans /home/USER/docker/home-assistant/config/secrets.yaml :
Après modification, redémarre complètement le container Home Assistant : ce type de service (notify) n’est pas pris en compte par un simple rechargement de configuration.
Pour tester, va dans Outils de développement > Actions, cherche notify.email_alertes, renseigne un message, et lance l’action. Vérifie ta boîte de réception, y compris le dossier spam : un premier envoi automatisé depuis une adresse encore peu utilisée y atterrit parfois. Marquer le message comme « non spam » et ajouter l’adresse aux contacts résout le problème pour la suite.
Créer les capteurs template et le groupe
Le Chromecast Audio se comporte différemment des prises Zigbee : c’est un appareil Wi-Fi, dont Home Assistant détecte lui-même la perte de connexion en quelques secondes, sans configuration particulière à ajouter côté réseau. Son entité media_player passe directement à indisponible en cas de coupure.
Les prises Zigbee, elles, ont besoin d’un réglage supplémentaire détaillé dans la section suivante avant de se comporter de la même façon. On va surveiller la présence de chaque appareil sur le réseau Zigbee, pas sa consommation. Home Assistant expose pour chaque prise Zigbee une entité switch, qui représente son état de connexion. Tant que la prise répond, cette entité a une valeur (on ou off, selon que la prise est allumée ou éteinte manuellement). Si la prise ne répond plus, l’entité passe à indisponible.
On crée d’abord un capteur « template » par appareil : des capteurs virtuels qui traduisent l’état de chaque appareil en on ou off, selon qu’il est présent ou non sur le réseau. Puis on les regroupe en un seul capteur, qui résume l’état du secteur pour toute la maison.
À ajouter dans configuration.yaml :
template:
- binary_sensor:
- name: "Courant Prise A Bureau"
unique_id: courant_prise_a_bureau
device_class: power
state: >
{{ states('switch.prise_a_bureau_entree') != 'unavailable' }}
- name: "Courant Prise B Salon"
unique_id: courant_prise_b_salon
device_class: power
state: >
{{ states('switch.prise_b_salon_tel') != 'unavailable' }}
- name: "Courant Prise C Garage"
unique_id: courant_prise_c_garage
device_class: power
state: >
{{ states('switch.prise_c_garage_machine_a_laver') != 'unavailable' }}
- name: "Courant Chromecast Salon"
unique_id: courant_chromecast_salon
device_class: power
state: >
{{ states('media_player.salon') != 'unavailable' }}
- name: "Courant Prise D Frigo"
unique_id: courant_prise_d_frigo
device_class: power
state: >
{{ states('switch.prise_d_frigo') != 'unavailable' }}
- name: "Courant Prise E Congélateur"
unique_id: courant_prise_e_congelateur
device_class: power
state: >
{{ states('switch.prise_e_congelateur') != 'unavailable' }}
binary_sensor:
- platform: group
name: "Courant Secteur Maison"
unique_id: courant_secteur_maison
entities:
- binary_sensor.courant_prise_a_bureau
- binary_sensor.courant_prise_b_salon
- binary_sensor.courant_prise_c_garage
- binary_sensor.courant_chromecast_salon
- binary_sensor.courant_prise_d_frigo
- binary_sensor.courant_prise_e_congelateur
Remplace switch.prise_a_bureau_entree et les autres par les identifiants exacts de tes propres prises. Tu les trouves dans Outils de développement > États, en filtrant sur switch..
Le groupe fonctionne en logique « au moins un » : il reste à on tant qu’un seul des appareils listés est présent sur le réseau, et ne passe à off que si tous sont indisponible en même temps. C’est ce qui permet de distinguer une vraie coupure générale d’un simple appareil débranché ou en panne.
Pour ajouter une prise supplémentaire plus tard, il suffit de dupliquer un bloc de capteur template avec le bon identifiant, et d’ajouter la ligne correspondante dans entities: du groupe. Rien d’autre à modifier : ni le service notify, ni les automatisations, qui s’appuient uniquement sur le capteur de groupe.
