Applications d'authentification et mots de passe d'application

Une application d'authentification produit des mots de passe à usage unique basés sur le temps, une méthode généralement appelée TOTP. Lorsque vous activez la double authentification par application, le service affiche un QR code. Ce code contient une clé secrète, et le fait de le scanner en enregistre une copie dans votre application. Dès lors, le service et votre téléphone partagent le même secret, qui n'a plus jamais besoin de transiter par le réseau.

Pour créer un code, l'application combine ce secret avec l'heure actuelle, arrondie à un court intervalle qui dure le plus souvent 30 secondes, puis passe le résultat dans une fonction cryptographique standard. Elle réduit ensuite la sortie à un nombre court, généralement de six chiffres. Le serveur effectue le même calcul de son côté et compare les deux résultats. Comme chaque côté n'a besoin que du secret et d'une horloge, l'application fonctionne sans données mobiles ni Wi-Fi.

Ce fonctionnement explique le problème le plus courant : des codes refusés alors que vous les avez saisis correctement. Si l'horloge de votre téléphone dérive, il calcule des codes pour la mauvaise fenêtre de temps. Régler la date et l'heure en mode automatique suffit généralement à corriger le problème, et certaines applications proposent aussi une option de correction de l'heure.

Toute application compatible avec la norme TOTP fonctionne avec la plupart des services : le vrai choix porte donc sur la manière dont l'application gère vos secrets. Les grands éditeurs proposent leur propre application, notamment Google Authenticator et Microsoft Authenticator, et de nombreux gestionnaires de mots de passe savent eux aussi stocker des codes TOTP.

Vérifiez qu'il existe un moyen de sauvegarder ou d'exporter vos codes, car une application qui les garde sur un seul téléphone transforme la perte de ce téléphone en blocage complet. Si l'application se synchronise avec un compte cloud, assurez-vous que ce compte est lui-même bien protégé, et privilégiez les applications qui chiffrent la sauvegarde. Un verrouillage de l'application par empreinte, visage ou code PIN ajoute une protection si quelqu'un s'empare de votre téléphone déverrouillé.

Certaines applications d'authentification proposent aussi des validations par notification pour les comptes de leur propre éditeur : vous touchez l'écran pour confirmer une connexion au lieu de saisir un code. C'est pratique, mais cela ne fonctionne qu'avec ce fournisseur. Pour tous les autres services, l'application se comporte comme un générateur de codes classique.

Dans les paramètres de sécurité du compte, choisissez l'option permettant de configurer une application d'authentification. Scannez le QR code avec l'application, ou saisissez la clé de configuration à la main si le scan est impossible. Le service vous demande alors le code en cours pour prouver que la configuration a réussi. Ne sautez pas cette étape et ne fermez pas la page tant que le code n'a pas été accepté.

Donnez à chaque entrée un nom clair si l'application le permet, surtout si vous gérez plusieurs comptes sur le même service. Une entrée qui n'affiche que le nom de la marque se confond facilement avec une autre, et supprimer la mauvaise peut vous couper l'accès.

Enregistrez en même temps les codes de secours ou de récupération proposés par le service. C'est le moyen le plus simple de retrouver l'accès si le téléphone qui contient votre application est perdu avant que vous ayez sauvegardé vos codes.

La règle la plus sûre est simple : configurez le nouveau téléphone tant que l'ancien fonctionne encore. N'effacez pas, ne revendez pas et ne faites pas reprendre l'ancien appareil avant que chaque code ait été transféré et testé.

De nombreuses applications d'authentification intègrent une fonction de transfert ou d'export qui affiche un ou plusieurs QR codes sur l'ancien téléphone, à scanner avec le nouveau. D'autres restaurent vos entrées à partir d'une sauvegarde cloud chiffrée lorsque vous vous connectez sur le nouvel appareil. Après le transfert, connectez-vous à quelques comptes avec les nouveaux codes pour vérifier qu'ils correspondent.

