Sommaire :

1) Mot de passe - compte ameli

• A quoi sert-il ?
• Pourquoi le sécuriser ?
• Comment le sécuriser ?
• Composition
• Stockage
• Historique
• Protections additionnelles

2) Sécurité de la modification de vos coordonnées bancaires - compte ameli

• Usage
• Risques
• Sécurité

3) Sécurité de la création de votre compte - compte ameli

• Risques
• Mesures de Sécurité

1) Mot de passe - compte ameli

À quoi sert-il ?

Il protège l’accès à votre compte ameli sur Internet via le site web https://assure.ameli.fr/ ou grâce à l’application smartphone ameli (Android | Apple). Il sert également à se connecter, via France Connect avec son compte ameli, à plusieurs centaines d’autres sites (voir section suivante).

Pourquoi le sécuriser ?

Son caractère secret et non prédictible permet d’empêcher une personne malveillante d’accéder au contenu de votre compte et de faire des actions en votre nom (ex: accéder à vos remboursements, modifier vos coordonnées bancaires etc).

De plus, votre compte ameli permet de se connecter à de très nombreux autres sites (institutionnels ou non) comme celui de la retraite, du collège de vos enfants ou du permis de conduire (Agence des titres sécurisés) au travers de France Connect. Raison de plus pour bien sécuriser son mot de passe !

Comment le sécuriser ?

Pour ne pas être prédictible, il doit présenter une complexité suffisante tant en termes de longueur et que de diversité des caractères le composant.

C’est pour cela que nous avons fixé les règles ci-dessous lors de sa création ou de son renouvellement.

Point important : ne réutilisez pas pour le compte cmeli de mot de passe que vous utilisez sur d’autres sites web. Cela mettrait en danger la Sécurité de votre compte ameli en cas de compromission de ces sites.

Vous pourrez aussi trouver des conseils de composition de mots de passe et d’utilisation d’outils (tels que des gestionnaires de mots de passe) sur le site de la CNIL (Commission Nationale de l'Informatique et des Libertés).

Composition

1) Longueur minimale : 8 caractères

2) Diversité des caractères : le mot de passe doit contenir au moins un caractère de chacune des catégories suivantes :

• lettre minuscule : a-z
• lettre majuscule : A-Z
• un chiffre ou un caractère parmi les caractères spéciaux suivants uniquement (voir plus bas pour l'explication) : ? ! $ € £ @ & ( – + _ ) = * % / < > , . ; :

3) Les contrôles suivants sont aussi effectués sur le mot de passe :

• le mot de passe ne doit pas contenir votre n° de sécurité sociale, votre date de naissance ou une partie de celle-ci
• lors de son changement, le nouveau mot de passe doit être différent du mot de passe actuel.
  
  

Explication des limitations : jeu de caractères spéciaux non exhaustif

Vous aurez peut-être noté que les caractères autorisés ne contiennent pas tous les caractères présents sur un clavier d’ordinateur. Cette réduction est due au fait que le mot de passe doit pouvoir être aussi saisi sur les bornes interactives présentes en caisses primaires. Or le clavier de ces bornes ne comporte qu'un jeu limité de caractères spéciaux :

Stockage

Le mot de passe de votre compte ameli est stocké dans les bases de l’Assurance Maladie de manière sécurisée (techniquement, on dit qu’on stocke son empreinte).

Ce stockage suit les recommandations des bonnes pratiques Sécurité sur le sujet (usage de sel, algorithmes sécurisés, dérivation, nombre d’itérations).

Historique

Le mot de passe du compte ameli a longtemps été constitué d’uniquement 8 chiffres. Cela était dû à l’obligation de compatibilité de l’accès au compte ameli via l’usage d’une boite vocale ne supportant que des chiffres. Ce n’est désormais plus le cas.

Protections additionnelles (ex. : procédure de renouvellement du mot de passe)

D’autres gammes de mesures de protections sont aussi déployées pour compléter la protection de l’authentification du compte ameli.

Notifications systématique sur opération sensible : un courriel est envoyé à la boite aux lettres électronique liée à votre compte ameli lorsque une opération sensible est exécutée sur votre compte : connexion, changement de mot de passe etc. Cela vous permet d'être informé en cas de compromission de votre compte.

