J'ai perdu le téléphone qui reçoit mes codes

↑ Ce conseil fait partie du guide : Mots de passe et fuites

J'ai perdu mon téléphone avec la double authentification, que faire ?

Commencez par faire refaire votre carte SIM chez votre opérateur : le même numéro rouvre tous les comptes qui envoient un code par SMS. Cherchez ensuite vos codes de secours, imprimés ou enregistrés lors de l'activation. Reprenez la boîte mail en premier, puis les autres comptes depuis un ordinateur déjà connu.

Étape 1 : récupérer votre numéro

C'est le geste qui débloque le plus de choses, et c'est presque toujours celui qu'on fait en dernier. Beaucoup de services — banques, administrations, sites marchands — envoient leur code par SMS : récupérer le numéro suffit à les rouvrir.

1. Si le téléphone a été volé : appelez d'abord l'opérateur pour suspendre la ligne, puis demandez dans la même conversation une nouvelle carte SIM avec le même numéro.
2. Si le téléphone est cassé ou perdu sans vol : demandez directement le remplacement de la SIM. Elle s'obtient en boutique, souvent le jour même, ou par courrier en quelques jours.
3. Si vous aviez une eSIM : le rétablissement se fait depuis l'espace client de l'opérateur ou en boutique, et il faut un autre appareil pour scanner le nouveau code.

Prenez une carte d'identité : le remplacement d'une SIM ne se fait pas sans justifier qui vous êtes. C'est exactement la protection qui empêche quelqu'un d'autre de détourner votre numéro — et qui rend la démarche un peu lente.

Effacer l'appareil à distance avant de le remplacer

Tant que le smartphone perdu est allumé et connecté, il reste une porte ouverte : il reçoit vos SMS, affiche vos notifications, et conserve vos sessions ouvertes. Deux outils gratuits règlent la question, et ils fonctionnent depuis n'importe quel navigateur.

• Sur iOS : iCloud.com, rubrique Localiser. Vous pouvez faire sonner l'appareil, le passer en mode Perdu — qui le verrouille et affiche un message avec un numéro de téléphone où vous joindre — puis, en dernier recours, effacer son contenu à distance.
• Sur un appareil Android : android.com/find, avec votre identifiant Google. Les mêmes trois actions s'y trouvent, sous les mêmes noms.

L'ordre compte. Commencez par le mode Perdu, pas par l'effacement : un téléphone portable simplement oublié quelque part revient souvent, et le mode Perdu laisse cette chance tout en verrouillant l'accès. L'effacement, lui, est définitif : il déclenche une réinitialisation complète, et l'appareil disparaît alors de la liste dès qu'il redémarre.

Profitez du passage dans chaque compte pour faire le ménage : dans les réglages de sécurité, la liste des appareils connectés permet de déconnecter l'ancien téléphone, et de voir si une session inconnue s'y est ajoutée. Changez aussi le mot de passe des comptes dont l'application était ouverte sur l'appareil, en commençant par la messagerie : c'est elle qui sert à réinitialiser tous les autres. Si le nom d'utilisateur et le mot de passe étaient enregistrés dans le navigateur du téléphone, considérez-les comme exposés tant que l'appareil n'a pas été effacé.

Étape 2 : retrouver vos codes de secours

Chaque service qui active la double authentification propose, au même moment, une liste de codes de secours à usage unique — huit à dix suites de chiffres. C'est précisément l'outil prévu pour ce jour-là. Presque personne ne s'en souvient, et ils sont souvent quelque part :

• dans un fichier téléchargé au moment de l'activation, nommé quelque chose comme backup-codes.txt, resté dans le dossier Téléchargements de l'ordinateur ;
• imprimés et glissés dans un dossier administratif ;
• dans votre gestionnaire de mots de passe, en note attachée à la fiche du compte ;
• dans un mail à soi-même, ce qui est une mauvaise habitude mais sauve la mise ici.

Un code de secours ne sert qu'une fois. Utilisez-en un pour entrer, puis régénérez la liste immédiatement depuis les réglages de sécurité : l'ancienne devient caduque, et vous repartez avec dix codes valides.

Si vous n'en avez aucun, tout n'est pas perdu : les sections suivantes détaillent la procédure de récupération service par service. Elle est simplement plus longue.