Activer le ping de disponibilité sur Zigbee2MQTT
Sans réglage supplémentaire, une prise Zigbee débranchée ne passe jamais à indisponible : Zigbee2MQTT ne vérifie pas activement, par défaut, si un appareil alimenté sur secteur répond encore. Il se contente d’afficher la dernière valeur reçue, indéfiniment, tant qu’aucun nouveau message n’arrive. Pour une prise débranchée, ça veut dire un blocage permanent sur son dernier état connu.
Il faut donc activer la fonctionnalité de vérification de disponibilité de Zigbee2MQTT, qui va interroger (ping) les prises à intervalles réguliers pour confirmer qu’elles répondent encore.
Piège à éviter : ce réglage ne doit jamais être fait en éditant directement le fichier configuration.yaml de Zigbee2MQTT à la main. Zigbee2MQTT garde sa configuration active en mémoire et la réécrit sur le fichier physique à chaque redémarrage du container, ce qui efface silencieusement toute modification manuelle qui n’a pas été prise en compte par le service lui-même.
Le bon réglage passe par l’interface Web de Zigbee2MQTT :
Va dans Paramètres > Disponibilité
Active la case « Activer les vérifications de disponibilité »
Dans la section Active, renseigne un timeout (en minutes). Trois minutes est un bon compromis entre rapidité de détection et charge sur le dongle Zigbee
Enregistre
Ce réglage global s’applique à tous les appareils Zigbee alimentés sur secteur (comme les prises), sans qu’il soit nécessaire d’activer quoi que ce soit individuellement pour chacune.
Une fois activé, débranche une prise et observe sa fiche dans le frontend de Zigbee2MQTT : après le délai configuré, elle passe à « Disponibilité : Désactivé ». Côté Home Assistant, l’entité switch correspondante passe à indisponible au même moment, ce qui fait automatiquement basculer le capteur de groupe.
Les automatisations
Deux automatisations : une pour signaler le début d’une coupure, une pour signaler le retour du courant. Toutes deux intègrent un délai de 30 secondes avant de se déclencher, pour éviter une alerte sur une micro-coupure sans conséquence.
À ajouter dans /home/USER/docker/home-assistant/config/automations.yaml :
- id: alerte_debut_panne_courant
alias: "Alerte début de panne de courant"
trigger:
- platform: state
entity_id: binary_sensor.courant_secteur_maison
to: "off"
for:
seconds: 30
action:
- service: notify.email_alertes
data:
title: "[home ALD] Coupure de courant détectée"
message: >
Une coupure de courant a été détectée à {{ now().strftime('%H:%M:%S') }}.
Ce mail a été généré automatiquement par Home Assistant d'Anne-Laure, suite à l'automatisation id: alerte_debut_panne_courant.
- id: alerte_fin_panne_courant
alias: "Alerte fin de panne de courant"
trigger:
- platform: state
entity_id: binary_sensor.courant_secteur_maison
to: "on"
for:
seconds: 30
action:
- service: notify.email_alertes
data:
title: "[home ALD] Retour du courant"
message: >
Le courant est revenu à {{ now().strftime('%H:%M:%S') }}.
Ce mail a été généré automatiquement par Home Assistant d'Anne-Laure, suite à l'automatisation id: alerte_fin_panne_courant.
Deux détails utiles à reproduire, indépendamment du sujet de l’automatisation :
Un préfixe cohérent dans le titre (ici [home ALD]) permet de créer facilement un filtre ou une étiquette dans ta messagerie pour regrouper toutes les alertes de ta maison connectée
Une ligne de traçabilité dans le corps du message, citant l’identifiant de l’automatisation à l’origine de l’envoi, facilite le diagnostic si tu dois un jour retrouver quelle automatisation a déclenché quel e-mail
Après modification, recharge les automatisations (Outils de développement > YAML > Recharger les automatisations), ou redémarre complètement Home Assistant si tu préfères.