Si votre application ne propose aucun transfert, déplacez les comptes un par un. Connectez-vous à chaque service, ouvrez ses paramètres de double authentification, choisissez d'ajouter ou de changer l'application d'authentification, scannez le nouveau QR code avec le nouveau téléphone et confirmez le code. Sur de nombreux services, l'ancienne entrée cesse de fonctionner dès que le secret est remplacé : supprimez-la ensuite pour éviter toute confusion. Gardez vos codes de secours à portée de main pendant l'opération, au cas où quelque chose tournerait mal en cours de route.

Un mot de passe d'application est un long mot de passe généré aléatoirement qui permet à une application ou à un appareil précis de se connecter à votre compte sans passer par la double authentification. Il existe pour les logiciels anciens qui ne connaissent qu'un identifiant et un mot de passe, et qui ne savent ni afficher une demande de code ni ouvrir une page de connexion.

Les comptes Google, Microsoft et Yahoo, entre autres, permettent de créer des mots de passe d'application depuis les paramètres de sécurité du compte, le plus souvent uniquement après activation de la double authentification. Certains types de comptes, comme certains comptes professionnels ou scolaires, ou les comptes inscrits aux programmes de sécurité les plus stricts, peuvent ne pas en proposer du tout. En règle générale, chaque mot de passe d'application ne s'affiche qu'une seule fois, au moment de sa création : collez-le donc tout de suite dans l'application.

Comme un mot de passe d'application contourne le second facteur, traitez-le comme un véritable mot de passe de la boîte mail qu'il protège. Créez-en un distinct pour chaque application ou appareil, donnez-lui un nom explicite si le service le permet, et ne le réutilisez jamais ailleurs.

Les applications de messagerie modernes se connectent aux grands fournisseurs via une fenêtre de connexion de type navigateur qui gère directement la double authentification : elles n'ont donc pas besoin de mot de passe d'application. Vous n'en aurez généralement besoin que lorsqu'un programme ou un appareil se connecte avec de simples paramètres IMAP, POP ou SMTP et un champ de mot de passe basique : anciens logiciels de messagerie pour ordinateur, certaines applications mail mobiles, scanners et imprimantes qui envoient des e-mails, outils de sauvegarde, scripts ou objets connectés d'ancienne génération.

Un bon test consiste à essayer d'abord la connexion normale. Si l'application ouvre la page de connexion du fournisseur, utilisez-la. Si elle ne propose que des paramètres de serveur et refuse sans cesse votre mot de passe, pourtant correct, depuis que vous avez activé la double authentification, c'est le signal qu'il faut créer un mot de passe d'application, le saisir à la place de votre mot de passe habituel et laisser les autres paramètres inchangés.

Les fournisseurs incitent de plus en plus à abandonner la connexion par simple mot de passe pour les applications tierces : un mot de passe d'application qui fonctionne aujourd'hui pourrait donc ne plus être pris en charge demain. Quand un programme dont vous dépendez cesse de se connecter, vérifiez si une version plus récente gère la méthode de connexion moderne avant de créer un énième mot de passe d'application.

Passez régulièrement en revue vos mots de passe d'application dans les paramètres de sécurité du compte et révoquez ceux que vous n'utilisez plus, en particulier pour les appareils vendus ou les programmes désinstallés. Certains fournisseurs listent chaque mot de passe d'application séparément, d'autres ne permettent que de tous les supprimer d'un coup. Sur certains services, changer votre mot de passe principal révoque aussi les mots de passe d'application existants : prévoyez d'en créer de nouveaux ensuite.

Si vous avez reçu un compte de messagerie de quelqu'un d'autre, par exemple via une place de marché de produits numériques comme rStock, supprimez les mots de passe d'application et les entrées d'authentification que vous n'avez pas créés, puis configurez votre propre application d'authentification et générez de nouveaux codes de secours. Sur rStock, le contenu livré apparaît sur la page de votre commande sous la forme d'un enregistrement de livraison lié à la commande : copiez les informations dans votre gestionnaire de mots de passe avant de commencer à les modifier. Utilisez tout compte obtenu dans le respect des conditions d'utilisation du fournisseur.

Enfin, dans la mesure du possible, gardez votre application d'authentification, vos codes de secours et vos mots de passe d'application séparés les uns des autres. Un seul téléphone volé ou une seule note divulguée ne devrait jamais suffire à livrer à quelqu'un toutes les clés de votre messagerie.