Étape 3 : par quel compte commencer

L'ordre compte plus qu'on ne croit. Reprendre les comptes au hasard fait perdre des heures ; les reprendre dans le bon ordre en fait gagner.

1. La boîte mail principale. C'est la clé de voûte : tant qu'elle est inaccessible, aucun autre compte ne peut être réinitialisé. Tant qu'elle l'est, presque tous le peuvent.
2. Le gestionnaire de mots de passe, s'il en existe un.
3. Les comptes bancaires, où le SMS est resté la méthode dominante : la SIM récupérée suffit généralement.
4. Les réseaux sociaux et les services marchands, qui attendront.

Faites tout cela depuis un appareil que le service connaît déjà — l'ordinateur de la maison, la tablette, le navigateur où vous étiez resté connecté. C'est un signal de confiance fort : la même demande depuis un appareil inconnu, dans une autre ville, déclenche des vérifications bien plus longues.

Si la boîte mail est celle d'un compte Google, notre fiche compte Gmail piraté : comment le récupérer décrit le même formulaire de récupération, utilisé ici pour une autre raison.

Le cas d'un compte Google

Google propose plusieurs voies, et il faut les essayer dans cet ordre :

• Une autre session déjà ouverte : un ordinateur, une tablette, une télévision où le compte est connecté. Depuis cet appareil, allez dans la sécurité du compte et ajoutez une nouvelle méthode de validation avant toute chose.
• Les codes de secours générés à l'activation.
• Le numéro de secours et l'adresse de secours renseignés dans le compte, s'ils ne sont pas sur le téléphone perdu.
• Le formulaire de récupération, en dernier recours. Il pose des questions sur l'ancienneté du compte, les contacts fréquents, la date de création approximative. Répondez depuis un lieu et un appareil habituels, et n'inventez rien : une réponse fausse fait échouer la demande.

Depuis quelques années, Google Authenticator peut synchroniser ses codes avec le compte Google. Si cette option était active, réinstaller l'application sur un nouveau téléphone et se connecter suffit à tout retrouver. Si elle ne l'était pas, les codes n'existent plus nulle part : c'est le piège décrit plus bas.

Le cas d'un compte Apple ou Microsoft

Apple distingue deux situations. Si vous avez une clé de récupération (une suite de 28 caractères, activée volontairement), elle rouvre le compte immédiatement — et sans elle, Apple ne peut rien faire. Sinon, la récupération de compte s'ouvre : une procédure automatique qui prend plusieurs jours, volontairement, le temps de s'assurer que le demandeur est bien le titulaire. Un contact de récupération désigné à l'avance raccourcit fortement ce délai.

Microsoft propose un formulaire de récupération comparable à celui de Google, et surtout un code de récupération à 25 caractères qu'il faut avoir noté. Le compte Microsoft gouverne aussi l'ouverture de session Windows : si l'ordinateur démarre encore avec un code PIN, vous avez une porte d'entrée. La reprise en main détaillée est dans compte Microsoft ou Outlook piraté.

Dans les deux cas, méfiez-vous des sites et des profils qui proposent de « débloquer » le compte contre paiement. Ils n'ont aucun moyen d'y parvenir ; le mécanisme de cette seconde arnaque est expliqué dans les faux « hackers » qui récupèrent un compte.

La banque, l'administration et la carte d'identité

Les services les plus réglementés sont paradoxalement les plus simples : leur procédure de secours existe et elle est rodée.

• Banque : une fois le numéro récupéré, la validation par SMS refonctionne. Si votre banque utilise une application de validation liée à l'appareil, il faut la réactiver — en agence, par téléphone, ou avec un code envoyé par courrier.
• FranceConnect et les services publics : plusieurs identités numériques coexistent (impôts, Assurance Maladie, La Poste). Si l'une est bloquée, une autre permet souvent d'entrer.
• Identité Numérique La Poste : liée à l'appareil, elle se réactive en bureau de poste avec une pièce d'identité.

Gardez une trace écrite de chaque démarche : date, service, interlocuteur. Si un compte finit par être utilisé par quelqu'un d'autre pendant cette période, ce suivi devient une pièce utile — voir porter plainte après un piratage.

