Télétravail Sécuritaire : Guide de Cybersécurité pour Travailleurs à Distance

Vous travaillez de la maison et vous pensez que votre connexion WiFi et un bon mot de passe suffisent ? Détrompez-vous. En 2026, le télétravail est devenu la norme pour des centaines de milliers de Québécois — et les cybercriminels le savent très bien. Les attaques ciblant les travailleurs à distance ont explosé de 300 % depuis 2020.

Le problème ? En bureau, votre employeur gère la sécurité : pare-feu d'entreprise, réseau sécurisé, équipe TI sur place. À la maison, c'est vous la ligne de défense. Et si un pirate accède à vos données via votre réseau domestique, c'est potentiellement toute l'entreprise qui est compromise.

Ce guide couvre tout ce que vous devez savoir et faire pour travailler de la maison de façon sécuritaire. Pas de jargon technique inutile — des actions concrètes que vous pouvez mettre en place aujourd'hui.

1. Sécuriser votre WiFi domestique

Votre réseau WiFi est la porte d'entrée vers tout ce que vous faites en ligne. Un WiFi mal configuré, c'est comme laisser la porte de votre maison grande ouverte avec un panneau « Bienvenue » pour les pirates. Voici les étapes essentielles — et si vous avez besoin d'aide, consultez notre guide complet sur l'optimisation WiFi.

Changer le mot de passe par défaut du routeur

Chaque routeur sort de l'usine avec un mot de passe administrateur par défaut (souvent « admin/admin » ou « admin/password »). Ces mots de passe sont publics — n'importe qui peut les trouver en 5 secondes sur Google. Si vous ne l'avez jamais changé, faites-le maintenant.

1. Connectez-vous à l'interface de votre routeur (tapez 192.168.0.1 ou 192.168.1.1 dans votre navigateur)
2. Allez dans les paramètres d'administration ou de sécurité
3. Changez le mot de passe administrateur pour quelque chose d'unique et complexe (au moins 12 caractères)
4. Changez aussi le mot de passe WiFi (celui que vous utilisez pour connecter vos appareils)

Utiliser le chiffrement WPA3 (ou WPA2 minimum)

Le chiffrement protège votre trafic WiFi contre l'interception. Les anciens protocoles (WEP, WPA) sont crackables en minutes. Assurez-vous que votre routeur utilise WPA3 (le plus récent et le plus sécuritaire) ou WPA2-AES au minimum.

Pour vérifier : connectez-vous à l'interface du routeur, allez dans les paramètres WiFi/Sécurité sans fil, et vérifiez le type de chiffrement. Si c'est WEP ou WPA (sans le 2), changez immédiatement.

Créer un réseau invité séparé

Vos appareils connectés (caméras de sécurité, thermostats intelligents, Alexa, ampoules connectées) sont des cibles faciles pour les pirates — ils ont souvent des failles de sécurité et ne reçoivent jamais de mises à jour. Ne les mettez pas sur le même réseau que votre ordinateur de travail.

Checklist sécurité WiFi

• Mot de passe administrateur du routeur changé (pas le défaut)
• Mot de passe WiFi unique et complexe (12+ caractères)
• Chiffrement WPA3 ou WPA2-AES activé
• Réseau invité configuré pour les appareils IoT
• Firmware du routeur à jour (vérifier mensuellement)
• WPS désactivé (fonctionnalité vulnérable)
• Nom du réseau (SSID) ne révèle pas d'info personnelle

2. VPN : votre tunnel sécurisé obligatoire

Un VPN (Virtual Private Network) crée un tunnel chiffré entre votre ordinateur et le réseau de votre entreprise. Sans VPN, vos données transitent « en clair » sur votre réseau domestique et celui de votre fournisseur Internet. Avec un VPN, même si quelqu'un intercepte votre trafic, il ne verra que du charabia chiffré.

VPN corporatif vs VPN personnel

Caractéristique	VPN corporatif	VPN personnel
Fourni par	Votre employeur	Service commercial (NordVPN, ExpressVPN, etc.)
Objectif	Accéder au réseau de l'entreprise de façon sécurisée	Protéger votre vie privée en ligne
Pour le télétravail	Essentiel — demandez-le à votre département TI	Complément utile, pas un remplacement
Coût	Gratuit (fourni par l'employeur)	3 à 15 $/mois
Configuration	Gérée par l'équipe TI	À configurer soi-même

3. Hameçonnage (phishing) : la menace #1 en télétravail

L'hameçonnage représente plus de 80 % des cyberattaques réussies. Le principe : un courriel qui semble légitime (de votre banque, de Microsoft, de votre patron, de Postes Canada) vous incite à cliquer sur un lien ou ouvrir une pièce jointe. Un seul clic peut compromettre votre ordinateur et, par extension, le réseau de votre entreprise.

