Skip to main content
Blog
Blog

Comment prévenir la fraude par partage de compte (guide complet pour les entreprises)

Le partage de compte coûte aux organisations des milliards en pertes de revenus. Ce guide couvre les méthodes de prévention comme les limites d'appareils et de sessions, ainsi que des conseils stratégiques.

Apr 22, 2026 22 min read
Guide complet : Comment prévenir la fraude par partage de compte - cside - couverture du blog

En résumé

  • Le partage de compte, c'est lorsque des utilisateurs partagent volontairement leurs identifiants de connexion avec des personnes qui n'ont pas payé. Cela va du partage familial informel à la revente d'identifiants.
  • Le partage de compte coûte aux plateformes de streaming des milliards de dollars chaque année et représente une opportunité directe pour les produits SaaS de récupérer des revenus.
  • Une stratégie de défense typique : le MFA pour rendre les connexions simultanées plus difficiles, les limites d'appareils, et les limites de sessions simultanées qui bloquent plusieurs sessions actives.
  • Les équipes utilisent une combinaison d'outils : les fournisseurs de fingerprinting (ex. cside) collectent des signaux (déplacements impossibles, appareils multiples) qui déclenchent des mécanismes de défense comme un défi MFA (ex. Okta) ou un écran d'invitation à passer à un abonnement supérieur via du code développé en interne.

Qu'est-ce que le partage de compte

Graphique - Définition de la fraude par partage de compte - cside

Le partage de compte, c'est lorsque plusieurs personnes utilisent un seul compte payant, généralement en partageant leurs identifiants de connexion. C'est différent de la prise de contrôle de compte, où l'accès est volé à l'insu du titulaire. Dans le cas du partage de compte, le titulaire est au courant et l'intention est souvent d'économiser de l'argent grâce à un abonnement ou un service partagé.

Le partage de compte prend de nombreuses formes, allant de l'anodin à l'organisé :

  • Partage familial : famille, partenaires, colocataires. La forme la plus répandue. Netflix estimait que 100 millions de foyers partageaient des mots de passe avant d'appliquer des restrictions en 2023.
  • Partage en entreprise : des équipes qui se partagent un seul identifiant SaaS pour éviter de payer des licences par utilisateur. Le mot de passe circule dans un canal Slack ou un document partagé. Ce n'est souvent pas intentionnel, mais cela viole les conditions de licence et représente un manque à gagner pour les éditeurs.
  • Marchés de partage de compte : un vecteur commercial en pleine croissance. Des sites comme Sharesub et Spliiit permettent aux titulaires de comptes de partager leur accès contre rémunération sur une place de marché. Si la plupart des utilisateurs cherchent simplement à économiser quelques euros, cela ouvre la porte à la prise de contrôle frauduleuse d'identifiants et au partage abusif de comptes.

Méthodes éprouvées pour prévenir le partage de compte

1. MFA (Authentification multi-facteurs)

  • Le MFA ajoute une deuxième étape de vérification (code SMS, application d'authentification, lien par e-mail) à la connexion. Il décourage naturellement le partage, car le titulaire du compte doit intervenir à chaque connexion. Particulièrement efficace en contexte professionnel, où le SSO + MFA peut remplacer entièrement le besoin d'identifiants partagés.
  • Limitations : Si le titulaire du compte complète le MFA une fois sur l'appareil d'un ami, cette session peut persister. Un MFA trop fréquent génère également des frictions pour l'utilisateur légitime à chaque nouvelle connexion.

2. Surveillance des sessions simultanées

  • La surveillance des sessions simultanées suit le nombre de sessions actives en parallèle sur un même compte. Trop de sessions actives sur un seul compte peut indiquer un partage de compte. Pensez aux services de streaming comme Netflix et Disney+ qui limitent l'accès simultané selon le niveau d'abonnement.
  • Comment mettre en place la surveillance des sessions simultanées : La plupart des équipes le développent elles-mêmes. Une configuration typique : stocker les sessions actives côté serveur (ex. Redis), indexées par identifiant utilisateur. À chaque nouvelle connexion, le backend vérifie le nombre de sessions actives. Si ce nombre dépasse la limite, il supprime la plus ancienne ou déclenche un défi MFA. Les plateformes d'authentification comme Auth0 ou Firebase proposent certaines fonctionnalités de gestion des sessions, mais la logique de seuil et la réponse UX sont généralement suffisamment spécifiques au produit pour que du code personnalisé soit préférable.
  • La surveillance des sessions simultanées est différente des limites d'appareils. Elle suit le nombre de sessions actives en même temps, et non le nombre d'appareils ayant accès.

Une note pratique sur les seuils : ne fixez pas la limite à un. Un même utilisateur peut avoir une session ouverte sur son ordinateur portable, son téléphone et un onglet de navigateur inactif. Détecter des sessions simultanées de manière répétée ou en combinaison avec d'autres signaux (emplacements différents) constitue un indicateur bien plus fiable.

