🔐 Sécuriser son WhatsApp Business et son Instagram (et Facebook) : le guide pour les commerçants et créateurs au Maroc

🌐 Français · English · العربية

Pour un commerçant ou un créateur, WhatsApp Business et Instagram ne sont pas des applis parmi d'autres : c'est la vitrine, la caisse et le carnet de clients. Les perdre une semaine, c'est perdre des ventes, et voir un escroc écrire à vos clients avec votre nom. Ce guide explique les arnaques qui circulent, les réglages à activer pas à pas, et quoi faire si c'est déjà arrivé.

Mis à jour : octobre 2026

🎬 Ce guide accompagne l'épisode « Le mot de passe de Karim » de la série Sirr el Code. Lien court de l'épisode : oufrid.com/motdepasse, qui mène à l'outil Mon mot de passe a-t-il fuité ?.

Ce guide complète Vol, arnaques et IA : protéger son téléphone en 2026, qui traite du téléphone lui-même (antivol, code PIN de la carte SIM, Protection avancée). Ici, on s'occupe des comptes.

Les menus des applis changent souvent. Les chemins indiqués ci-dessous sont ceux des pages d'aide officielles consultées le 28/10/2026. Si votre écran est différent, cherchez le mot-clé (« vérification en deux étapes », « authentification à deux facteurs ») dans les réglages.

En bref

Le code à 6 chiffres reçu par SMS ne se donne jamais, même à un ami, même à un « technicien ». WhatsApp le dit en toutes lettres : ni aux amis ni à la famille.
Activez la vérification en deux étapes sur WhatsApp Business : depuis août 2026, WhatsApp remplace l'ancien code PIN à 6 chiffres par un vrai mot de passe. Ajoutez une adresse e-mail et une clé d'accès (passkey).
Activez l'authentification à deux facteurs sur Instagram et Facebook, de préférence avec une appli d'authentification, et rangez vos codes de secours hors du téléphone.
Protégez d'abord votre e-mail : c'est la clé de récupération de tout le reste.
Ne partagez jamais un mot de passe avec un employé ou une agence : donnez-leur un accès nominatif dans le portefeuille business de Meta, ou un appareil lié sur WhatsApp Business.
Meta ne vous écrit jamais en message privé au sujet de la sécurité de votre compte.

Pourquoi les comptes de commerçants sont ciblés

Le compte vaut de l'argent. Un compte avec des milliers d'abonnés se revend, sert à faire de la publicité pour des arnaques, ou à faire chanter son propriétaire.
Vos clients vous font confiance. Avec votre WhatsApp, l'escroc envoie à vos clients de « nouvelles coordonnées de paiement » ou demande de l'argent en urgence à vos proches. La presse marocaine décrit exactement ce schéma en octobre 2026 : comptes détournés, demandes d'argent, paiements orientés vers de nouveaux comptes, puis propagation en chaîne aux contacts (L'ODJ, 25/10/2026).
Le numéro est public. Il est sur votre page, vos sacs, vos factures. N'importe qui peut essayer de l'enregistrer sur un autre téléphone : il ne lui manque que le code.
Le commerçant est pressé. Un message « votre page sera supprimée dans 24 h » marche mieux sur quelqu'un qui en vit.

Les 5 arnaques les plus courantes

Arnaque	Ce qui se passe vraiment	Le bon réflexe
1. « Je t'ai envoyé un code par erreur, tu peux me le renvoyer ? »	Quelqu'un essaie d'enregistrer votre numéro sur son téléphone. Le message vient souvent du compte d'un ami, déjà piraté.	Ne donnez jamais le code. Appelez l'ami par téléphone, pas sur WhatsApp.
2. Faux support Meta	Un message privé « Meta Support » ou « Instagram Team » : compte signalé, vérification requise, lien à suivre.	Instagram ne contacte jamais au sujet de la sécurité du compte par message privé. Vérifiez dans E-mails récents de l'application.
3. « Violation de droits d'auteur »	Un e-mail ou un message menace de supprimer votre page sous 24 ou 48 h, avec un lien vers un faux formulaire « de recours » qui vole identifiant, mot de passe et code.	Ne cliquez pas. Une vraie notification se retrouve dans l'application elle-même et dans E-mails récents.
4. Faux badge de vérification	On vous propose le badge bleu contre un paiement ou vos identifiants, par message privé.	Meta Verified, l'abonnement officiel, se souscrit dans l'application. Personne ne vend le badge en message privé.
5. Échange de carte SIM (SIM swap)	L'escroc obtient un duplicata de votre carte SIM et reçoit vos SMS, donc vos codes.	Ne comptez pas seulement sur le SMS : mot de passe WhatsApp, clé d'accès, appli d'authentification, et code PIN sur la SIM.

