La double authentification, ou authentification à deux facteurs (2FA), protège un compte en exigeant deux éléments différents à la connexion : quelque chose que vous savez, comme votre mot de passe, et quelque chose que vous possédez, comme un code à six chiffres généré par une application d'authentification sur votre téléphone. Même si quelqu'un vole votre mot de passe, il ne peut pas entrer sans ce second facteur.
C'est l'une des mesures de sécurité les plus efficaces qu'une personne ordinaire puisse prendre, et sa mise en place ne prend généralement que quelques minutes. Ce guide explique comment fonctionne la 2FA, quelles méthodes choisir et comment éviter de vous retrouver bloqué hors de vos comptes.
Pourquoi un mot de passe seul ne suffit pas
Les mots de passe fuient de bien des façons. Beaucoup de gens réutilisent le même mot de passe sur plusieurs sites, des sites web se font pirater, et des pages de phishing incitent les internautes à taper leurs identifiants dans un faux formulaire. Une fois un mot de passe connu, n'importe qui peut l'essayer sur votre messagerie, vos réseaux sociaux ou votre compte de boutique en ligne.
La 2FA ajoute un second verrou. Un mot de passe volé ne suffit plus, car l'attaquant a aussi besoin du code présent sur votre appareil. Cela complique fortement de nombreux piratages de comptes courants, en particulier ceux qui reposent sur des mots de passe réutilisés ou divulgués.
Les principaux types de second facteur
Tous les seconds facteurs ne se valent pas. Les options les plus courantes :
- Les applications d'authentification. Des applications comme Google Authenticator, Microsoft Authenticator et d'autres applications compatibles génèrent un nouveau code à six chiffres toutes les 30 secondes. Les codes sont créés sur votre téléphone : ils ne transitent donc pas par le réseau téléphonique.
- Les codes par SMS. Un code vous est envoyé par texto. C'est bien mieux que pas de 2FA du tout, mais les SMS peuvent être interceptés ou détournés, par exemple par la fraude à la carte SIM (SIM swap), où un criminel convainc un opérateur de transférer votre numéro sur sa propre carte SIM.
- Les notifications push. Certains services envoient une demande à une application sur votre téléphone : « Est-ce bien vous ? ». C'est pratique, mais n'approuvez jamais une demande que vous n'attendiez pas.
- Les clés de sécurité et les passkeys. Les clés physiques ou les passkeys (clés d'accès) enregistrées sur votre appareil font partie des options les plus robustes, car elles sont conçues pour résister au phishing. Leur prise en charge varie selon les services.
Pour la plupart des gens, une application d'authentification est un choix solide et pratique. Si un service ne propose que le SMS, activez-le quand même : c'est déjà une nette amélioration par rapport au mot de passe seul.
Comment fonctionnent les applications d'authentification
Lorsque vous activez la 2FA avec une application d'authentification, le site affiche un QR code. Ce QR code contient une clé secrète. Vous le scannez une seule fois avec votre application, puis l'application et le site utilisent ce secret partagé et l'heure actuelle pour calculer le même code à six chiffres.
Comme le code change toutes les 30 secondes, un code aperçu par-dessus votre épaule devient inutile peu après. Et comme les codes sont calculés sur votre téléphone, l'application fonctionne même sans connexion Internet.
Point important : le QR code de configuration est sensible. Toute personne qui le scanne peut générer vos codes. Ne faites pas de capture d'écran, ne le partagez pas et ne le laissez pas affiché à la vue des autres.
Activer la 2FA étape par étape
Les menus varient d'un service à l'autre, mais la démarche est généralement la même :
- Installez une application d'authentification sur votre téléphone.
- Connectez-vous au compte à protéger et ouvrez ses paramètres de sécurité.
- Cherchez « Double authentification », « Validation en deux étapes » ou « Connexion en deux étapes » et choisissez l'option application d'authentification.
- Scannez le QR code affiché à l'écran avec votre application d'authentification.
- Saisissez le code à six chiffres de l'application pour confirmer que tout fonctionne.
- Enregistrez les codes de secours fournis par le service (voir la section suivante).
- Déconnectez-vous puis reconnectez-vous pour vérifier que tout marche.