3. Limites d'appareils

  • Suivez les identifiants d'appareils uniques par compte. Définissez un nombre maximum d'appareils reconnus par compte. Autorisez un nombre configurable (par exemple 3 appareils sur une fenêtre de 30 jours). Lorsque le plafond est atteint, demandez à l'utilisateur de supprimer un appareil avant d'en ajouter un nouveau, ou déclenchez un défi de vérification.
  • Comment mettre en place les limites d'appareils : Vous aurez besoin d'un outil de fingerprinting qui retourne un identifiant d'appareil persistant. Votre backend stocke et suit ces identifiants par compte, en vérifiant le nombre à chaque connexion. Vous intégrez ensuite ces signaux dans des mécanismes de réponse comme un défi de vérification via votre outil MFA ou un écran « gérer vos appareils » dans votre application.

4. Signaux de fingerprinting

  • Le fingerprinting de navigateur et d'appareil collecte des dizaines de signaux (résolution d'écran, système d'exploitation, VPN/proxy, polices, fuseau horaire, etc.) et les résout en un identifiant visiteur persistant. Cet identifiant reste stable d'une session à l'autre, en mode navigation privée, après effacement du stockage et en cas d'utilisation d'un VPN.
  • Certaines combinaisons de ces signaux bruts indiquent qu'un partage de compte est en cours. Par exemple : un déplacement impossible (même compte dans deux villes distantes de 5 000 km en moins d'une heure sans utilisation de VPN), des anomalies multi-appareils (cet utilisateur accède habituellement via deux appareils de confiance, puis ajoute soudainement 3 nouveaux appareils en une semaine), et des signaux comportementaux.
  • Lorsque des schémas suspects sont détectés, les équipes peuvent challenger la connexion (vérification renforcée) ou bloquer la session entièrement.

Le fingerprinting est le socle qui rend les limites d'appareils et les vérifications de sessions simultanées plus précises. La plupart des entreprises s'appuient sur le fingerprinting pour lutter contre le partage abusif de comptes, en parallèle d'autres vecteurs de fraude comme la prise de contrôle de compte, le multi-comptage et l'activité de bots.

Les restrictions par IP sont insuffisantes pour le partage de compte

La détection par IP (signalement des comptes accédés depuis trop d'adresses IP distinctes) était l'une des premières approches pour résoudre ce problème, mais elle présente des faiblesses importantes.

  • Les acteurs malveillants et les utilisateurs légitimes se connectent via des VPN ou des proxies qui masquent leur véritable IP et leur localisation.
  • Les utilisateurs légitimes génèrent des faux positifs en se connectant depuis leur bureau, leur domicile, des réseaux mobiles et en déplacement.

Des signaux plus avancés sont nécessaires. La détection la plus efficace combine données IP, empreintes d'appareils, signaux comportementaux et géolocalisation, car aucun signal unique ne devrait être le seul facteur de décision.

Comment les équipes accèdent aux signaux qui détectent le partage de compte

Infographie - Signaux pour détecter la fraude par partage de compte - cside

Deux approches bien établies existent ici. La première : acheter une suite anti-fraude complète comme Sift ou Forter. Ces solutions sont complètes mais coûteuses, les configurations ne sont pas toujours flexibles, et vous finissez par payer pour de nombreuses fonctionnalités sans rapport avec le partage de compte.

La deuxième approche : intégrer des signaux de fingerprinting bruts depuis un outil comme cside ou Castle dans votre stack de lutte contre la fraude. Les identifiants d'appareils, la géolocalisation, la détection de VPN et les données comportementales sont fournis via une API ou des webhooks. Votre équipe connecte ces signaux à des outils MFA, à la gestion des sessions, aux flux UX in-app, à la logique de session, ou à tout pipeline adapté à votre objectif. Cette approche offre plus de contrôle et de flexibilité. Les fournisseurs de fingerprinting proposent souvent des combinaisons de signaux préconfigurées qui alertent instantanément en cas de partage de compte suspecté, sans configuration supplémentaire.

Partage de compte vs. prise de contrôle de compte

Le partage de compte et la prise de contrôle de compte reposent sur des signaux de détection similaires, mais ce sont des problèmes fondamentalement différents.

  • Partage de compte = volontaire. Le titulaire du compte transmet ses identifiants à quelqu'un d'autre et les deux parties sont au courant.
  • Prise de contrôle de compte = non autorisée. Un attaquant obtient l'accès à l'insu du propriétaire, généralement via du phishing, du credential stuffing ou du détournement de session.

