Liste de contrôle de sécurité Instagram et Meta

Sécurisez vos comptes Instagram et Meta Business Manager avec cette liste de contrôle pas à pas couvrant les mots de passe, le 2FA, les applications connectées et l'accès de l'équipe.

Vue d'ensemble

Si vous avez la moindre inquiétude concernant une activité non autorisée sur vos comptes Instagram ou Meta Business, ou si vous souhaitez simplement renforcer votre posture de sécurité, parcourez cette liste de contrôle dans l'ordre. La première section est la plus urgente.

Cette liste de contrôle s'applique à tous les clients utilisant ChatMaxima avec les intégrations Instagram et Meta Business.

Priorité 1 : Actions immédiates (sous 24 heures)

Ces étapes atténuent toute compromission active ou récente. Effectuez-les en premier, dans l'ordre indiqué.

1.1 Réinitialisez votre mot de passe Instagram

Chemin : Instagram > Paramètres et confidentialité > Centre des comptes > Mot de passe et sécurité > Changer le mot de passe
Choisissez un mot de passe long et unique de 16 caractères ou plus qui n'est réutilisé sur aucun autre service.
Utilisez un gestionnaire de mots de passe (1Password, Bitwarden, Dashlane ou similaire) pour le générer et le stocker.

1.2 Réinitialisez votre mot de passe Meta Business Manager

Chemin : business.facebook.com > Compte > Compte personnel > Mot de passe et sécurité > Changer le mot de passe
Appliquez la même rigueur de mot de passe que ci-dessus.
Si votre Meta Business Manager est lié à un compte Facebook personnel, sécurisez aussi ce compte. Les identifiants du compte personnel sont souvent le véritable point d'entrée dans les scénarios de compromission.

1.3 Activez l'authentification à deux facteurs (2FA) sur chaque compte

Instagram : Paramètres > Centre des comptes > Mot de passe et sécurité > Authentification à deux facteurs
Facebook (le compte personnel lié à votre Business Manager) : Paramètres > Sécurité et connexion > Authentification à deux facteurs
Utilisez une application d'authentification (Google Authenticator, Authy, 1Password) plutôt que les SMS. L'échange de carte SIM est un vecteur d'attaque courant et le 2FA par SMS peut être contourné.

1.4 Examinez et terminez les sessions de connexion actives

Instagram : Paramètres > Centre des comptes > Mot de passe et sécurité > Où vous êtes connecté
Facebook : Paramètres > Sécurité et connexion > Où vous êtes connecté
Déconnectez-vous de chaque session que vous ne reconnaissez pas. Déconnectez-vous de chaque appareil que vous n'utilisez plus.

1.5 Examinez l'activité de connexion récente

Instagram : Paramètres > Activité du compte > Connexions
Recherchez des connexions depuis des lieux, appareils ou adresses IP inconnus au cours des 30 derniers jours.
Documentez toute entrée suspecte avec des captures d'écran avant qu'elle ne disparaisse de l'historique visible.

1.6 Auditez et supprimez les applications connectées

Remarque : Il s'agit de l'étape la plus souvent négligée et la plus importante.

Applications connectées à Instagram : Paramètres > Centre des comptes > Applications et sites web > Actifs. Révoquez toute application que vous n'utilisez pas activement ou que vous ne reconnaissez pas.
Applications connectées à Facebook : Paramètres > Applications et sites web > Actifs. Même examen.
Intégrations Meta Business Manager : Paramètres d'entreprise > Intégrations > Applications connectées. Révoquez celles qui sont inutilisées ou non reconnues.
Après révocation, régénérez les jetons des applications que vous comptez conserver, y compris ChatMaxima, en vous reconnectant depuis la plateforme.

1.7 Examinez les utilisateurs et administrateurs de Meta Business Manager

Paramètres d'entreprise > Utilisateurs > Personnes
Vérifiez que chaque personne répertoriée doit avoir un accès. Retirez toute personne ayant quitté l'entreprise, temporaire ou non reconnue.
Pour chaque utilisateur restant, examinez son rôle et appliquez le principe du moindre privilège : accordez uniquement l'accès dont chaque personne a réellement besoin.
Portez une attention particulière aux attributions Administrateur Business. Ce sont les rôles aux privilèges les plus élevés.

Priorité 2 : Renforcement (sous 7 jours)

Ces étapes réduisent la probabilité de futures compromissions.

2.1 Sécurisez le compte e-mail lié à Meta et Instagram

Le compte e-mail utilisé pour vos connexions Meta et Instagram est la clé maîtresse. S'il est compromis, tous les comptes qui l'utilisent le sont également.

Définissez un mot de passe unique et fort.
Activez le 2FA (application d'authentification).
Examinez les règles de transfert d'e-mail. Les attaquants configurent souvent un transfert silencieux pour intercepter les e-mails de réinitialisation de mot de passe. Supprimez toute règle de transfert que vous n'avez pas configurée vous-même.
Examinez les filtres et règles d'e-mail. Supprimez tous ceux qui archivent, suppriment ou marquent automatiquement comme lus les e-mails de réinitialisation de mot de passe.
Examinez le numéro de téléphone de récupération et l'e-mail de secours du compte.