Bilan des tests réels
Le test décisif consiste à débrancher réellement les appareils concernés, plutôt que de forcer un état depuis l’interface, pour valider le comportement de bout en bout.
En débranchant une seule prise, rien ne se passe : le groupe reste alimenté grâce aux autres appareils encore présents sur le réseau, exactement le comportement attendu. En débranchant tous les appareils, le capteur de groupe passe à indisponible, et l’e-mail de coupure arrive environ 30 secondes après la détection effective par Zigbee2MQTT, conformément au délai configuré dans l’automatisation.
Au rebranchement, le Chromecast est détecté quasiment tout de suite (c’est un appareil Wi-Fi). Les prises Zigbee, elles, réapparaissent en quelques minutes au maximum, le temps que Zigbee2MQTT confirme leur présence lors de son prochain cycle de vérification.
J’ai récemment entrepris de sécuriser l’ensemble de mes comptes en ligne – Google, stockage cloud, messagerie. Ce que j’ai découvert en chemin m’a surprise : ma configuration de départ, que je croyais raisonnable, était en réalité fragile à plusieurs endroits. Cet article retrace la démarche et les principes qui m’ont guidée. Je ne peux pas en détailler toutes les étapes comme je le fais habituellement – la nature même du sujet impose de ne pas trop exposer ses choix techniques. Mais les principes, eux, sont utiles à partager.
Mon point de départ – et ses problèmes
Mon point de départ : un compte Google professionnel et un compte Google personnel, chacun configuré avec un mot de passe plutôt solide et l’adresse de l’autre pour une éventuelle récupération.
Le seul point positif : les mots de passe étaient stockés dans un gestionnaire de mots de passe.
Ce système posait plusieurs problèmes :
Circularité des deux comptes : si quelqu’un prend le contrôle de l’un des deux comptes, il accède immédiatement à l’autre via la récupération. Les deux comptes tombent ensemble.
Absence de second verrou : si quelqu’un accédait à mon mot de passe, il pouvait accéder à mon compte puis à l’autre. La solution : mettre en place la double authentification avec une application indépendante de toute plateforme, qui fonctionne sans connexion réseau.
un ordinateur portable avec des disques durs non chiffrés, que n’importe qui aurait pu lire.
si je n’avais plus accès à mon téléphone, je me retrouvais dépourvue de toute information pour agir.
Voici les solutions adoptées pour résoudre successivement ces problèmes.
Limiter le « blast radius »
Il faut tout faire pour que la compromission d’un seul compte n’ait pas d’impact sur les autres. C’est le principe de limitation du « blast radius » – le rayon de l’explosion.
On évite donc les adresses de récupération croisées : si l’adresse A est l’adresse de récupération de l’adresse B, alors l’adresse de récupération de l’adresse A doit être une adresse C indépendante – pas l’adresse B. Sinon, si quelqu’un prend le contrôle de l’un des deux comptes, il accède immédiatement à l’autre. Les deux tombent ensemble.
Pour les mêmes raisons, les mots de passe des différentes adresses doivent être différents, et on ne stocke pas de données sensibles dans un compte secondaire – les mots de passe d’autres comptes, par exemple.
La double authentification : choisir une application indépendante
Mais cette solution crée une nouvelle dépendance : si je perdais l’accès à mon téléphone (perte, vol, casse), je perdais l’accès à tous les comptes protégés par l’application d’authentification. Les codes de secours sont la réponse à ce problème.
Les codes de secours : prévoir la perte du téléphone
Les codes de secours donnent accès aux comptes protégés même si le téléphone ne peut plus servir : des codes à usage unique, générés par chaque service au moment de l’activation de la 2FA, qui te permettent de te connecter sans téléphone. Chaque code ne peut être utilisé qu’une seule fois.
Quelques principes pour les stocker correctement :
Les copies doivent être indépendantes les unes des autres. Si tous tes codes de secours sont sur Google Drive et que tu perds l’accès à ton compte Google, tu perds aussi les codes qui auraient pu te permettre de le récupérer. Utilise au moins un service de stockage indépendant de Google pour cette copie.