En télétravail, vous êtes plus vulnérable qu'au bureau. Pourquoi ? Parce que vous ne pouvez pas tourner la tête et demander à un collègue « hey, t'as reçu ce courriel bizarre toi aussi ? ». Vous êtes seul face à votre écran.

Les signaux d'alerte d'un courriel frauduleux

• L'adresse de l'expéditeur ne colle pas : le nom affiché dit « Service des TI » mais l'adresse réelle est quelque chose comme support@company-it-helpdesk.xyz
• Sentiment d'urgence artificiel : « Votre compte sera désactivé dans 2 heures si vous ne confirmez pas vos informations »
• Demande inhabituelle : votre « patron » vous demande d'acheter des cartes-cadeaux par courriel (arnaque ultra fréquente au Québec)
• Lien suspect : survolez le lien SANS cliquer — l'URL réelle apparaît en bas du navigateur ou dans une infobulle. Si ça ne correspond pas au site officiel, c'est un piège
• Pièce jointe inattendue : un fichier .zip, .exe, .docm (avec macros) d'un expéditeur que vous n'attendiez pas
• Fautes et formulation douteuse : les vrais courriels de Microsoft ou Desjardins ne contiennent pas de fautes grossières

Que faire si vous avez cliqué sur un lien suspect ?

1. Ne paniquez pas — mais agissez vite
2. Déconnectez-vous du réseau immédiatement (débranchez le câble Ethernet ou coupez le WiFi)
3. Changez vos mots de passe — en commençant par le courriel et les comptes bancaires, depuis un autre appareil
4. Avisez votre département TI si c'est un ordinateur de travail
5. Lancez une analyse antivirus complète avec Windows Defender ou Malwarebytes
6. Surveillez vos comptes bancaires pendant les semaines suivantes

4. Mots de passe et gestionnaires de mots de passe

Soyons honnêtes : si vous utilisez le même mot de passe (ou des variations) pour plusieurs comptes, vous êtes vulnérable. Quand un site se fait pirater et que votre mot de passe fuite, les pirates essaient automatiquement ce même mot de passe sur des dizaines d'autres services (Gmail, Facebook, Desjardins, Amazon...). Ça s'appelle le credential stuffing et ça fonctionne terriblement bien.

Les règles d'un bon mot de passe en 2026

• Un mot de passe unique pour chaque compte — c'est non négociable
• Minimum 14 caractères — la longueur est plus importante que la complexité
• Phrase de passe > mot de passe : « MonChatMangeDesCrevettesBleues! » est plus sécuritaire ET plus facile à retenir que « X7$kL9!m »
• Ne jamais réutiliser un mot de passe professionnel pour un compte personnel (et vice versa)

Les gestionnaires de mots de passe recommandés

Gestionnaire	Prix	Points forts	Idéal pour
Bitwarden	Gratuit (premium 10 $/an)	Open source, chiffrement zero-knowledge, toutes plateformes	Particuliers, budget limité
1Password	3,99 $/mois	Interface supérieure, partage familial/équipe, Watchtower (alertes de brèches)	Familles, PME
Dashlane	4,99 $/mois	VPN intégré, surveillance dark web, changement automatique de mots de passe	Utilisateurs qui veulent tout-en-un
KeePassXC	Gratuit	100 % local (pas de cloud), open source, contrôle total	Utilisateurs techniques, paranoïaques de la vie privée

Comment ça fonctionne : Vous retenez UN seul mot de passe maître (votre phrase de passe très forte). Le gestionnaire génère et stocke des mots de passe uniques et ultra-complexes pour chacun de vos comptes. Il les remplit automatiquement quand vous vous connectez. Vous n'avez plus jamais à vous souvenir d'un mot de passe.

5. Authentification à deux facteurs (2FA) : le filet de sécurité

Même le meilleur mot de passe peut être volé (phishing, brèche de données). L'authentification à deux facteurs ajoute une deuxième couche : après avoir entré votre mot de passe, vous devez confirmer votre identité avec un second élément — généralement un code sur votre téléphone.

