Protéger son compte de recharge : quelques habitudes utiles

La sécurité d’un compte de recharge électrique repose sur quatre habitudes : un mot de passe propre au service, la double authentification dès qu’elle est proposée, une adresse et un numéro de récupération à jour, et un accès distinct pour chaque conducteur. Ajoutez une règle simple : aucun code ne se donne au téléphone.

Vous saurez ensuite recenser les comptes qui touchent à votre recharge, régler chacun d’eux, partager un accès sans céder l’administration, repérer un faux conseiller ou un faux QR code, et réagir dans le bon ordre le jour où une connexion ou un paiement vous paraît anormal.

Que protège un compte de recharge, et combien en avez-vous ?

Un compte de recharge donne accès, selon le service, à un moyen de paiement enregistré, à l’historique de vos sessions et parfois à des commandes à distance : lancer ou arrêter une charge, programmer des horaires, rattacher un badge. Entre de mauvaises mains, il peut vous coûter de l’argent.

La CNIL rappelle, dans sa page du 30 juin 2026 sur les véhicules connectés, que les données de localisation d’un véhicule sont considérées comme « hautement personnelles ». Un historique de recharge publique, qui associe des stations à des dates et à des heures, révèle lui aussi une partie de vos trajets.

Le tableau suivant aide à recenser vos comptes et indique quoi regarder en premier.

Un mot de passe par service, rangé dans un gestionnaire

Donnez à chaque compte lié à la recharge un mot de passe qui ne sert nulle part ailleurs. Si un autre site se fait voler ses identifiants, un mot de passe réutilisé ouvrirait aussi votre application de recharge.

Le mémo de Cybermalveillance.gouv.fr « 10 conseils pour gérer vos mots de passe » en donne six qui s’appliquent directement à un compte de recharge :

• un mot de passe différent pour chaque service, suffisamment long et complexe, impossible à deviner ;
• un gestionnaire de mots de passe, logiciel qui les génère et les conserve dans un coffre protégé ;
• ne jamais communiquer son mot de passe à un tiers ;
• ne pas saisir ses mots de passe sur un ordinateur partagé ;
• changer les mots de passe par défaut des services auxquels vous accédez ;
• changer de mot de passe au moindre soupçon.

Si un compte a été créé pour vous avec un mot de passe provisoire à la mise en service de la borne, le conseil sur les mots de passe par défaut s’applique : remplacez-le dès la première connexion.

Sécurité du compte de recharge électrique : la double authentification et la messagerie d’abord

Activez la double authentification partout où elle est proposée, en commençant par votre messagerie. Elle demande, en plus du mot de passe, une seconde preuve, par exemple un code à usage unique reçu par SMS ou affiché par une application dédiée : un mot de passe volé ne suffit alors plus.

La messagerie passe en premier parce qu’elle sert de clé de secours : le lien « mot de passe oublié » de votre application de recharge arrive dans cette boîte. Le même mémo recommande de choisir pour elle un mot de passe particulièrement robuste.

Trois vérifications complètent ce réglage :

• l’adresse et le numéro de récupération enregistrés dans chaque compte sont bien les vôtres et encore actifs ;
• les codes de secours, que certains services fournissent à l’activation, sont rangés dans le gestionnaire ou imprimés et gardés chez vous ;
• la double authentification ne dépend pas d’un seul téléphone : si le service le permet, enregistrez un second moyen.

Chaque application installée est aussi un compte de plus à protéger. Le guide des applications de recharge de voiture électrique aide à ne garder que celles dont vous vous servez.

Partager la borne du foyer sans partager le compte

Invitez chaque conducteur avec son propre accès plutôt que de lui confier vos identifiants. Un compte partagé empêche de savoir qui a fait quoi et oblige à tout changer quand une personne doit perdre l’accès.