Les copies doivent être géographiquement séparées. Une copie à domicile et une copie ailleurs – chez une personne de confiance, dans un coffre, sur un service cloud accessible depuis n’importe où. Un incendie ou un cambriolage ne doit pas effacer toutes tes copies en même temps.
Une copie papier reste utile. Dans un scénario où tu n’as plus accès à aucun appareil ni à aucun service en ligne, un bout de papier chez une personne de confiance peut être ce qui te permet de tout récupérer.
Note que tous les services ne proposent pas de codes de secours. C’est un critère à prendre en compte : un service qui gère des données importantes et ne propose pas de codes de secours t’expose à une perte d’accès définitive si tu perds ton téléphone.
Chiffrer son ordinateur portable
Un portable volé, c’est potentiellement toutes tes données exposées – y compris les sessions ouvertes, les mots de passe en cache dans les navigateurs, les fichiers temporaires. Le chiffrement du disque rend ces données illisibles sans le bon mot de passe, même si quelqu’un retire le disque et le branche ailleurs.
Un point souvent négligé : si ton ordinateur a deux disques, chiffre les deux – en commençant par le disque qui contient Windows. Le disque système contient bien plus de données sensibles qu’il n’y paraît, même si tous tes fichiers personnels sont sur le second disque.
La personne de confiance et la procédure d’urgence
Tous les systèmes de récupération décrits jusqu’ici supposent que tu peux accéder à quelque chose : un service cloud, un gestionnaire de mots de passe, un appareil. Mais dans un scénario extrême – perte simultanée du téléphone, de l’ordinateur et de l’accès à internet – il faut un dernier filet.
Ce filet, c’est une personne de confiance à qui tu as remis les informations minimales pour t’aider à récupérer l’accès à tes comptes essentiels : codes de secours imprimés, procédure claire expliquant quoi faire et dans quel ordre.
Cette procédure doit être rédigée pour quelqu’un qui n’est pas technicien – elle doit être compréhensible et actionnable sans contexte. Elle doit aussi prévoir un moyen de vérifier l’identité de la personne qui appelle, pour éviter qu’un attaquant ne se fasse passer pour toi.
Les informations les plus sensibles – mots de passe, clés de récupération, informations bancaires – méritent d’être séparées du reste, dans une enveloppe scellée distincte, avec une recommandation de la conserver dans un coffre.
Ce que cette démarche ne couvre pas
Cette démarche se concentre sur les comptes en ligne et l’ordinateur portable. Elle ne couvre pas :
La sécurisation des appareils mobiles (code PIN, chiffrement Android ou iOS)
La gestion des mots de passe eux-mêmes – un gestionnaire de mots de passe (1Password, Bitwarden, Dashlane ou KeePass) est un prérequis implicite à tout ce qui est décrit ici
La sécurité du réseau domestique (routeur, Wi-Fi)
Les sauvegardes de données – un sujet distinct, tout aussi important
Ces sujets ont chacun leur propre complexité et mériteraient des articles dédiés.
Un ordinateur portable volé, c’est d’abord des données personnelles exposées. BitLocker, intégré à Windows, chiffre le contenu de tes disques pour les rendre illisibles sans le bon mot de passe – même si quelqu’un retire le disque dur et le branche sur un autre ordinateur.
Ce que BitLocker protège – et ce qu’il ne protège pas
BitLocker protège les données au repos : quand l’ordinateur est éteint ou verrouillé, le contenu des disques est illisible sans la clé de déchiffrement. Un voleur qui récupère ton portable éteint ne peut rien faire des données.
En revanche, BitLocker ne protège pas un ordinateur allumé et déverrouillé. Si quelqu’un accède à ta session Windows ouverte, il accède aussi à tes fichiers. Le chiffrement du disque ne remplace pas un mot de passe de session solide et l’habitude de verrouiller son écran quand on s’éloigne.