Le piège de l'application d'authentification

C'est la mauvaise surprise la plus fréquente, et elle mérite d'être dite franchement : une application d'authentification ne se sauvegarde pas avec le reste du téléphone. Les codes qu'elle affiche sont calculés à partir d'un secret enregistré dans l'application au moment où vous avez scanné le QR code. Ce secret est volontairement exclu des sauvegardes classiques.

Conséquences concrètes, vérifiées à chaque changement de téléphone :

• Restaurer une sauvegarde iCloud ou Google sur un nouveau téléphone ne restaure pas les codes. L'application est là, vide.
• Une application qui propose une sauvegarde chiffrée (Authy, Microsoft Authenticator, Google Authenticator avec la synchronisation activée, ou un gestionnaire de mots de passe qui gère aussi les codes) change tout : il suffit de se reconnecter.
• Un changement de téléphone se prépare avant, en transférant les comptes un par un tant que l'ancien fonctionne encore. Après, il est trop tard.

Si vous hésitez encore sur la méthode à utiliser, la comparaison entre SMS, application et clé physique est détaillée dans double authentification : comment ça marche.

Ce qu'il faut préparer pour la prochaine fois

Une fois les comptes repris, vingt minutes suffisent à rendre la situation impossible à reproduire :

1. Imprimez les codes de secours de vos trois comptes essentiels — boîte mail, banque, gestionnaire de mots de passe — et rangez-les avec vos papiers. Le papier ne tombe pas en panne.
2. Activez la sauvegarde chiffrée de votre application d'authentification, ou déplacez les codes dans un gestionnaire de mots de passe qui les gère.
3. Renseignez une adresse et un numéro de secours différents du téléphone principal : l'adresse du conjoint, un second compte mail, une ligne fixe.
4. Désignez un contact de récupération chez Apple, et vérifiez que le numéro de secours Google n'est pas… celui du téléphone que vous risquez de perdre.
5. Notez l'IMEI de votre téléphone quelque part hors du téléphone.

Et si la reprise en main patine, une assistance à distance permet de dérouler les formulaires de récupération ensemble, sur votre ordinateur ; le déroulé et les tarifs sont indiqués à l'avance, et le premier échange téléphonique de quinze minutes ne coûte rien.

Questions fréquentes

Puis-je désactiver la double authentification pour m'en sortir ?

Il faudrait déjà être connecté pour la désactiver : c'est le cercle vicieux. La bonne porte reste le code de secours, une session déjà ouverte, ou la procédure de récupération du service. Et une fois rentré, mieux vaut la reconfigurer que la supprimer.

Mon opérateur peut-il me redonner mon numéro le jour même ?

En boutique, oui dans la plupart des cas : la carte SIM est remise sur place et le numéro rebascule en quelques minutes à quelques heures. Par courrier, comptez plusieurs jours. Une pièce d'identité est exigée dans tous les cas.

J'ai changé de téléphone sans transférer mon application de codes, que faire ?

Si l'ancien téléphone fonctionne encore, même sans carte SIM, l'application y affiche toujours les codes : rallumez-le en Wi-Fi et transférez les comptes un par un. S'il est définitivement hors service, il faut passer par les codes de secours ou la récupération de chaque compte.

Les codes reçus par SMS sont-ils moins sûrs ?

Ils sont plus faibles qu'une application ou une clé, parce qu'un numéro peut être détourné. Mais ils sont infiniment meilleurs que rien, et plus faciles à récupérer après une perte de téléphone, puisqu'ils suivent le numéro et non l'appareil.

Dois-je effacer le téléphone tout de suite ?

Pas immédiatement. Le mode Perdu verrouille l'appareil, affiche un message et continue de le localiser : c'est réversible. L'effacement est définitif et fait disparaître l'appareil de la liste ; gardez-le pour le moment où vous êtes sûr de ne pas le revoir.

Un téléphone éteint peut-il être effacé ?

La demande est enregistrée et s'exécutera dès que l'appareil se rallumera et trouvera une connexion. Les iPhone récents restent localisables un moment même éteints ; sur Android, cela dépend du modèle.

À lire aussi : double authentification : comment ça marche · quel gestionnaire de mots de passe choisir.