2.2 Activez les alertes de connexion

Facebook : Paramètres > Sécurité et connexion > Recevoir des alertes concernant les connexions non reconnues
Configurez l'envoi des alertes vers votre e-mail et un canal autre que SMS lorsque c'est possible.

2.3 Configurez des contacts de confiance sur Facebook

Paramètres > Sécurité et connexion > Choisissez 3 à 5 contacts de confiance qui peuvent vous aider à récupérer l'accès si vous êtes verrouillé.

2.4 Lancez des analyses anti-malware sur les appareils utilisés pour accéder à Meta et Instagram

Utilisez un scanner réputé (Malwarebytes, Microsoft Defender, Bitdefender).
Portez une attention particulière aux extensions de navigateur. Examinez et supprimez toute extension que vous n'utilisez pas activement, en particulier celles récemment installées.

2.5 Vérifiez la propriété des actifs Meta Business

Paramètres d'entreprise > Comptes > Pages, comptes Instagram, comptes publicitaires
Confirmez que chaque actif répertorié vous appartient et que vous comptez le gérer. Supprimez les actifs inconnus.

Priorité 3 : Sécurité opérationnelle (en continu)

Ces pratiques réduisent les risques à long terme.

Utilisez un gestionnaire de mots de passe pour tous les membres de l'équipe. Les mots de passe partagés stockés dans des feuilles de calcul, des notes ou des applications de messagerie représentent un risque majeur.
Formez votre équipe au phishing. Le vecteur de compromission le plus courant est un membre de l'équipe saisissant ses identifiants sur une fausse page de connexion Meta. Apprenez aux membres de l'équipe à vérifier les URL avant de se connecter (les domaines corrects sont facebook.com, instagram.com et business.facebook.com).
Soyez prudent avec les autorisations OAuth. Lorsqu'une nouvelle application demande l'accès à votre compte Instagram ou Meta, examinez attentivement les autorisations demandées. N'accordez l'accès qu'aux applications de confiance et nécessaires.
Évitez les connexions partagées. Chaque membre de l'équipe devrait avoir son propre compte utilisateur Meta Business Manager avec les autorisations appropriées, plutôt que de partager un seul jeu d'identifiants.
Surveillez les attaques par échange de SIM. Si vous utilisez le 2FA par SMS quelque part, contactez votre opérateur mobile et ajoutez un code PIN ou un mot de passe de portabilité pour empêcher les transferts de SIM non autorisés. Mieux encore, remplacez le 2FA par SMS par un 2FA par application d'authentification partout où c'est possible.
Examinez les utilisateurs et les applications connectées chaque trimestre. Programmez un rappel récurrent dans votre calendrier pour répéter les étapes 1.6 et 1.7.

Signaler une compromission présumée à Meta

Si vous pensez que votre compte Instagram ou Meta Business a été compromis, signalez-le directement à Meta dès que possible.

Chemin : Centre d'aide Meta Business > Signaler un problème > Compte compromis ou activité suspecte
URL : business.facebook.com/business/help
Soumettez le signalement depuis la session connectée du propriétaire du compte, ce qui accélère la vérification.
Incluez : les noms des comptes affectés, les dates et heures approximatives de l'activité suspecte, des captures d'écran de tout message ou contenu non autorisé, et tout changement récent que vous avez remarqué (mots de passe, e-mail de récupération, applications connectées, utilisateurs administrateurs).

Meta effectuera son propre examen et produira des enregistrements d'activité pour vos comptes. Il s'agit de la documentation faisant autorité concernant toute activité non autorisée sur vos comptes Instagram et Meta.

Ce que ChatMaxima couvre et ce qu'il ne couvre pas

Il est important de comprendre la limite entre ce que nous pouvons et ne pouvons pas vous aider.

ChatMaxima est responsable de :

La sécurité de l'infrastructure de notre plateforme.
Le chiffrement et le traitement des jetons OAuth que nous détenons en votre nom.
L'intégrité des campagnes et des messages envoyés via notre API.
La détection et la prévention des abus sur notre plateforme.
La tenue de journaux d'audit de l'activité de l'API pour votre compte.

ChatMaxima ne peut pas sécuriser directement :

Les mots de passe de vos comptes Instagram et Meta Business.
Les identifiants et les pratiques de sécurité des membres de votre équipe.
L'activité qui se produit sur l'interface native d'Instagram (application mobile ou web).
Les autres applications tierces que vous connectez à vos comptes Meta.
Les appareils, navigateurs ou comptes e-mail des membres de votre équipe.

Pour tout ce qui figure dans la seconde liste, les étapes de cette liste de contrôle sont la manière de protéger ces couches. Nous sommes ravis de fournir des conseils, mais les actions doivent être effectuées par le propriétaire du compte avec ses propres identifiants.

Besoin d'aide ?

Si vous avez des questions spécifiques en parcourant cette liste de contrôle, contactez le support ChatMaxima. Nous pouvons clarifier chaque étape et confirmer si une application ou intégration spécifique est associée à votre compte ChatMaxima.

Pour une compromission urgente, priorisez le signalement d'abus à Meta avant tout. Meta est la seule partie disposant d'une visibilité totale sur l'activité côté Instagram et de l'autorité de verrouiller et récupérer les comptes compromis.