Prérequis
BitLocker est disponible sur Windows 10 et Windows 11 en versions Pro, Entreprise et Éducation. Il n’est pas disponible sur les versions Home.
Pour vérifier ta version de Windows : clique droit sur le menu Démarrer > « Système » > regarde la ligne « Édition Windows ».
Il te faut aussi les droits administrateur sur l’ordinateur pour activer BitLocker.
Pourquoi commencer par le disque qui contient Windows (C:)
Même si tu ranges tous tes fichiers personnels sur un second disque, ton disque C: contient bien plus de données sensibles qu’il n’y paraît :
Les mots de passe enregistrés dans les navigateurs (Chrome, Firefox, Edge) sont stockés sur C:
Les sessions de messagerie et leurs jetons de connexion sont sur C: – un accès à ce disque peut suffire à ouvrir tes boîtes mail sans connaître tes mots de passe
Tout ce qui passe par le dossier Téléchargements atterrit par défaut sur C:
Windows utilise C: comme mémoire temporaire : si tu ouvres un document confidentiel depuis D:, Windows peut en copier des fragments sur C:
Il faut donc toujours commencer par chiffrer C:, et ensuite seulement s’occuper des autres disques.
Chiffrer le disque principal (C:)
Ouvrir le gestionnaire BitLocker
Dans le menu Démarrer, tape « BitLocker » et clique sur « Gérer BitLocker ». Tu arrives sur une page qui liste tous les disques de ton ordinateur.
Activer BitLocker sur C:
Clique sur « Activer BitLocker » à côté du lecteur C:. Windows lance un assistant en plusieurs étapes.
Sauvegarder la clé de récupération
C’est l’étape la plus importante. Windows te propose plusieurs options pour sauvegarder la clé de récupération – un code à 48 chiffres qui te permet de déverrouiller le disque si quelque chose se passe mal au démarrage.
Si ton ordinateur est lié à un compte Microsoft, tu peux choisir « Enregistrer sur mon compte Microsoft » : la clé sera accessible depuis account.microsoft.com > Appareils > Clés de récupération BitLocker.
Si ton ordinateur n’est pas lié à un compte Microsoft (ce qui est tout à fait possible et même recommandé pour des raisons de confidentialité), cette option n’est pas disponible. Dans ce cas :
Choisis « Enregistrer dans un fichier » et sauvegarde ce fichier sur un emplacement extérieur au disque C: en cours de chiffrement – une clé USB, un autre disque, ou un dossier cloud accessible depuis un autre appareil
Tu peux aussi choisir « Imprimer la clé de récupération » pour en avoir une copie papier
Note l’identifiant de clé affiché (une suite de caractères du type 85CDA21F-...) : il te permettra de retrouver la bonne clé si tu en as plusieurs. Conserve cette clé précieusement dans un endroit sûr, séparé de l’ordinateur – idéalement chez une personne de confiance ou dans un gestionnaire de mots de passe accessible hors ligne.
Choisir quoi chiffrer
Windows te demande si tu veux chiffrer uniquement l’espace utilisé ou tout le disque. Choisis « Chiffrer tout le lecteur » si l’ordinateur est utilisé depuis un moment – c’est plus long mais plus complet.
Choisir le mode de chiffrement
Choisis « Nouveau mode de chiffrement » si ton ordinateur tourne sous Windows 10 ou 11 – c’est le mode le plus récent et le plus solide.
Lancer le chiffrement
Clique sur « Démarrer le chiffrement ». Le processus se lance immédiatement en arrière-plan – tu peux continuer à utiliser l’ordinateur pendant ce temps. La durée dépend de la taille du disque et peut aller de quelques minutes à plusieurs heures.
Windows te demandera peut-être de redémarrer pour terminer le chiffrement.
Chiffrer un second disque (D:)
Une fois le disque C: chiffré, retourne dans le gestionnaire BitLocker et clique sur « Activer BitLocker » à côté de ton second disque.