La CNIL pose la même règle pour les organismes dans son guide de la sécurité des données personnelles (version 2024, mise à jour 2026) : un identifiant unique par utilisateur, pas de compte partagé, et le principe du moindre privilège, qui consiste à ne donner à chacun que les droits nécessaires à son usage. Sa logique vaut aussi à la maison.

Regardez si l’application de votre borne distingue un titulaire et des utilisateurs invités. Chez Wallbox, par exemple, le titulaire invite un utilisateur par son adresse électronique et retire l’accès depuis « Gérer les utilisateurs » ; chaque fabricant a sa propre procédure.

Gardez pour le titulaire l’administration et le moyen de paiement. Le guide pour organiser les droits d’un compte de borne dans le foyer détaille cette répartition.

En entreprise ou en copropriété : des droits nominatifs, revus chaque année

Dans une flotte ou un parking partagé, le compte le plus sensible est celui qui administre la supervision, le logiciel qui gère les bornes à distance, par exemple avec OCPP, le protocole ouvert qui relie la borne à ce logiciel. Tant que la borne est connectée, l’administrateur peut la redémarrer, déverrouiller un connecteur, mettre à jour son micrologiciel ou modifier sa configuration.

Le guide de la CNIL recommande notamment aux organismes :

• de retirer les droits dès qu’une personne change de mission ou de poste, et à la fin de son contrat ;
• de revoir les habilitations au moins une fois par an pour supprimer les comptes inutilisés ;
• si un identifiant partagé est inévitable, de prévoir une validation hiérarchique, de tracer les actions et de changer le mot de passe dès qu’une personne n’a plus besoin du compte ;
• de journaliser les actions des utilisateurs et des administrateurs, et de garder ces traces sur une période glissante de six mois à un an.

Rattachez les comptes à une adresse de service, pas à la messagerie personnelle d’un salarié. Le guide du logiciel de supervision de bornes détaille la gestion des utilisateurs. Un badge désactivé n’est pas non plus refusé partout à l’instant : selon l’Open Charge Alliance, une borne hors ligne peut encore l’accepter d’après son cache d’autorisation, qui garde le résultat des badges récemment utilisés. La procédure pour révoquer un badge de recharge perdu en tient compte.

Faux conseillers et faux QR codes : les deux pièges à connaître

Ne donnez jamais votre mot de passe ni un code de connexion à quelqu’un qui vous appelle en se présentant comme le support de votre borne ou de votre opérateur. Raccrochez, puis rappelez le service avec les coordonnées indiquées dans l’application ou dans votre contrat.

Le second piège est collé sur la borne. Dans un article sur le « quishing » mis à jour le 10 août 2026, Cybermalveillance.gouv.fr décrit cet hameçonnage par QR code et cite de faux QR codes collés sur des bornes de recharge. Son conseil : vérifier la vraisemblance du lien avant de l’ouvrir, et s’abstenir au moindre doute. L’Open Charge Alliance, qui publie OCPP, juge elle aussi les QR codes fixes collés sur les bornes sensibles à la fraude.

Repère utile : le règlement européen AFIR oblige chaque point de recharge ouvert au public à permettre une recharge à l’acte, sans inscription ni contrat préalable, les points gratuits n’étant pas concernés. Une page qui exige de créer un compte ou réclame des identifiants doit donc vous alerter. Le guide sur le QR code d’une borne montre comment contrôler la destination.

Accès suspect sur un compte de recharge : les gestes dans l’ordre

Au premier signe anormal, connexion inconnue ou session que vous n’avez pas lancée, changez immédiatement le mot de passe. La fiche réflexe de Cybermalveillance.gouv.fr sur le piratage de compte, mise à jour le 7 mai 2026, donne la suite.