Arnaque 1, en détail. Le code à 6 chiffres que WhatsApp envoie par SMS sert à installer votre compte sur un téléphone. Celui qui l'a vous remplace. L'aide de WhatsApp demande de ne jamais partager ce code, « même avec vos amis ou votre famille », et précise que changer de mot de passe ne suffit pas à chasser l'intrus : il faut réenregistrer le compte avec un nouveau code (WhatsApp, récupérer un compte compromis). Le prétexte varie : erreur, urgence, « intervention technique », concours. Si vous recevez un code que vous n'avez pas demandé, c'est que quelqu'un essaie : ne répondez rien et activez la vérification en deux étapes.

Arnaques 2 et 3 : vérifier un e-mail sans cliquer. Instagram et Facebook affichent dans l'application les e-mails réellement envoyés : Paramètres → Espace Comptes → Mot de passe et sécurité → E-mails récents (Facebook garde les e-mails de sécurité de l'année écoulée ; Instagram, ceux des 14 derniers jours). Si le message n'y est pas, c'est un faux (Facebook, vérifier un e-mail, Instagram, e-mails authentiques). Facebook rappelle aussi que son équipe ne demande jamais votre mot de passe par e-mail.

Un doute sur un message ? Collez-le dans le détecteur d'arnaques : il repère les signes d'arnaque sans rien envoyer sur Internet.

Le mot de passe : ce que disent vraiment les autorités

Les règles ont changé, et beaucoup de gens appliquent encore les anciennes.

La longueur compte plus que les symboles. Le NIST américain (norme SP 800-63B-4, version finale de juillet 2025) fixe un minimum de 15 caractères pour un mot de passe utilisé seul, interdit d'imposer des règles de composition (« une majuscule, un chiffre, un symbole ») et demande de vérifier le mot de passe contre une liste de mots de passe déjà fuités.
Pas de changement forcé tous les 3 mois. Le même NIST interdit d'imposer un changement périodique ; on change dès qu'il y a un doute de compromission. L'ANSSI française ne recommande pas non plus l'expiration systématique pour les comptes ordinaires.
Un mot de passe différent par service, dans un gestionnaire. L'ANSSI recommande un coffre-fort de mots de passe et l'authentification multifacteur ; la DGSSI marocaine demande des mots de passe « longs, complexes et uniques » pour chaque service et l'activation de la double authentification « dès que possible ».

En pratique : une phrase de passe de 4 ou 5 mots au hasard pour l'e-mail et le gestionnaire, et des mots de passe générés par le gestionnaire pour tout le reste. Testez les vôtres avec Mon mot de passe a-t-il fuité ? : l'outil vérifie s'il figure dans de vraies fuites sans jamais l'envoyer, et génère une phrase de passe sûre.

Réglages pas à pas

1. WhatsApp Business

Vérification en deux étapes. Selon l'aide officielle consultée le 28/10/2026 : Plus d'options (⋮) → Paramètres → Compte → Vérification en deux étapes sur Android (Paramètres → Compte sur iPhone). Depuis l'annonce du 25/08/2026, le code PIN à 6 chiffres devient un mot de passe : au moins 8 caractères, avec au moins une lettre et un chiffre (blog WhatsApp, aide WhatsApp). Si votre appli affiche encore l'ancien code PIN, activez-le quand même.
Ajoutez une adresse e-mail pendant l'activation : elle permet de recevoir un code de connexion par e-mail et de réinitialiser la vérification en deux étapes si vous l'oubliez.
Créez une clé d'accès (passkey) : Paramètres → Compte → Clés d'accès. Vous vous reconnectez avec l'empreinte, le visage ou le verrouillage de l'écran. Il faut Android 9 ou plus récent, un gestionnaire de mots de passe et un verrouillage d'écran ; on peut désormais en ajouter plusieurs, par exemple un Android et un iPhone (aide WhatsApp, clés d'accès).
Vérifiez les appareils liés : Plus d'options → Appareils connectés. Déconnectez tout appareil que vous ne reconnaissez pas.

