Double authentification : comment ça marche vraiment

↑ Ce conseil fait partie du guide : Mots de passe fuités

Le principe, en une minute

Un mot de passe, c'est quelque chose que vous savez. La double authentification y ajoute quelque chose que vous avez — votre téléphone, une clé — ou quelque chose que vous êtes — une empreinte. Deux facteurs de nature différente, d'où le nom.

La conséquence pratique est simple : quelqu'un qui obtient votre mot de passe, par une fuite ou par hameçonnage, ne peut plus entrer. C'est de loin la mesure qui rapporte le plus pour le moins d'effort : cinq minutes par compte, une fois.

Au quotidien, la gêne est faible : la plupart des services ne redemandent un code que lors d'une connexion depuis un appareil inconnu, soit quelques fois par an.

SMS, application ou clé : que choisir

Le code par SMS. Le plus répandu, et le plus simple à mettre en place. Sa faiblesse : le détournement de carte SIM, où quelqu'un obtient une nouvelle SIM à votre nom auprès de l'opérateur et reçoit vos codes. C'est rare, mais cela existe — et un SMS se lit parfois sur un écran verrouillé. Mieux que rien, donc, mais pas le meilleur choix pour la messagerie ou la banque.

L'application d'authentification. Elle affiche un code à six chiffres renouvelé toutes les trente secondes, calculé hors ligne : rien à intercepter côté réseau, et cela fonctionne sans connexion. C'est le bon compromis pour la quasi-totalité des usages. Choisissez-en une qui propose une sauvegarde chiffrée, sinon le changement de téléphone devient pénible.

La clé physique. Un petit objet qu'on branche ou qu'on approche du téléphone. Son avantage décisif : elle vérifie l'adresse du site avant de répondre, donc elle ne s'active pas sur une fausse page — c'est la seule méthode réellement à l'épreuve de l'hameçonnage. Comptez le prix d'un bon repas, et prenez-en deux : une de secours.

La mettre en place sans risque

L'ordre compte, parce que la mauvaise surprise classique est de s'enfermer dehors :

1. Commencez par la messagerie principale. C'est elle qui permet de réinitialiser tous les autres comptes ; la protéger protège le reste.
2. Vérifiez d'abord l'adresse et le numéro de secours enregistrés sur le compte : s'ils sont obsolètes, corrigez-les avant d'activer quoi que ce soit.
3. Activez la double authentification et choisissez la méthode.
4. Notez les codes de secours proposés à ce moment-là. Ils ne seront plus affichés ensuite.
5. Testez en vous déconnectant puis en vous reconnectant, depuis un autre navigateur.
6. Recommencez pour la banque, puis les réseaux sociaux, puis les boutiques où une carte est enregistrée.

Les codes de secours, l'étape qu'on saute

Au moment de l'activation, le service propose presque toujours une liste de codes de secours à usage unique. C'est votre issue de secours le jour où le téléphone est perdu, volé ou noyé. Tout le monde clique « plus tard », et c'est l'erreur qui coûte le plus cher.

Où les mettre ? Imprimés et rangés avec les papiers importants, ou dans un gestionnaire de mots de passe auquel vous accédez depuis un autre appareil. Pas dans un fichier sur le téléphone concerné : le jour où il disparaît, ils disparaissent avec.

Prévoyez aussi un second facteur de secours : une deuxième clé, ou l'application installée sur une tablette. Deux chemins valent mieux qu'un.

Si vous perdez le téléphone

La situation est désagréable mais rarement bloquante, à condition de procéder dans l'ordre :

1. Utilisez un code de secours pour vous connecter depuis un autre appareil.
2. Retirez le téléphone perdu de la liste des appareils de confiance, et révoquez les sessions ouvertes.
3. Réenregistrez un nouveau second facteur, puis générez de nouveaux codes de secours.
4. Faites opposition sur la carte SIM auprès de l'opérateur : sans cela, quelqu'un peut recevoir vos SMS de validation.

Sans code de secours, il reste la procédure de récupération du service, qui demande des preuves et prend de quelques jours à quelques semaines — c'est exactement ce que décrit compte Gmail piraté. Longue, mais pas impossible. Raison de plus pour noter les codes le jour de l'activation.

L'installer pour un proche peu à l'aise

C'est souvent là que ça coince : on comprend l'intérêt, mais on hésite à l'activer pour un parent âgé, de peur de le bloquer. La crainte est légitime, et elle se traite par la préparation plutôt que par l'abstention.

