2026 : que faire si votre enfant reçoit un e-mail de réinitialisation de mot de passe sans l’avoir demandé ?

Google précise qu’un message d’assistance au mot de passe non demandé peut être causé par une adresse saisie par erreur, et qu’il ne prouve pas à lui seul que le compte est compromis (aide officielle sur les messages d’assistance au compte). Cette indication concerne les messages de Google, pas tous les services. À réception d’un courriel de réinitialisation de mot de passe reçu par votre enfant sans demande, ne suivez pas son lien et ne transmettez aucun code : vérifiez le compte depuis l’application officielle ou en saisissant vous-même l’adresse du service. Si le message annonce un changement effectif ou si l’enfant ne peut plus se connecter, passez par la récupération officielle du compte.

Cet article s’adresse aux parents qui gèrent les comptes de jeux, d’apprentissage ou d’activités de leurs enfants et doivent décider s’il faut agir.
Il concerne aussi les familles où un adulte consulte le courrier de l’enfant, ou où l’enfant n’a pas encore appris à protéger les codes et les liens de récupération.
Si un lien a déjà été ouvert ou une information communiquée, la conduite à tenir dépend précisément de ce qui s’est passé.

Une demande de réinitialisation ou un changement de mot de passe

Un courriel peut signaler qu’une demande de réinitialisation a été lancée. Il ne signifie pas nécessairement que le mot de passe a changé. Ces situations ne se traitent pas de la même façon : une demande que personne dans la famille n’a lancée appelle d’abord une vérification indépendante ; une modification confirmée, ou une connexion devenue impossible, justifie d’entamer la récupération du compte.

Ne déduisez pas l’origine du message de son objet, du nom affiché comme expéditeur ou du fait qu’il arrive dans la boîte de l’enfant. Un tiers a pu saisir une adresse par erreur. Un message peut aussi imiter une notification légitime. Sans vérification auprès du service par une voie indépendante, il est impossible de déterminer avec certitude qui a déclenché la demande.

Nous recommandons de noter ce que le message affirme exactement : « demande de réinitialisation », « mot de passe modifié », « nouvelle connexion » ou « compte verrouillé ». La formulation n’est pas une preuve, mais elle indique quelle vérification effectuer ensuite. Conservez le message si vous devez le signaler au service, sans ouvrir ses pièces jointes et sans répondre.

Un courriel reçu sans demande : faut-il changer le mot de passe ?

Pas automatiquement. Si l’enfant n’a pas demandé la réinitialisation, si le compte fonctionne normalement et si aucune autre notification de sécurité n’est apparue, commencez par consulter le compte depuis l’application déjà installée ou le site officiel saisi manuellement. Ne réutilisez pas le bouton contenu dans le message pour vous connecter.

La note de Google sur les demandes d’assistance non sollicitées ne permet pas de conclure que tout courriel similaire reçu d’un autre service est bénin. Elle explique seulement qu’une adresse peut avoir été saisie par erreur dans ce cas précis. Pour les autres plateformes, vérifiez leurs propres consignes de sécurité et de récupération. Microsoft, par exemple, distingue les codes de sécurité que l’utilisateur n’a pas demandés et conseille de ne pas répondre ni de transmettre le code (explication officielle sur les codes de sécurité non sollicités).

Dans le compte, examinez les éléments réellement observables : l’enfant peut-il encore se connecter ? Le mot de passe fonctionne-t-il ? Une adresse de récupération ou un numéro de téléphone a-t-il été modifié ? Y a-t-il une notification de connexion que la famille ne reconnaît pas ? Vérifiez chaque point dans les réglages du service, plutôt que de vous fier au lien ou au numéro de téléphone contenus dans le courriel.

Si tout est normal, ne lancez pas une série de changements uniquement pour répondre à un message incertain. Notez la date de réception et surveillez les notifications directement depuis le compte. Si une activité inhabituelle apparaît ensuite, suivez le parcours officiel de sécurité du service.

Une adresse mal saisie ou un message trompeur

Il n’est pas toujours possible de savoir, à partir du seul courriel, si une personne a simplement fait une faute de frappe. Pour décider sans spéculer, faites plutôt la différence entre ce que le message demande et ce que le compte montre.

Méfiez-vous d’un message qui réclame le mot de passe, un code de vérification, des renseignements personnels ou le téléchargement d’une pièce jointe. Une demande pressante de « confirmer immédiatement » ne rend pas le message plus légitime. La FTC recommande de vérifier une communication suspecte par une voie indépendante, et non en utilisant les coordonnées fournies dans le message (conseils de la FTC pour reconnaître et éviter l’hameçonnage).

Pour la vérification, ouvrez l’application que la famille utilise déjà ou recherchez vous-même le site officiel du service. Connectez-vous sans suivre le lien reçu, puis consultez les paramètres et les alertes de sécurité. Si l’accès échoue ou si une donnée du compte semble avoir changé, utilisez le mécanisme officiel de récupération. En cas de doute sur l’authenticité du message, contactez l’assistance par les coordonnées trouvées indépendamment.

Vous pouvez aussi consulter notre guide de vérification de la confidentialité avant une inscription pour revoir les informations demandées par un service avant d’y créer un compte. Cela ne permet pas d’authentifier un courriel déjà reçu, mais aide à limiter les informations communiquées lors des prochaines inscriptions.

Un message annonce un changement ou l’enfant ne peut plus se connecter

Si le courriel affirme que le mot de passe a été modifié, ne traitez pas cette affirmation comme une preuve suffisante : vérifiez directement la connexion et les paramètres du compte. En revanche, si l’enfant ne peut plus se connecter avec son mot de passe habituel, ou si l’adresse de récupération a changé, ne tardez pas à utiliser la procédure officielle du service. Ne cherchez pas à récupérer l’accès depuis le lien du message suspect.