Cette distinction est importante pour la détection : de nombreux signaux identiques (nouvel appareil, nouvel emplacement, schémas de session inhabituels) apparaissent dans les deux scénarios. Mais la réponse doit être radicalement différente. Le partage de compte appelle une invitation à passer à un abonnement supérieur, tandis qu'une prise de contrôle de compte nécessite la résiliation de la session, la réinitialisation des identifiants et une alerte de sécurité.

La prise de contrôle de compte a coûté 15,6 milliards de dollars aux consommateurs en 2024. Pour une analyse approfondie de la prévention des prises de contrôle de compte, consultez notre guide pour stopper la fraude par prise de contrôle de compte.

Outils populaires pour la prévention du partage de compte

Juan Combariza
Growth Marketer Juan Combariza

Researching & writing about client side security.

FAQ

Frequently Asked Questions

Combinez le fingerprinting d'appareils, les limites de sessions simultanées et les défis MFA dans un cadre d'application multicouche. Commencez par des incitations douces et des invitations à passer à un abonnement supérieur. Escaladez ensuite vers des défis de vérification et des limites de sessions.

Surveillez la présence de plusieurs identifiants d'appareils par compte, les sessions actives simultanées depuis des emplacements différents, et les schémas de déplacement impossibles. Le fingerprinting d'appareils fournit les signaux les plus fiables, car il identifie la machine indépendamment de l'IP, du VPN ou des changements de réseau.

Non. Le MFA est un excellent point de départ qui décourage naturellement le partage de compte en rendant la connexion plus difficile. Cependant, un utilisateur qui partage son code MFA (ou approuve une notification push) contourne entièrement le MFA.

Non. Les VPN, l'accès à votre application depuis différents lieux de travail et les déplacements rendent les adresses IP peu fiables pour distinguer les comptes partagés d'une utilisation légitime depuis plusieurs endroits. La détection par IP génère trop de faux positifs pour être appliquée avec confiance.

Le fingerprinting de cside collecte plus de 102 signaux de navigateur et d'appareil, notamment le rendu GPU, les polices installées, l'empreinte audio, les périphériques multimédias et les attributs au niveau du système d'exploitation. Ces signaux se résolvent en un identifiant visiteur persistant qui reste stable d'une session à l'autre et d'un navigateur à l'autre sur la même machine, indépendamment de l'IP ou des cookies.

Oui. cside fournit une API de fingerprinting qui retourne un identifiant d'appareil persistant et des données de signaux bruts via une API REST et des webhooks. Les développeurs intègrent un snippet JavaScript léger, et l'API retourne des informations sur l'appareil qui peuvent être utilisées pour appliquer des limites de sessions, signaler de nouveaux appareils ou déclencher des défis MFA.

Utilisez des données de fingerprinting brutes lorsque vous avez besoin d'une détection flexible, contrôlée par les développeurs, qui s'intègre à votre flux d'authentification existant. Optez pour une suite anti-fraude complète lorsque vous avez besoin d'un système clé en main avec des règles intégrées, mais attendez-vous à des coûts plus élevés et à moins de contrôle sur la configuration.

Les entreprises combinent généralement des outils issus de quatre catégories : le MFA pour la vérification de connexion, le fingerprinting d'appareils pour les données brutes permettant de déclencher des mécanismes de défense, du code développé en interne pour la gestion des sessions, et dans certains cas des suites anti-fraude complètes.

Maintenez un magasin de sessions côté serveur indexé par identifiant utilisateur (dans un outil comme Redis ou un datastore similaire). À chaque connexion, vérifiez le nombre de sessions actives. Si ce nombre dépasse la limite du plan, rejetez la nouvelle session ou forcez la déconnexion de la session la plus ancienne.

Intégrez un outil de fingerprinting qui retourne un identifiant d'appareil persistant à chaque chargement de page ou connexion. Stockez l'identifiant d'appareil associé au compte utilisateur dans votre backend. Lorsque le nombre d'identifiants d'appareils uniques dépasse la limite autorisée, déclenchez une action d'application. Il peut s'agir d'un défi MFA ou d'un écran d'invitation à passer à un abonnement supérieur.

Le partage de compte est volontaire. Le titulaire du compte transmet sciemment ses identifiants à une autre personne. La prise de contrôle de compte est non autorisée. Un acteur malveillant obtient l'accès via des identifiants volés, du phishing ou du détournement de session. Les signaux de détection sont similaires, mais l'intention et la stratégie de réponse sont différentes.

Oui. Le considérant 47 du RGPD reconnaît la prévention de la fraude comme un intérêt légitime, ce qui permet le fingerprinting d'appareils à des fins de sécurité sans nécessiter de consentement explicite.

Surveillez et sécurisez vos scripts tiers

Gain full visibility and control over every script delivered to your users to enhance site security and performance.

Commencez gratuitement, ou essayez Business avec un essai de 14 jours.

cside Interface du tableau de bord affichant la surveillance des scripts et les analyses de sécurité
Related Articles
Réserver une démonstration