2. Instagram

Authentification à deux facteurs. Selon l'aide officielle consultée le 28/10/2026 : Plus → Paramètres → Espace Comptes → Mot de passe et sécurité → Authentification à deux facteurs, choisissez le compte, puis la méthode (aide Instagram). Trois méthodes : appli d'authentification (recommandée, comme Google Authenticator ou Duo Mobile), SMS, ou WhatsApp.
Codes de secours : dans la même rubrique, Méthodes supplémentaires → Codes de secours. Notez-les sur papier ou dans votre gestionnaire, pas dans la galerie photo du téléphone.
Clés d'accès : depuis avril 2026, Meta annonce qu'elles fonctionnent aussi sur Instagram, avec un passage progressif de l'Espace Comptes au compte Meta sur un an (Meta, 23/04/2026). Si votre appli vous le propose, acceptez.
Contrôlez l'e-mail et le numéro du compte, et retirez les comptes liés et les applis tierces que vous ne connaissez pas.

3. Facebook (profil et Page)

Authentification à deux facteurs : Paramètres et confidentialité → Paramètres → Espace Comptes → Mot de passe et sécurité → Authentification à deux facteurs. Méthodes : clé de sécurité, appli d'authentification, SMS. Vous pouvez obtenir 10 codes de récupération (aide Facebook).
Clés d'accès : disponibles sur Facebook et Messenger depuis 2025 ; Facebook vous propose d'en créer une au moment d'une connexion. N'en créez pas sur un appareil partagé (aide Facebook, clés d'accès).
Votre Page dépend de votre profil : si le profil d'un administrateur tombe, la Page est en danger. Chaque administrateur doit avoir activé la double authentification.

4. L'e-mail de récupération

C'est la porte de derrière de tous vos comptes : qui contrôle votre e-mail peut réinitialiser Instagram, Facebook et le mot de passe WhatsApp.

Une adresse réservée aux comptes importants, pas celle affichée sur vos factures.
Une phrase de passe unique, une clé d'accès ou une appli d'authentification (pour Gmail : myaccount.google.com/security).
Vérifiez que le numéro et l'e-mail de secours de cette adresse sont toujours les vôtres.

Travailler en équipe sans partager le mot de passe

Donner le mot de passe à un employé, à un community manager ou à une agence, c'est perdre le contrôle : vous ne savez plus qui se connecte, et vous ne pouvez pas retirer l'accès d'une seule personne.

Instagram, Facebook et publicité : le portefeuille business. Dans Meta Business Suite, Paramètres → Personnes → Inviter des personnes, puis choisissez les éléments (Page, compte Instagram, compte publicitaire) et les tâches autorisées. Seules les personnes en contrôle total peuvent ajouter quelqu'un ; Meta conseille de ne donner que l'accès nécessaire. Pour une agence, passez par Partenaires avec un accès partiel (aide Meta Business, partenaires).
Gardez au moins deux personnes de confiance en contrôle total (vous et un associé ou un proche), chacune avec la double authentification. Si une seule personne détient tout et perd son compte, l'entreprise est bloquée.
WhatsApp Business : les appareils liés. Jusqu'à quatre appareils liés en plus du téléphone, pour que plusieurs personnes répondent aux clients, sans jamais partager le code de vérification (aide WhatsApp Business). Quand quelqu'un quitte l'équipe, déconnectez son appareil le jour même.
Le jour du départ d'un employé ou de la fin d'un contrat d'agence : retirez ses accès, vérifiez les appareils liés et changez les mots de passe qu'il aurait pu voir.

Compte piraté : les étapes officielles

Agissez vite : chaque heure, l'escroc peut écrire à vos clients.