Activez la 2FA sur tous vos comptes importants :

• Courriel professionnel et personnel (Gmail, Outlook, Yahoo)
• Comptes bancaires (Desjardins, RBC, TD, etc.)
• Réseaux sociaux (Facebook, LinkedIn, Instagram)
• Services cloud (Dropbox, Google Drive, OneDrive)
• Amazon, PayPal, et tout site où vous avez une carte de crédit enregistrée

Les méthodes 2FA du plus faible au plus fort

Méthode	Sécurité	Comment ça fonctionne
SMS	Faible (mieux que rien)	Code envoyé par texto — vulnérable au SIM swapping
Application d'authentification	Bonne	Google Authenticator, Microsoft Authenticator, ou Authy génère un code temporaire de 6 chiffres
Clé de sécurité physique	Excellente	Clé USB (YubiKey, Google Titan) que vous branchez — impossible à pirater à distance

Notre recommandation : Utilisez une application d'authentification (Microsoft Authenticator ou Authy) pour la plupart des comptes. Si vous êtes cadre ou manipulez des données très sensibles, investissez dans une YubiKey (environ 50 $) pour vos comptes critiques.

6. Séparer appareils professionnels et personnels

Utiliser le même ordinateur pour le travail et pour la vie personnelle est risqué. Votre ado qui télécharge un jeu cracké, un site de streaming douteux que vous visitez le soir, un logiciel gratuit bourré de adware — tout ça peut compromettre vos données professionnelles.

• Idéalement : Utilisez l'ordinateur fourni par l'employeur uniquement pour le travail. Votre ordinateur personnel reste pour l'usage personnel
• Si vous n'avez qu'un seul PC : Créez un compte Windows séparé pour le travail (Paramètres > Comptes > Famille et autres utilisateurs > Ajouter quelqu'un d'autre). Ce compte devrait avoir des droits limités (pas administrateur)
• Ne stockez jamais des fichiers de travail sur un appareil personnel non sécurisé
• Ne branchez pas de clés USB personnelles dans l'ordinateur de travail

7. Communications chiffrées et partage de fichiers sécurisé

En télétravail, vous communiquez constamment par messagerie, appels vidéo et partage de fichiers. Toutes ces communications doivent être chiffrées.

Outils recommandés pour les communications

• Messagerie d'équipe : Microsoft Teams, Slack (les deux chiffrent les données en transit et au repos)
• Appels vidéo : Teams, Zoom (avec chiffrement de bout en bout activé), Google Meet
• Courriel sensible : Utilisez le chiffrement intégré d'Outlook (bouton « Chiffrer » lors de la rédaction) pour les courriels contenant des données confidentielles

Partage de fichiers : ce qu'il faut faire et ne pas faire

• Utilisez les plateformes approuvées par votre employeur (SharePoint, OneDrive Entreprise, Google Workspace)
• N'envoyez jamais de fichiers sensibles par courriel personnel (Gmail, Hotmail) ou via WeTransfer
• Protégez les fichiers Excel/Word contenant des données sensibles avec un mot de passe (Fichier > Informations > Protéger le document)
• Supprimez les fichiers de travail de votre dossier Téléchargements après les avoir rangés au bon endroit

8. La Loi 25 et le télétravail au Québec

La Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) est pleinement en vigueur depuis septembre 2024. Elle impose des obligations strictes aux entreprises québécoises en matière de protection des données personnelles — et le télétravail complique les choses.

Ce que la Loi 25 signifie pour les télétravailleurs

• Votre employeur est responsable de la sécurité des données, même quand vous travaillez de la maison. Mais vous avez aussi des obligations de diligence
• Les données personnelles (noms, adresses, numéros d'assurance sociale, informations médicales de clients) doivent être protégées avec des mesures de sécurité « raisonnables »
• En cas de fuite : l'entreprise doit aviser la Commission d'accès à l'information (CAI) et les personnes touchées. Les amendes peuvent atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial
• Évaluation des facteurs relatifs à la vie privée (EFVP) : obligatoire pour tout projet impliquant des renseignements personnels, incluant les outils de télétravail

Pour en savoir plus sur la cybersécurité pour les PME au Québec, consultez notre guide dédié qui couvre en détail les obligations légales et les mesures techniques à mettre en place.

9. Que faire si vous êtes piraté ?

Malgré toutes les précautions, un incident peut survenir. Voici le protocole à suivre — la rapidité de réaction fait souvent la différence entre un incident mineur et une catastrophe.

