Un compte sur un extranet de courtage comme inaxa Courtage donne accès à des données sensibles : contrats, informations clients, pièces justificatives. La solidité du paramétrage initial, des identifiants à la répartition des droits entre collaborateurs, conditionne la protection de l’ensemble du cabinet.
Credential stuffing et portails de courtage : la menace la moins visible
Les attaques par credential stuffing exploitent des couples identifiant/mot de passe déjà compromis sur d’autres services. Un collaborateur qui réutilise le même mot de passe pour sa messagerie personnelle et pour inaxa Courtage expose le cabinet sans qu’aucune faille technique ne soit en cause.
A voir aussi : Bimpli CADO enseigne : que faire si votre carte est refusée en boutique ?
Ce type d’attaque automatisée teste des milliers de combinaisons issues de fuites de données publiques. Le portail de courtage n’a pas besoin d’être lui-même piraté pour que l’accès soit compromis.
La parade tient en deux règles. D’abord, chaque compte inaxa doit avoir un mot de passe unique, jamais partagé avec un autre service. Ensuite, l’activation de la double authentification, quand elle est proposée, bloque la quasi-totalité de ces tentatives, même si le mot de passe a fuité.
A lire aussi : Sécurité des comptes virtuels : évaluation des risques et protections
Mot de passe inaxa Courtage : phrase de passe plutôt que complexité forcée
Les recommandations récentes en cybersécurité ne misent plus sur la complexité brute (majuscule, chiffre, caractère spécial). Elles privilégient la phrase de passe : une suite de plusieurs mots formant une séquence longue et facile à retenir.
Un exemple concret : « bureau-contrat-mardi-orange » est plus résistant aux attaques par force brute qu’un mot de passe court truffé de caractères spéciaux, et nettement plus simple à taper sans erreur.
Gestionnaire de mots de passe pour le cabinet
Un gestionnaire de mots de passe (KeePass, Bitwarden ou équivalent) stocke et génère des identifiants uniques pour chaque plateforme. Le collaborateur ne retient qu’un seul mot de passe maître. Cet outil supprime la tentation de réutiliser un même mot de passe sur plusieurs portails, y compris inaxa Courtage.
Le gestionnaire facilite aussi la transmission sécurisée lors du départ ou de l’arrivée d’un collaborateur : les accès sont modifiés dans l’outil, pas griffonnés sur un post-it.
Droits d’accès sur inaxa Courtage : principe du moindre privilège
Sur un extranet de courtage, tous les utilisateurs n’ont pas besoin du même niveau d’accès. Le principe du moindre privilège consiste à n’attribuer à chaque collaborateur que les droits strictement nécessaires à ses missions.
Un gestionnaire de sinistres n’a pas besoin de modifier les coordonnées bancaires du cabinet. Un commercial n’a pas besoin d’accéder aux documents comptables. Limiter les droits réduit la surface d’attaque et les risques d’erreur humaine.
Répartition concrète des rôles
- Le responsable du cabinet conserve le rôle administrateur avec accès complet (paramètres, utilisateurs, données financières). Ce rôle ne devrait concerner qu’une ou deux personnes.
- Les collaborateurs opérationnels reçoivent un accès limité aux dossiers clients et aux outils de souscription, sans pouvoir modifier la configuration du compte.
- Les accès en lecture seule conviennent aux profils qui consultent des tableaux de bord ou des états de production sans intervenir sur les contrats.
Vérifier la liste des utilisateurs actifs au moins une fois par trimestre permet de désactiver rapidement les comptes de personnes ayant quitté le cabinet.
Paramétrage du compte inaxa : les étapes à ne pas sauter
Lors de la première connexion ou après une reprise de cabinet, plusieurs réglages méritent une attention immédiate.
- Modifier le mot de passe provisoire fourni par la plateforme et le remplacer par une phrase de passe unique, stockée dans un gestionnaire.
- Vérifier l’adresse e-mail de récupération : c’est elle qui recevra les liens de réinitialisation. Une adresse obsolète bloque la procédure en cas d’oubli.
- Activer les notifications de connexion si la plateforme le propose, afin de repérer toute connexion suspecte.
- Passer en revue les droits attribués à chaque utilisateur existant et supprimer ceux qui ne sont plus justifiés.
Un compte mal paramétré à l’ouverture reste souvent en l’état pendant des mois. Le moment de la création ou de la reprise est le seul où ces vérifications se font naturellement.
Obligations réglementaires et protection des données clients
Un cabinet de courtage manipule des données personnelles couvertes par le RGPD : état civil, coordonnées, informations de santé pour certains contrats. La sécurité des accès au portail fait partie des mesures techniques exigées par le règlement.
Le règlement DORA, qui concerne la résilience opérationnelle du secteur financier en Europe, renforce ces exigences. Il impose aux acteurs de la chaîne (assureurs, courtiers, prestataires) une gestion rigoureuse des identités et des accès aux systèmes d’information.
En pratique, cela signifie qu’un cabinet ne peut pas se contenter d’un mot de passe partagé entre tous les collaborateurs. Chaque utilisateur doit disposer de son propre identifiant, avec des droits traçables et révocables.
Traçabilité des actions
Si le portail inaxa Courtage propose un journal d’activité (log des connexions, modifications de contrats), activez-le. En cas de litige ou de contrôle, cette traçabilité prouve que les accès étaient maîtrisés et que chaque action est rattachée à un utilisateur identifié.
Le paramétrage d’un compte inaxa Courtage ne se résume pas à choisir un mot de passe lors de la première connexion. Phrase de passe unique, gestionnaire dédié, droits limités par rôle, vérification régulière des utilisateurs actifs : ces réglages protègent à la fois les données du cabinet et celles de ses clients. Un compte dont la configuration n’a jamais été revue depuis sa création constitue, à lui seul, une vulnérabilité.
