Double authentification : pourquoi chaque compte en a besoin

Un mot de passe seul constitue un point de défaillance unique. S'il est deviné, réutilisé sur un site qui se fait pirater plus tard ou saisi sur une fausse page de connexion bien imitée, quiconque le détient peut se connecter à votre place. La double authentification, souvent abrégée en 2FA, ajoute une seconde vérification qui ne repose pas sur ce que vous savez : quelque chose que vous possédez, comme votre téléphone ou une clé physique, ou quelque chose que vous êtes, comme votre empreinte digitale.

Résultat : un mot de passe volé ne suffit plus. Un attaquant qui le connaît a encore besoin du code affiché par votre application d'authentification, d'une pression sur votre clé de sécurité ou d'une validation sur votre appareil de confiance. La plupart des attaques visant des comptes ordinaires sont automatisées et opportunistes : cette étape supplémentaire vous fait sortir du lot des cibles faciles et rend un piratage beaucoup moins probable.

La 2FA ne remplace pas un bon mot de passe. Elle donne toute sa mesure en complément d'un mot de passe long et unique, conservé dans un gestionnaire de mots de passe. Les deux se couvrent mutuellement : le mot de passe unique limite les dégâts d'une fuite survenue ailleurs, et le second facteur vous protège si le mot de passe finit malgré tout par fuiter.

Les applications d'authentification génèrent un code court, en général à six chiffres et renouvelé le plus souvent toutes les 30 secondes, à partir d'un secret que le service transmet à l'application lorsque vous scannez un QR code. Elles fonctionnent hors ligne, sont généralement gratuites et compatibles avec la plupart des grandes plateformes : c'est un choix par défaut raisonnable pour la majorité des gens.

Les clés de sécurité physiques sont de petits appareils USB, NFC ou Bluetooth que l'on branche ou que l'on touche au moment de se connecter. Les passkeys, ou clés d'accès, reposent sur le même principe, mais elles sont stockées sur votre téléphone ou votre ordinateur et se déverrouillent avec votre empreinte, votre visage ou le code PIN de l'appareil. Les unes comme les autres sont liées à l'adresse réelle du site : elles ne répondront pas à une page d'hameçonnage qui l'imite. Ce sont donc les options les plus solides accessibles au grand public.

Les notifications push vous demandent d'approuver une connexion sur un appareil déjà connecté. Avec les codes par SMS ou par appel vocal, un code à usage unique est envoyé sur votre numéro de téléphone. Les codes de secours forment une liste de codes à usage unique réservés aux urgences, quand votre méthode habituelle n'est pas disponible. La plupart des services permettent d'activer plusieurs méthodes, et c'est ce qu'il faut faire : une méthode principale et au moins une solution de repli.

Un code reçu par SMS vaut bien mieux que pas de second facteur du tout, mais il dépend de votre numéro de téléphone, et ce numéro n'est pas entièrement sous votre contrôle. Lors d'une attaque par échange de carte SIM, ou SIM swapping, un escroc convainc ou soudoie un employé d'un opérateur mobile pour transférer votre numéro sur une carte SIM qu'il détient. À partir de là, tous les codes qui vous sont destinés arrivent sur son téléphone.

Les codes SMS peuvent aussi être hameçonnés comme des mots de passe : une fausse page de connexion vous demande le code, et l'attaquant le transmet au vrai site en quelques secondes. Vous pouvez également perdre l'accès de façon plus banale, par exemple en voyageant sans itinérance, en changeant d'opérateur ou en laissant expirer une carte prépayée dont le numéro sera ensuite réattribué à quelqu'un d'autre.

Si un service propose une application d'authentification, une clé de sécurité ou une passkey, passez à l'une de ces options et ne gardez le SMS qu'en secours, voire supprimez-le si le service le permet. Quand le SMS est la seule option, protégez le numéro lui-même : de nombreux opérateurs proposent un code secret sur le compte client ou un blocage des transferts de numéro, qui rendent un détournement plus difficile.

Commencez par les comptes qui donnent accès à tout le reste. Votre adresse e-mail principale passe en premier, puisque c'est elle qui reçoit les liens de réinitialisation de mot de passe, suivie de votre compte Apple, Google ou Microsoft, de votre gestionnaire de mots de passe et de tout compte qui contient de l'argent ou des données précieuses. Une fois ceux-là protégés, passez aux réseaux sociaux, aux messageries comme Telegram et Discord, puis au reste.