Commencez par la page ou l’application officielle de récupération, puis suivez les étapes demandées par la plateforme. Si l’accès est rétabli, contrôlez les coordonnées de récupération, les appareils ou sessions affichés et les paramètres de sécurité disponibles. Les procédures et les intitulés varient selon le service : nous ne supposons pas qu’une même marche à suivre s’applique partout.

Si le service confirme que le compte a été compromis, suivez ses recommandations pour sécuriser l’accès. Apple, par exemple, publie une procédure officielle pour les comptes que l’utilisateur pense compromis (conseils Apple en cas de compte potentiellement compromis). Cette procédure concerne les comptes Apple ; pour un jeu ou une plateforme éducative, utilisez le centre d’aide de la plateforme concernée.

Si un mot de passe communiqué était également utilisé ailleurs, changez-le aussi sur les autres comptes concernés, en passant à chaque fois par leur site ou application officielle. Le conseil de la FTC après la transmission d’informations à un fraudeur est de contacter le service concerné et de prendre des mesures pour protéger les comptes touchés (conseils de la FTC après une escroquerie).

Un lien ouvert ou une information déjà communiquée

Ouvrir un message, cliquer sur un lien, saisir un mot de passe, partager un code ou télécharger une pièce jointe ne présente pas le même risque. Évitez donc de dire simplement « le lien a été ouvert » : demandez calmement à l’enfant ce qu’il a fait ensuite. Cette précision détermine les étapes utiles, sans le culpabiliser.

Si le lien a été ouvert, mais qu’aucune information n’a été saisie et qu’aucune pièce jointe n’a été téléchargée, fermez la page et ne poursuivez pas. Vérifiez le compte en passant par l’application ou le site officiel. Si l’appareil a téléchargé un fichier, ne l’ouvrez pas ; demandez conseil à un adulte responsable de l’appareil ou à l’assistance officielle avant de poursuivre.

Si l’enfant a saisi son mot de passe, changez-le immédiatement depuis le site ou l’application officielle, si l’accès est encore possible. S’il ne peut plus se connecter, engagez la procédure officielle de récupération. Examinez également les autres comptes où le même mot de passe aurait été utilisé et changez-le pour chacun d’eux. La FTC recommande de prendre des mesures auprès des comptes dont les informations ont été communiquées, plutôt que de répondre au message suspect.

Si un code de vérification a été transmis, signalez-le au service par ses canaux officiels et contrôlez l’état du compte. Ne demandez pas à l’enfant de renvoyer le code « pour vérifier » et ne le communiquez pas à une personne qui prétend aider. Si des informations personnelles ont été saisies, indiquez au service exactement lesquelles, afin qu’il puisse orienter la famille selon le type de compte.

Une règle familiale pour les prochains messages

Une règle écrite et répétée vaut mieux qu’une réaction improvisée. Nous proposons de parcourir cette liste avec l’enfant, puis de l’adapter aux comptes réellement utilisés dans la famille.

• [ ] Si un message de réinitialisation arrive sans que l’enfant l’ait demandé, ne pas cliquer et prévenir un parent.
• [ ] Ne jamais dicter, transférer ou photographier un code de vérification pour l’envoyer à quelqu’un.
• [ ] Ouvrir le service depuis son application habituelle ou en saisissant son adresse officielle, puis vérifier l’état du compte.
• [ ] Si le mot de passe a changé ou si la connexion échoue, utiliser la récupération officielle du service.
• [ ] Si un mot de passe a été saisi sur une page douteuse, le changer depuis le service officiel et vérifier les autres comptes qui le réutilisent.
• [ ] Conserver le message pour le signaler si nécessaire, sans répondre, télécharger sa pièce jointe ou employer ses coordonnées.

Pour les comptes qui doivent rester accessibles, choisissez une adresse de récupération que la famille pourra consulter dans la durée et gardez les moyens de récupération à jour. Un compte de jeu, un espace scolaire ou un service contenant des travaux créatifs, des vidéos ou des projets de design peut être utilisé pendant des années ; la boîte de récupération ne doit donc pas être choisie comme si l’inscription était forcément provisoire. Notre atlas des choix d’adresse e-mail peut aider à comparer les options selon la durée d’usage et le besoin de retrouver le compte.

La décision dépend aussi de ce que la famille a fait après réception du message. Les colonnes suivantes permettent de séparer le simple contact avec un lien d’une divulgation réelle d’informations.

Enfin, distinguez l’adresse utilisée pour retrouver un compte d’une adresse destinée à une inscription sans besoin durable. Un compte important pour l’école, un jeu que l’enfant conserve ou un service qui contient des créations personnelles doit pouvoir être récupéré plus tard. À l’inverse, une inscription réellement ponctuelle ne doit pas être confondue avec une adresse de secours : si un jour l’enfant doit réinitialiser son mot de passe, il faut que la famille puisse encore accéder au canal de récupération.

Avant de choisir une adresse pour un enfant, tenez compte de la durée pendant laquelle le compte devra rester accessible, de la personne qui supervisera sa récupération et des règles du service. Une boîte temporaire n’est ni une protection contre l’hameçonnage, ni un mécanisme de sécurisation du compte, ni un substitut à l’adresse de récupération. Pour une inscription véritablement ponctuelle, FwdTmp peut être envisagé uniquement après vérification de son fonctionnement et de ses conditions sur la page dédiée aux conditions d’utilisation. Pour les comptes de jeu, d’apprentissage ou de création que l’enfant devra retrouver, privilégiez plutôt une adresse durable et une règle familiale : tout message de réinitialisation se vérifie depuis le service officiel, jamais en confiant le lien ou le code à quelqu’un.