1. Commencez par la messagerie, et par elle seule. Un compte protégé vaut mieux que dix projets abandonnés.
2. Choisissez la méthode la plus simple pour la personne : sur un téléphone qu'elle garde toujours sur elle, le SMS ou la validation par notification passent bien mieux qu'une application de codes.
3. Ajoutez un numéro de confiance secondaire : le vôtre, ou celui d'un autre proche. En cas de perte, la récupération devient une affaire de minutes.
4. Imprimez les codes de secours et rangez-les avec les papiers d'identité, pas dans le téléphone.
5. Marquez les appareils habituels comme « de confiance » : le code ne sera demandé qu'exceptionnellement, et la gêne quotidienne disparaît.

Dites aussi la phrase qui compte, une bonne fois : personne n'a le droit de vous demander ce code, ni la banque, ni un technicien, ni un proche par message. C'est la seule règle à retenir, et elle protège mieux que toute la technique.

Ce qu'elle ne protège pas

Par honnêteté, il faut dire ses limites :

• Un code donné volontairement reste un code donné. Une fausse page ou un faux conseiller peuvent vous le réclamer en direct et l'utiliser dans la seconde. Personne ne doit jamais vous demander un code, quelle qu'en soit la raison — voyez l'arnaque au faux conseiller bancaire.
• Une session déjà ouverte n'est pas refermée par l'activation : pensez à déconnecter les appareils inconnus.
• Les portes dérobées du compte (règle de transfert, adresse de récupération, application tierce autorisée) continuent de fonctionner. C'est pour cela qu'un compte repris doit être passé en revue entièrement : voyez compte en ligne piraté.
• Un appareil compromis voit ce que vous voyez. Le second facteur n'y change rien : un téléphone infecté se traite d'abord.

Les passkeys, la suite logique

Les passkeys (clés d'accès) remplacent carrément le mot de passe : une clé secrète reste dans votre téléphone ou votre ordinateur, protégée par l'empreinte ou le code de l'appareil, et le site vérifie cette clé. Il n'y a plus rien à taper, donc plus rien à voler, et plus rien à saisir sur une fausse page.

C'est déjà disponible chez Google, Apple, Microsoft, et de plus en plus de services. La bascule se fait en douceur : on ajoute une passkey, le mot de passe reste en secours au début. Pour un usage familial, c'est aujourd'hui le réglage le plus confortable et le plus sûr.

Une réserve : gardez un second chemin d'accès (une autre passkey sur un deuxième appareil, ou les codes de secours). La règle ne change pas, quelle que soit la technologie.

Sur quels comptes l'activer en priorité

1. La messagerie principale — avant tout le reste.
2. La banque et les services de paiement.
3. Le compte Apple, Google ou Microsoft de vos appareils : il contient photos et sauvegardes.
4. Les réseaux sociaux, qui servent à usurper votre identité auprès de vos proches.
5. Les outils professionnels : messagerie d'entreprise, accès distants, hébergement.

Si votre adresse figure dans une fuite — ce qui est le cas de presque tout le monde, voyez savoir si son adresse mail a fuité —, cette activation est ce qui transforme un mot de passe exposé en non-événement.

Mettre tout cela en place représente une petite séance : c'est exactement ce que couvre la page prévention, à distance ou à domicile, et le forfait Sérénité (15 €/mois) pour ceux qui préfèrent avoir quelqu'un à appeler ensuite. Le diagnostic au téléphone, lui, dure quinze minutes et ne coûte rien.

Questions fréquentes

La double authentification par SMS est-elle suffisante ?

Elle vaut infiniment mieux que rien et convient à la plupart des comptes secondaires. Pour la messagerie principale et la banque, préférez une application d'authentification ou une clé physique : le SMS peut être détourné.

Que se passe-t-il si je change de téléphone ?

Transférez vos comptes d'authentification avant d'effacer l'ancien appareil : la plupart des applications proposent un export ou une sauvegarde chiffrée. À défaut, les codes de secours permettent de tout réenregistrer.

Peut-on désactiver la double authentification ?

Oui, mais c'est rarement une bonne idée. Si elle vous gêne au quotidien, marquez plutôt vos appareils comme « de confiance » : le code ne sera demandé que sur une connexion inhabituelle.

Comment activer la double authentification pour un parent sans risquer de le bloquer ?

Commencez par sa messagerie, choisissez la méthode la plus simple pour lui, ajoutez un numéro de confiance secondaire (le vôtre) et imprimez les codes de secours. Marquez ses appareils habituels comme de confiance : le code ne sera presque jamais demandé.

À lire aussi : le guide des mots de passe fuités · savoir si son adresse mail a fuité.