Commencez par les comptes les plus importants : votre messagerie principale (car elle permet de réinitialiser les autres mots de passe), votre banque, vos réseaux sociaux, votre stockage en ligne et tout compte qui contient des moyens de paiement. Sur QR-TH, vous pouvez activer la connexion en deux étapes avec une application d'authentification depuis les paramètres de votre compte, ce qui empêche quelqu'un d'autre de modifier vos QR codes et vos liens courts.
Les codes de secours : votre porte de sortie
Le problème de 2FA le plus fréquent n'est pas le piratage, c'est la perte du téléphone. Si votre téléphone est perdu, volé, cassé ou remplacé, il vous faut un autre moyen de vous connecter.
C'est le rôle des codes de secours. La plupart des services vous fournissent une liste de codes à usage unique lorsque vous activez la 2FA. Chaque code peut remplacer une fois le code de l'application.
Conservez-les en lieu sûr :
- Imprimez-les et rangez la feuille dans un endroit sûr chez vous, ou
- Enregistrez-les dans un gestionnaire de mots de passe réputé, et
- Ne les gardez pas uniquement sur le téléphone qui contient votre application d'authentification.
Chaque code de secours ne fonctionne qu'une fois. Quand vous en utilisez un, rayez-le. S'il vous en reste peu, la plupart des services vous permettent d'en générer une nouvelle série, ce qui annule les anciens.
Changer de téléphone sans se retrouver bloqué
Avant de réinitialiser, vendre ou faire reprendre un ancien téléphone, transférez vos codes d'authentification sur le nouveau. Certaines applications proposent une fonction de transfert ou de sauvegarde dans le cloud ; d'autres exigent de reconfigurer la 2FA pour chaque compte.
Une méthode sûre :
- Gardez l'ancien téléphone fonctionnel jusqu'à ce que chaque compte soit confirmé sur le nouveau.
- Pour les comptes impossibles à transférer, connectez-vous, désactivez puis réactivez la 2FA, et scannez le nouveau QR code avec le nouveau téléphone.
- Testez chaque compte avant d'effacer l'ancien appareil.
Les erreurs courantes à éviter
- Partager ses codes. Aucune banque, boutique ou équipe d'assistance légitime ne vous demandera de lui lire un code 2FA. Quiconque le demande est très probablement un escroc.
- Approuver des demandes inattendues. Si vous recevez une demande de connexion que vous n'avez pas initiée, refusez-la et changez votre mot de passe.
- Saisir des codes sur une page ouverte depuis un lien reçu par message. Les sites de phishing peuvent aussi vous demander votre code. Rendez-vous directement sur le site.
- Négliger les codes de secours. Les enregistrer prend une minute et peut vous épargner des jours de procédure de récupération.
Pour vous protéger au quotidien, lisez nos conseils de sécurité mobile, et apprenez à repérer les arnaques au QR code qui cherchent à voler vos identifiants.
FAQ
La double authentification est-elle vraiment nécessaire ?
Pour les comptes importants comme la messagerie, la banque et les réseaux sociaux, oui. Elle bloque de nombreuses attaques qui reposent sur des mots de passe volés ou réutilisés.
Une application d'authentification est-elle plus sûre qu'un SMS ?
En général, oui. Les codes d'une application sont générés sur votre téléphone, alors que les SMS peuvent être interceptés ou détournés par une fraude à la carte SIM. Le SMS reste préférable à l'absence de 2FA.
Que se passe-t-il si je perds mon téléphone ?
Utilisez l'un de vos codes de secours pour vous connecter, puis reconfigurez la 2FA sur votre nouveau téléphone. Sans codes de secours, vous devrez passer par la procédure de récupération de compte du service.
Quelqu'un peut-il pirater mon compte s'il a mon code 2FA ?
Un code n'est valable que peu de temps, mais un escroc qui vous pousse à le lui communiquer en temps réel pourrait s'en servir. Ne partagez jamais vos codes avec qui que ce soit.
Activer la double authentification prend quelques minutes et rend vos comptes bien plus difficiles à pirater. Activez-la dès aujourd'hui pour votre messagerie et votre banque, puis protégez votre compte QR-TH avec la connexion en deux étapes. Pour en savoir plus, consultez notre FAQ.