MyPeopleDoc repose sur un principe que beaucoup de salariés découvrent trop tard : impossible de créer un compte par soi-même. L’accès au coffre-fort numérique RH passe obligatoirement par une invitation envoyée par l’employeur, sur une adresse e-mail prédéfinie et vérifiée via un identifiant interne. Ce mécanisme conditionne toute la chaîne de sécurité de la connexion, du premier clic jusqu’à la consultation des bulletins de paie archivés.
Phishing ciblé sur MyPeopleDoc : une menace sous-estimée par les salariés
Le fait que l’activation d’un compte MyPeopleDoc dépende d’un e-mail d’invitation crée un angle d’attaque précis pour les tentatives de phishing. Un message imitant la mise en page d’une notification RH, avec un lien vers un faux portail de connexion, peut tromper un salarié qui attend justement son code d’activation.
Le réflexe à adopter est simple : ne jamais cliquer sur un lien d’activation MyPeopleDoc sans avoir vérifié auprès du service RH que l’invitation a bien été envoyée. L’adresse expéditrice doit correspondre au domaine de l’entreprise ou à celui de PeopleDoc, pas à un domaine générique ou légèrement modifié.
Les cyberattaques récentes contre des administrations françaises, comme celle qui a visé la DGFiP à l’été 2026, rappellent que les coffres-forts numériques contenant des données sensibles (numéros de sécurité sociale, contrats, fiches de paie) constituent des cibles de choix. Un compte MyPeopleDoc compromis donne accès à des années de documents personnels.
Double authentification sur MyPeopleDoc : ce qui change en 2026
Des déploiements récents montrent que la double authentification est désormais proposée, et parfois activée par défaut, sur certaines configurations de MyPeopleDoc. Le principe : après la saisie du mot de passe, un code à usage unique est envoyé par SMS ou via une application d’authentification.
Cette évolution n’est pas anodine. Sur un coffre-fort numérique qui archive des documents pendant plusieurs décennies, la seule barrière d’un mot de passe statique laissait une surface d’attaque large. Un mot de passe volé lors d’une fuite de données sur un autre service (beaucoup de salariés réutilisent le même) suffisait à ouvrir le coffre.
Vérifier si la 2FA est active sur votre espace
Tous les déploiements MyPeopleDoc ne proposent pas encore cette option. L’activation dépend souvent de la configuration choisie par l’employeur, pas du salarié. Si vous ne trouvez pas de réglage de double authentification dans les paramètres de votre compte, la demande doit remonter au service RH ou à l’administrateur de la plateforme.
En attendant, un gestionnaire de mots de passe reste la parade la plus fiable pour générer un mot de passe unique et complexe, dédié exclusivement à MyPeopleDoc.
Mot de passe MyPeopleDoc oublié : procédure et pièges à éviter
La page de connexion officielle (mypeopledoc.com) propose deux liens distincts : « Forgot email address? » et « Forgot password? ». Cette séparation a une raison technique. L’adresse e-mail associée au compte est celle définie lors de l’invitation par l’employeur, et elle peut différer de l’adresse personnelle du salarié.
- Si vous ne recevez pas le lien de réinitialisation, vérifiez vos dossiers spam et confirmez auprès des RH quelle adresse a été utilisée pour l’activation initiale.
- Ne tentez jamais de réinitialiser votre mot de passe depuis un site autre que mypeopledoc.com. Aucun intermédiaire n’est habilité à gérer cette procédure.
- Si votre adresse e-mail professionnelle a été désactivée (départ de l’entreprise, changement de domaine), le compte reste accessible avec l’adresse personnelle renseignée lors de l’activation, à condition d’en avoir configuré une.
Ce dernier point est souvent négligé. Un salarié qui quitte son entreprise et n’a pas associé d’adresse personnelle à son compte MyPeopleDoc risque de perdre l’accès à son coffre-fort, alors même que l’archivage est prévu pour durer plusieurs décennies.
Connexion MyPeopleDoc après un départ de l’entreprise
Le coffre-fort numérique MyPeopleDoc reste actif après la fin du contrat de travail. Les documents déjà déposés (bulletins de paie, attestations, contrats) demeurent consultables et téléchargeables. En revanche, l’ancien employeur ne peut plus y déposer de nouveaux documents.
Le compte appartient au salarié, pas à l’entreprise. Ce principe distingue MyPeopleDoc d’un simple espace intranet RH qui disparaît avec le badge. Les données disponibles indiquent un archivage garanti sur plusieurs décennies, ce qui couvre largement la durée nécessaire pour des démarches de retraite ou de reconstitution de carrière.
Précautions à prendre avant de quitter l’entreprise
- Associer une adresse e-mail personnelle au compte, indépendante du domaine de l’employeur.
- Télécharger une copie locale des documents les plus sensibles (derniers bulletins de paie, solde de tout compte, attestation employeur) sur un support chiffré.
- Vérifier que le mot de passe du compte est mémorisé dans un gestionnaire de mots de passe, pas uniquement dans le navigateur du poste professionnel.
Un salarié qui change d’employeur sans mettre à jour ses accès MyPeopleDoc se retrouve dans une situation délicate : le coffre existe toujours, les documents aussi, mais la porte est verrouillée de l’intérieur.
Protection hCaptcha et sécurité côté serveur
La page de connexion MyPeopleDoc intègre hCaptcha, un système de vérification destiné à bloquer les tentatives automatisées de connexion (bots, attaques par force brute). Les données collectées par hCaptcha sont régies par sa propre politique de confidentialité, distincte de celle de PeopleDoc.
Ce choix technique a un effet concret : même si un attaquant dispose d’un couple identifiant/mot de passe valide, les tentatives de connexion en masse depuis des scripts automatisés sont freinées. Ce n’est pas une protection absolue, mais hCaptcha ajoute une couche de friction qui rend l’exploitation de fuites de données plus coûteuse pour les attaquants.
La conformité RGPD du coffre-fort numérique impose par ailleurs un chiffrement des documents stockés et un contrôle d’accès strict. L’employeur dépose les documents, le salarié les consulte, mais aucun des deux ne peut modifier un fichier déjà archivé. Cette immutabilité garantit la valeur probante des bulletins de paie en cas de litige.
Sécuriser sa connexion MyPeopleDoc ne demande pas de compétences techniques particulières. Une adresse e-mail personnelle associée au compte, un mot de passe unique stocké dans un gestionnaire dédié, et la double authentification activée quand elle est disponible couvrent la quasi-totalité des risques courants. Le maillon faible reste presque toujours le même : un mot de passe réutilisé ailleurs, ou une invitation d’activation acceptée sans vérification.