Réinstallez ou ouvrez WhatsApp avec votre numéro et entrez le code à 6 chiffres reçu par SMS ou appel. Selon l'aide WhatsApp, c'est la seule façon d'expulser l'intrus : tous les autres appareils sont déconnectés.
Si l'appli vous demande le mot de passe de la vérification en deux étapes que l'escroc a créé et que vous ne le connaissez pas, l'aide indique d'attendre 7 jours avant de réessayer. Si vous aviez ajouté un e-mail, vous pouvez recevoir le code par e-mail.
Prévenez vos contacts et vos clients par un autre canal (statut Instagram, SMS, appel) : l'intrus a pu se faire passer pour vous.
Il faut la carte SIM du numéro : si vous l'avez perdue, contactez votre opérateur.

Instagram

Selon l'aide officielle (Instagram, compte piraté) :

Cherchez un e-mail de security@mail.instagram.com annonçant un changement d'adresse : il contient un lien pour annuler ce changement.
Sinon, sur l'écran de connexion, Mot de passe oublié ? → demandez un lien de connexion.
Si ça ne marche pas, demandez de l'aide depuis l'appli avec une adresse e-mail que vous seul contrôlez. Si le compte contient des photos de vous, on peut vous demander un selfie vidéo (supprimé au bout de 30 jours).
Le point d'entrée général : instagram.com/hacked.
Une fois rentré : nouveau mot de passe, double authentification, vérification de l'e-mail, du numéro, des comptes liés et des applis tierces.

Facebook et Page

Ouvrez facebook.com/hacked depuis un appareil sur lequel vous vous êtes déjà connecté ; il existe un parcours séparé pour une Page piratée. Meta a aussi un centre de récupération commun à Facebook et Instagram : meta.com/account-recovery-support.

Porter plainte au Maroc

L'accès frauduleux à un système informatique est puni par le Code pénal (articles 607-3 et suivants, issus de la loi 07-03). Gardez des captures d'écran (messages, numéros, comptes de paiement de l'escroc) et :

signalez les faits sur e-blagh.ma, la plateforme de signalement de la DGSN lancée en juin 2024, qui couvre aussi les escroqueries en ligne ;
ou déposez plainte au commissariat ou à la Gendarmerie royale, surtout si des clients ont payé l'escroc.

La check-list finale

[ ] Je n'ai jamais donné et ne donnerai jamais un code reçu par SMS.
[ ] WhatsApp Business : vérification en deux étapes active, avec mot de passe et e-mail.
[ ] WhatsApp Business : clé d'accès créée.
[ ] WhatsApp Business : appareils liés vérifiés, inconnus déconnectés.
[ ] Instagram : double authentification par appli d'authentification, codes de secours rangés hors du téléphone.
[ ] Facebook : double authentification active pour tous les administrateurs de la Page.
[ ] E-mail de récupération protégé par une phrase de passe unique et une double authentification.
[ ] Un mot de passe différent par service, dans un gestionnaire, et vérifié avec Mon mot de passe a-t-il fuité ?.
[ ] Code PIN activé sur la carte SIM (voir le guide téléphone).
[ ] Équipe et agence : accès nominatifs dans le portefeuille business, au moins deux personnes en contrôle total.
[ ] Un message suspect passe par le détecteur d'arnaques avant tout clic.

Ce que je n'ai pas pu vérifier

Pour être honnête : je n'ai trouvé aucune alerte publiée par la DGSSI (maCERT) ou la DGSN spécifiquement sur le vol de comptes WhatsApp par code ; les cas marocains cités viennent de la presse. Je n'ai pas non plus de source officielle marocaine sur l'échange de carte SIM, ni la date exacte à laquelle le mot de passe WhatsApp et les clés d'accès Instagram arrivent sur chaque téléphone au Maroc (Meta parle d'un déploiement progressif). Le chemin du menu « Personnes » de Meta Business Suite vient d'une page d'aide qui n'est pas datée. Je mettrai ce guide à jour dès que j'aurai mieux.

Sources

Besoin d'aide ?

Je sécurise la présence en ligne des commerçants au Maroc : site, boutique, comptes et accès d'équipe. Voir le service e-commerce, ou me contacter.

← Tous les guides