Cette fois, Windows te demande de définir un mot de passe pour déverrouiller ce disque. Choisis un mot de passe solide et note-le dans ton gestionnaire de mots de passe.
Sauvegarde la clé de récupération de ce second disque – elle est différente de celle du disque C:. Conserve-la avec le même soin, en indiquant clairement de quel disque elle provient.
Déverrouillage automatique
À la fin de la procédure, BitLocker peut te proposer d’activer le déverrouillage automatique de ce disque quand tu ouvres une session Windows. Si cette option est disponible, coche-la : le disque D: s’ouvrira automatiquement à chaque démarrage, sans que tu aies à saisir son mot de passe.
Si cette option n’est pas proposée, tu devras saisir le mot de passe du disque D: à chaque démarrage, ou l’activer manuellement plus tard depuis le gestionnaire BitLocker.
Un point important : si le disque D: est un disque amovible ou s’il est séparé physiquement du disque C: (par exemple après un remplacement de disque), le déverrouillage automatique ne fonctionnera plus. Dans ce cas, tu auras besoin du mot de passe ou de la clé de récupération spécifique à ce disque pour y accéder.
Vérifier que tout fonctionne
Redémarre l’ordinateur. Si le démarrage se passe normalement et que tu accèdes à ta session Windows comme d’habitude, le chiffrement est en place et fonctionne correctement.
Pour confirmer : ouvre le gestionnaire BitLocker. Chaque disque chiffré doit afficher « BitLocker activé ».
Pour aller plus loin
BitLocker protège tes données en cas de vol physique de l’ordinateur. C’est une brique importante, mais elle s’inscrit dans une démarche de sécurisation plus large : mots de passe solides, double authentification sur tes comptes en ligne, sauvegardes régulières.
Un mot de passe seul ne suffit plus pour protéger un compte en ligne. La double authentification (2FA) ajoute un second verrou, et une application dédiée comme Aegis Authenticator est bien plus fiable qu’un SMS pour le gérer.
Ce guide part du principe que tu utilises un gestionnaire de mots de passe pour stocker tes identifiants et mots de passe de façon sécurisée. Si ce n’est pas encore le cas, c’est le bon moment pour en adopter un : 1Password, Bitwarden, Dashlane ou KeePass sont parmi les options les plus connues. Sans gestionnaire de mots de passe, il est très difficile de suivre les bonnes pratiques décrites ici.
Pourquoi la double authentification, et pourquoi pas le SMS
La double authentification repose sur un principe simple : pour te connecter, tu dois fournir deux preuves d’identité. La première est ton mot de passe, que tu connais. La seconde est un code temporaire, valable 30 secondes, généré par un appareil que tu possèdes – ton téléphone.
Même si quelqu’un vole ou devine ton mot de passe, il ne peut pas se connecter sans ce second code.
Google propose plusieurs méthodes pour recevoir ce code :
Un SMS envoyé sur ton numéro de téléphone
Une notification sur un appareil Google déjà connecté
Un code généré par une application d’authentification
Le SMS est la méthode la plus connue, mais aussi la plus fragile : un SMS peut être intercepté, et si tu perds ton téléphone, tu perds aussi l’accès à tes comptes. Une application d’authentification est plus robuste : elle fonctionne sans connexion réseau, et ses sauvegardes sont sous ton contrôle.
Choisir et installer Aegis Authenticator
Aegis Authenticator est une application Android gratuite et open source, développée par Beem Development. Elle gère les codes 2FA pour tous tes comptes, les stocke de façon chiffrée sur ton téléphone, et permet d’en faire des sauvegardes.
Google propose sa propre application d’authentification, Google Authenticator. Le problème : elle dépend de l’infrastructure Google. Si Google rencontre une panne ou un problème d’accès, Google Authenticator peut devenir inutilisable au moment précis où tu en as besoin. Aegis est indépendant de toute plateforme – il fonctionne sans connexion réseau et sans dépendre d’aucun service tiers.