L'option se trouve généralement dans les paramètres de sécurité du compte, sous un nom comme validation en deux étapes, authentification à deux facteurs ou vérification de connexion. Choisissez l'application d'authentification ou la clé de sécurité, scannez le QR code avec votre application et saisissez le code affiché pour confirmer que tout fonctionne. Si le service prend en charge les passkeys, en ajouter une sur votre téléphone et sur votre ordinateur vous offre une méthode de connexion à la fois pratique et résistante à l'hameçonnage.

Avant de quitter la page des paramètres, enregistrez les codes de secours, ajoutez une seconde méthode si possible et vérifiez que l'adresse e-mail et le numéro de récupération sont à jour et vous appartiennent bien. Déconnectez-vous ensuite et reconnectez-vous une fois, pour savoir à quoi ressemble la demande de vérification avant d'en dépendre réellement.

Les codes de secours vous permettent de retrouver l'accès à votre compte si votre téléphone est perdu, cassé ou réinitialisé. Chaque code ne fonctionne qu'une fois et, sur de nombreux services, en générer une nouvelle série annule l'ancienne. Traitez-les comme un double de vos clés : indispensable le jour où vous en avez besoin, inutile si vous ne le retrouvez pas, et dangereux s'il tombe entre les mains d'un inconnu.

Parmi les bons endroits pour les conserver : une copie papier rangée avec vos documents importants, ou une note chiffrée dans un gestionnaire de mots de passe que vous pouvez ouvrir sans le téléphone qui contient votre application d'authentification. Parmi les mauvais : votre boîte de réception, une application de notes non verrouillée, une capture d'écran dans votre galerie photo ou un fichier stocké sur l'appareil même qui génère vos codes, car la perte de cet unique appareil vous bloquerait alors complètement.

Rayez chaque code dès que vous l'utilisez et générez-en une nouvelle série quand il vous en reste peu. Si vous pensez que quelqu'un a pu voir vos codes, régénérez-les sans attendre pour que l'ancienne liste cesse de fonctionner.

Si vous avez obtenu un compte auprès de quelqu'un d'autre, qu'il s'agisse d'un collègue qui vous transmet le compte d'un projet ou d'un achat sur une place de marché de produits numériques, partez du principe que l'ancien détenteur y a peut-être encore accès. L'objectif est de devenir la seule personne capable de s'y connecter. Utilisez toujours le compte dans le respect des conditions d'utilisation de la marque.

Procédez dans cet ordre : remplacez le mot de passe par un nouveau mot de passe unique, mettez à jour l'e-mail et le téléphone de récupération avec des coordonnées que vous contrôlez, supprimez toute application d'authentification, clé de sécurité ou appareil de confiance que vous n'avez pas ajouté vous-même, puis activez la 2FA avec votre propre application et générez de nouveaux codes de secours. Enfin, passez en revue les sessions actives et déconnectez tous les appareils sauf les vôtres.

Sur rStock, le contenu livré apparaît sur la page de votre commande sous la forme d'un enregistrement de livraison lié à la commande : vous pouvez donc copier les informations directement depuis cette page vers votre gestionnaire de mots de passe. Votre argent est retenu au lieu d'être versé immédiatement à la boutique et, si le compte livré ne fonctionne pas comme décrit, vous pouvez ouvrir un litige dans un délai limité après la livraison. La boutique répond en premier, et un modérateur peut être appelé si vous ne parvenez pas à un accord. Sécuriser et vérifier le compte rapidement vous permet de repérer un éventuel problème tant que ce délai court encore.

Approuver une notification push que vous n'avez pas déclenchée est l'une des façons les plus fréquentes de mettre la 2FA en échec. Si une demande apparaît alors que vous n'êtes pas en train de vous connecter, refusez-la et changez votre mot de passe : quelqu'un le connaît déjà. Il en va de même si quelqu'un vous appelle ou vous écrit pour vous demander de lui lire un code. Aucun service légitime n'a besoin que vous communiquiez un code à usage unique à qui que ce soit.

Autre erreur : protéger un compte par la 2FA tout en laissant ouverte une ancienne voie de récupération fragile, comme une adresse e-mail abandonnée ou un numéro de téléphone que vous n'utilisez plus. Les attaquants contournent la porte la plus solide si une autre, plus faible, reste déverrouillée. Revoyez donc vos options de récupération chaque fois que vous changez de téléphone ou de fournisseur de messagerie.

Enfin, n'attendez pas l'arrivée d'un nouveau téléphone pour préparer la migration. Avant de remplacer ou de réinitialiser un appareil, transférez vos codes d'authentification, vérifiez qu'ils fonctionnent sur le nouvel appareil et seulement ensuite effacez l'ancien. Quelques minutes de préparation peuvent vous épargner des heures de récupération de compte.