Mécanisme anti-robots : un captcha a été positionné sur la page de mot de passe oublié. Ce mécanisme vous demande de ressaisir des caractères affichés à l'écran  afin de permettre à l'application de s'assurer que l'utilisateur n'est pas un robot malveillant.

Procédure de renouvellement de mot de passe : lors de cette procédure, nous contrôlons que l’Assuré, souhaitant renouveler son mot de passe, est en capacité de faire 3 actions :

• fournir son numéro de Sécurité Sociale
• accéder à la boite aux lettres électronique associée au compte ameli correspondant au numéro de Sécurité Sociale qu'il a saisi (pas de possibilité de saisir l’adresse de messagerie). Nous y enverrons le lien de réinitialisation du mot de passe.
• fournir sa date de naissance afin de la contrôler.
  
  

2) Changement de vos coordonnées bancaires - compte ameli

Usage

L’une des missions principales de l’Assurance Maladie est de rembourser les frais que vous avez engagés lors de votre parcours de soins (visite ou soin par un professionnel de santé, achat de médicaments, examens, opérations etc).

Pour cela, vous avez transmis vos coordonnées bancaires à l’Assurance Maladie qui va les utiliser pour effectuer le virement des sommes dues.

Pour les modifier, vous pouvez aller dans un des accueils physiques de votre caisse primaire ou le faire directement depuis votre compte ameli sur Internet.

Quels sont les risques à prévenir ?

Vous avez compris que vos données bancaires sont l’une des données les plus sensibles accessibles au travers de votre compte ameli.

Quiconque ayant accès à votre compte ameli (ex. : vol de votre mot de passe ou réutilisation d’un mot de passe aussi utilisé sur un autre service) pourrait modifier vos données bancaires et mettre les siennes afin de recevoir vos remboursements à votre place.

Mesures de Sécurité mises en place

En vue de prévenir toute malveillance qui pourrait affecter vos remboursements de l’Assurance Maladie, nous avons mis en place les contrôles suivants lors de toute modification de vos coordonnées bancaires au travers du compte ameli :

• fourniture d’éléments issus de votre carte Vitale
• fournir des éléments envoyés à l’adresse de messagerie liée à votre compte
• et ce, en plus d’avoir pu vous authentifier sur votre compte ameli.

Cela permet donc d’assurer la sécurité de la modification de vos coordonnées bancaires au travers du cumul de 3 éléments d’identification.

3) Sécurité de la création de votre compte ameli

Créer un compte ameli vous permet d'interagir encore plus facilement avec l'Assurance Maladie. Ainsi, au travers du site Web assure.ameli.fr ou via l'application mobile "ameli, l'Assurance Maladie", vous pouvez entre autres mettre à jour vos informations, consulter vos remboursements ou commander une Carte Européenne d'Assurance Maladie.

Risques

Un des principaux risques que présente cette possibilité de créer totalement en ligne un compte ameli est de pouvoir créer un compte ameli à la place d'une personne qui n'aurait pas encore créé le sien.

Si cela était possible, cela pourrait permettre à la personne malveillante d'effectuer un certain nombre d'actions illicites comme :

• l'usurpation de l'identité de la personne associée au compte ameli en question notamment grâce à l'usage de FranceConnect
• ou le détournement de ses remboursements.

 
Voyons donc ensemble quelles sont les mesures que nous avons prises pour prévenir ces risques.

Mesures de Sécurité

En réponse à ces risques, les mesures suivantes ont été prises.

Pour que vous puissiez créer en ligne un compte ameli, il faut :

• que vous soyez déjà enregistré dans les bases de l'Assurance Maladie ainsi que vos coordonnées bancaires et que vous possédiez une Carte Vitale.
• et que vous fournissiez en ligne les informations suivantes :
• Nom
• Numéro de Sécurité Sociale (NIR)
• Date de naissance
• Votre code postal
• Une partie de vos coordonnées bancaires
• Une partie du numéro de série de votre Carte Vitale.

L'ensemble de ces informations permet d'assurer plusieurs éléments d'identification (dont NIR, coordonnées bancaires et numéro de série de la carte Vitale notamment) qui ne sont pas en général présents tous ensemble au même endroit (par exemple dans une fuite d'un fichier de données sur Internet).

De cette manière, nous restreignons fortement les risques induits par la création entièrement dématérialisée de votre compte ameli.

[Mis à jour le 17/03/2021]