Installation
Ouvre le Play Store et cherche « Aegis Authenticator ». Fais attention : une version sponsorisée apparaît souvent en premier dans les résultats. Vérifie que le développeur est bien « Beem Development » avant d’installer.
Aegis Authenticator fonctionne uniquement sur Android.
Premier lancement
Au premier lancement, Aegis te demande de choisir une méthode de protection :
Choisis « Mot de passe et données biométriques » (empreinte digitale ou reconnaissance faciale selon ton téléphone)
Tu définis un mot de passe qui chiffre l’ensemble de tes codes 2FA
Ce mot de passe est critique : si tu le perds, tu perds l’accès à tous tes codes. Note-le immédiatement dans un gestionnaire de mots de passe.
Nota
Si tu avais Google Authenticator installé sur ton téléphone avant de passer à Aegis, supprime-le de ton compte Google dans les paramètres de sécurité, puis reconfigure Aegis en scannant un nouveau QR code. Si tu as les deux applications en parallèle, ça peut créer de la confusion.
Activer la 2FA sur un compte Google
Étape 1 – Accéder aux paramètres de sécurité
Depuis un PC, connecte-toi à ton compte Google et va sur myaccount.google.com. Clique sur « Sécurité » dans le menu de gauche.
Si ton mot de passe n’a pas été changé depuis longtemps, ou s’il est trop simple, commence par le mettre à jour : clique sur « Mot de passe », saisis l’ancien, puis le nouveau deux fois. Conserve ce mot de passe dans ton gestionnaire de mots de passe.
Étape 2 – Ouvrir la validation en deux étapes
Dans la section « Comment vous connecter à Google », clique sur « Validation en deux étapes ». Google te demande de saisir ton mot de passe pour confirmer.
Sur la page qui s’affiche, Google propose plusieurs méthodes. Cherche « Application d’authentification » et clique dessus. Les instructions mentionnent Google Authenticator, mais elles fonctionnent exactement de la même façon avec Aegis.
Étape 4 – Scanner le QR code avec Aegis
Google affiche un QR code à l’écran. Sur ton téléphone, ouvre Aegis et appuie sur le bouton « + » en bas à droite. Choisis « Scanner un QR code » et pointe la caméra vers l’écran.
Aegis ajoute automatiquement l’entrée pour ton compte Google et commence à générer des codes à 6 chiffres, renouvelés toutes les 30 secondes.
Étape 5 – Valider et activer
Saisis dans le champ prévu le code à 6 chiffres affiché par Aegis au moment de la saisie. Google confirme que l’application est bien configurée.
Clique ensuite sur « Activer » pour finaliser la validation en deux étapes.
Le piège « Google Authenticator » au moment de la connexion
Une fois la 2FA activée, tu vas rencontrer une subtilité au moment de te connecter.
Après avoir saisi ton mot de passe, Google affiche parfois un écran qui demande un « code de sécurité » à 10 chiffres, avec le message « accédez à g.co/sc ». Ce code est généré automatiquement par google – ce n’est pas un code Aegis.
Pour utiliser Aegis, clique sur « Essayer une autre méthode » (lien discret en bas de l’écran), puis choisis « Application d’authentification (Google Authenticator) ». C’est là que tu saisis le code à 6 chiffres affiché par Aegis. J’ai mis du temps à comprendre ça et j’ai cru que j’allais perdre l’accès à mon compte….
Les codes de secours
Dès que la 2FA est activée, Google te propose de générer des codes de secours. Ne saute pas cette étape.
Les codes de secours sont des codes à usage unique, au format texte, qui te permettent de te connecter si tu n’as plus accès à Aegis – téléphone perdu, cassé, volé. Chaque code ne peut être utilisé qu’une seule fois.
Générer et stocker les codes
Dans les paramètres de sécurité de ton compte Google, section « Validation en deux étapes », clique sur « Codes de secours » puis « Générer des codes ». Google affiche une liste de 10 codes.