Reprendre la main sur le compte

1. Si vous ne pouvez plus vous connecter, contactez le service par ses coordonnées officielles, signalez le piratage et demandez la réinitialisation du mot de passe.
2. Déconnectez tout appareil ou session active inconnus, si le service les affiche.
3. Vérifiez que le numéro de téléphone et l’adresse de récupération sont bien les vôtres.
4. Changez le mot de passe piraté partout où vous l’aviez réutilisé.
5. Activez la double authentification, pour éviter que le piratage se reproduise.
6. Sauvegardez les preuves : captures d’écran, courriels reçus.

Si un paiement n’est pas de vous

Prévenez votre banque si votre carte était enregistrée. Pour une fraude à la carte sur internet, service-public.gouv.fr indique de faire opposition au plus vite, auprès de la banque ou du serveur interbancaire au 0 892 705 705, de signaler la fraude en ligne sur Perceval ou de porter plainte, puis de demander le remboursement. La banque doit rembourser immédiatement, au plus tard à la fin du premier jour ouvrable suivant la réception de la contestation. Une opposition tardive peut justifier un refus, et un paiement frauduleux datant de plus de 13 mois ne peut pas être remboursé ; ce délai tombe à 70 jours pour un paiement effectué hors de l’Espace économique européen.

Changer de téléphone, vendre sa voiture ou sa borne : fermer les accès

Avant de réinitialiser un ancien téléphone, vérifiez que vos codes de double authentification et vos applications de recharge fonctionnent sur le nouveau.

Certaines clés numériques imposent un ordre précis. Pour transférer une clé de voiture de l’app Cartes vers un nouvel iPhone, Apple indique que l’ancien appareil doit se trouver à proximité et être connecté à internet : ne le remettez pas à zéro avant. Le guide pour changer de téléphone sans perdre l’accès à la voiture et à la borne donne la méthode.

Avant de vendre ou de restituer une voiture, la CNIL conseille de supprimer vos informations personnelles stockées dans le véhicule. Dissociez aussi la voiture de vos comptes de recharge. Pour une borne vendue avec la maison ou d’occasion, retirez les utilisateurs invités et organisez le transfert du compte selon la procédure du fabricant, propre à chaque marque.

Ce qu’il faut vérifier aujourd’hui, et ce qu’il faut demander à l’installateur

Parcourez cette liste une fois, puis à chaque changement de téléphone, de véhicule ou de conducteur :

• chaque compte lié à la recharge a un mot de passe unique, rangé dans un gestionnaire ;
• la double authentification est active sur la messagerie et sur chaque service qui la propose ;
• l’adresse et le numéro de récupération sont à jour, les codes de secours rangés à part ;
• chaque conducteur a son propre accès, l’administration et le paiement restent au titulaire ;
• les anciens utilisateurs, téléphones et badges ont été retirés ;
• vous connaissez les coordonnées officielles du support de chaque service.

À l’installation d’une borne connectée, posez trois questions lors de la visite technique : qui sera titulaire du compte, à quelle adresse il sera rattaché, et comment le transférer en cas de vente ou de départ. Pour un projet à domicile, notez-les dans votre demande de devis pour une borne à domicile. Pour une flotte ou un parking partagé, la demande de devis professionnel permet de décrire aussi vos besoins de supervision OCPP et de gestion des droits. Objectif : devis sous 48 h après dossier complet.

L’essentiel à retenir

Cinq points résument ce guide :

• Un compte de recharge peut exposer un moyen de paiement, l’historique de vos recharges et des commandes à distance : protégez-le comme vos comptes importants.
• Un mot de passe propre à chaque service, rangé dans un gestionnaire, et la double authentification partout où elle existe, messagerie en tête.
• Un accès par conducteur, des droits limités à l’usage et, en entreprise ou en copropriété, une revue des habilitations au moins annuelle, comme le recommande la CNIL.
• Personne n’a à vous demander un mot de passe ou un code au téléphone, et un QR code collé sur une borne se vérifie avant d’être ouvert.
• En cas d’accès suspect : nouveau mot de passe, sessions inconnues fermées, récupération vérifiée, preuves gardées ; en cas de paiement frauduleux, opposition sans attendre.