10. Checklist complète — Sécurité du télétravail

Imprimez cette liste et cochez chaque point. Si vous avez fait tout ça, votre télétravail est considérablement plus sécuritaire que celui de 90 % des travailleurs à distance.

Réseau et connexion

• Mot de passe du routeur changé (pas le défaut)
• Chiffrement WPA3 ou WPA2-AES activé
• Réseau invité séparé pour les appareils IoT
• VPN corporatif utilisé pour tout accès au réseau de l'entreprise
• Firmware du routeur à jour

Mots de passe et authentification

• Gestionnaire de mots de passe installé et utilisé
• Mots de passe uniques pour chaque compte
• 2FA activée sur tous les comptes importants
• Phrase de passe de 14+ caractères pour le mot de passe maître

Appareils et logiciels

• Ordinateur de travail séparé de l'ordinateur personnel (ou compte séparé)
• Mises à jour Windows/macOS installées régulièrement
• Antivirus actif et à jour (Windows Defender suffit pour la plupart des gens)
• Verrouillage automatique de l'écran après 5 minutes d'inactivité
• Chiffrement du disque activé (BitLocker sur Windows, FileVault sur Mac)

Comportement et vigilance

• Méfiance systématique envers les courriels inattendus avec liens ou pièces jointes
• Vérification de l'adresse réelle de l'expéditeur avant de cliquer
• Pas de logiciels craqués ou de sources non fiables
• Fichiers de travail stockés uniquement sur les plateformes approuvées
• Sauvegardes régulières des données importantes

Questions fréquentes — Sécurité du télétravail

Mon WiFi domestique est-il assez sécuritaire pour le télétravail ?

Pas par défaut, non. Le WiFi domestique typique utilise souvent le mot de passe par défaut du routeur, n'a pas de réseau invité séparé, et le firmware n'est pas à jour. Suivez les étapes de la section 1 de ce guide pour le sécuriser correctement. Avec un VPN par-dessus, vous aurez un niveau de sécurité acceptable pour la plupart des emplois.

Est-ce que mon employeur peut voir ce que je fais sur mon ordinateur ?

Sur un ordinateur fourni par l'employeur connecté au VPN corporatif : oui, potentiellement. L'employeur peut voir le trafic réseau et les applications utilisées. Sur votre ordinateur personnel : non, sauf si vous avez installé des logiciels de l'employeur qui le permettent. C'est une raison de plus pour séparer les appareils.

Quel VPN choisir si mon employeur n'en fournit pas ?

Pour un usage professionnel à domicile, NordVPN ou Mullvad sont d'excellents choix. NordVPN offre des serveurs au Canada et une politique stricte de non-conservation des logs. Mullvad est plus axé sur la vie privée (paiement anonyme possible). Mais soulevez le problème avec votre employeur — s'il vous fait manipuler des données sensibles sans VPN corporatif, c'est un risque pour la conformité Loi 25.

Comment savoir si mon ordinateur a été piraté ?

Les signes courants : l'ordinateur est beaucoup plus lent que d'habitude, des programmes inconnus s'exécutent au démarrage, votre antivirus a été désactivé sans votre intervention, des fenêtres pop-up apparaissent même quand le navigateur est fermé, vous recevez des alertes de connexion suspecte sur vos comptes en ligne, votre curseur bouge tout seul. Si vous observez un de ces signes, déconnectez-vous et contactez un professionnel.

La Loi 25 s'applique-t-elle aux travailleurs autonomes ?

Oui. Si vous êtes travailleur autonome et que vous collectez ou traitez des renseignements personnels de clients québécois (noms, coordonnées, informations financières), la Loi 25 s'applique à vous. Vous devez avoir une politique de confidentialité, désigner un responsable de la protection des renseignements personnels (vous-même dans la plupart des cas), et signaler toute fuite de données à la CAI.

Est-ce que Windows Defender suffit comme antivirus pour le télétravail ?

Oui, pour la majorité des cas. Windows Defender (maintenant « Sécurité Windows ») a énormément progressé — il obtient régulièrement des scores de 99 %+ dans les tests indépendants. Assurez-vous simplement qu'il est activé et à jour. Vous pouvez compléter avec Malwarebytes (version gratuite) pour des analyses ponctuelles. Un antivirus tiers payant n'est généralement pas nécessaire pour un usage de télétravail standard.