Copie-les dans ton gestionnaire de mots de passe, dans l’entrée dédiée à ce compte Google. Télécharge aussi le fichier texte proposé par Google.
Où stocker ce fichier
Ce fichier doit être accessible même si tu n’as plus ton téléphone, ton PC, ou ta connexion internet habituelle. Quelques règles de base :
Ne le stocke pas uniquement sur Google Drive : si tu perds l’accès à ton compte Google, tu perds aussi l’accès à Google Drive
Utilise un second service de stockage cloud, indépendant de Google, dans un dossier dédié à la sécurité
Conserve aussi une copie papier dans un endroit sûr, idéalement chez une personne de confiance
Certains sites ne proposent pas de codes de secours. Dans ce cas, la seule option de récupération est le SMS ou un autre appareil de confiance. C’est un critère important pour évaluer le niveau de sécurité d’un service : un site qui gère des fichiers ou des données sensibles devrait proposer des codes de secours.
Configurer la sauvegarde chiffrée d’Aegis
Aegis stocke tes codes 2FA sur ton téléphone. Si tu perds ce téléphone sans avoir fait de sauvegarde, tu perds tous tes codes.
Activer la sauvegarde automatique
Dans Aegis, ouvre les paramètres (icône en haut à droite) et va dans « Sauvegardes ». Active la sauvegarde automatique et choisis un emplacement sur le stockage interne du téléphone – par exemple un dossier AEGIS dans le répertoire Documents.
Configure le nombre de versions à conserver (5 est une valeur raisonnable) : Aegis garde les fichiers les plus récents et supprime les plus anciens automatiquement.
Le mot de passe de la sauvegarde
La sauvegarde est chiffrée par défaut avec un mot de passe qui peut être différent de celui de l’application Aegis elle-même. Note ce mot de passe dans ton gestionnaire de mots de passe avec un nom clair, par exemple « aegis-sauvegarde-mot-de-passe ». Tu en auras besoin pour restaurer Aegis sur un nouvel appareil.
Copier la sauvegarde ailleurs
Le fichier de sauvegarde (au format .json) doit aussi être copié en dehors du téléphone. La méthode la plus simple : depuis l’application Fichiers de ton téléphone, sélectionne le dernier fichier de sauvegarde, appuie sur « Partager » et envoie-le vers ton service de stockage cloud secondaire, dans le même dossier que tes codes de secours.
À refaire à chaque fois que tu ajoutes un nouveau compte dans Aegis.
Étendre la 2FA à d’autres comptes
La même procédure s’applique à la grande majorité des services en ligne qui proposent la 2FA : aller dans les paramètres de sécurité du compte, choisir « Application d’authentification », scanner le QR code avec Aegis, valider avec le code à 6 chiffres.
Prenons l’exemple de Dropbox. Dans les paramètres Dropbox, section « Sécurité », active la « Vérification en deux étapes » et choisis « Utiliser une application mobile ». Scanne le QR code avec Aegis, saisis le code de confirmation. Dropbox propose des codes de secours à la fin de la procédure – génère-les et stocke-les comme pour Google.
Quelques points à retenir quand tu actives la 2FA sur un nouveau service :
Tous les sites ne proposent pas de codes de secours. Certains n’offrent que le SMS comme solution de secours. Dans ce cas, assure-toi que ton numéro de téléphone est à jour sur le compte.
Certains services permettent de choisir entre SMS et application d’authentification. Préfère toujours l’application quand c’est possible.
Certains services cloud n’acceptent pas d’application tierce d’authentification. Dans ce cas suis leurs instructions.
Après chaque activation, fais une copie de sauvegarde d’Aegis : le fichier de sauvegarde doit inclure le nouveau compte.
Pour aller plus loin
Ce guide couvre l’activation de la 2FA sur un compte Google et les principes généraux pour l’étendre à d’autres services. La double authentification est une brique parmi d’autres dans une démarche de sécurisation complète : gestion des sauvegardes, procédures de récupération en cas de perte du téléphone, compartimentation des comptes.
Commentaires récents