Double authentification : l’application plutôt que le SMS

Activer la double authentification prend deux minutes. Ce qui prend du temps, c’est de réparer une situation où le second facteur a disparu avec le téléphone — et là, aucun support ne va vite.

Comment le code est calculé

À l’activation, le service affiche un QR code qui contient une clé secrète. L’application la stocke, puis calcule un code à partir de cette clé et de l’heure courante, selon un algorithme normalisé.

Le serveur fait le même calcul de son côté. Aucun échange n’a lieu au moment de la connexion : c’est pour cela que l’application fonctionne en mode avion, et que rien ne transite par le réseau mobile.

Conséquence pratique : si l’horloge du téléphone dérive, les codes sont refusés. Remettre l’heure en réglage automatique résout la quasi-totalité des cas de « code invalide » inexpliqués.

SMS, application ou clé : que choisir ?

Mettre en place proprement, dans l’ordre

• Choisir l’application avant de commencer, et s’y tenir pour tous les comptes : éparpiller sur trois applications complique la reprise.
• Scanner le QR code, puis vérifier immédiatement qu’un code généré est accepté.
• Enregistrer les codes de secours hors du téléphone : imprimés, ou dans un gestionnaire de mots de passe protégé par une autre méthode.
• Ajouter un second facteur de repli quand le service le permet : une seconde clé, ou un appareil secondaire.
• Tester la reprise une fois : se déconnecter, se reconnecter, vérifier que tout fonctionne avant d’en avoir besoin.

Anticiper la perte du téléphone

Sans sauvegarde ni codes de secours, la récupération passe par le support du service, avec des délais qui se comptent en jours et des justificatifs d’identité. Certains comptes ne se récupèrent pas du tout.

Les applications proposant une sauvegarde chiffrée des clés changent complètement ce scénario : le second facteur se restaure sur un nouvel appareil. En contrepartie, la sécurité de cette sauvegarde devient le maillon à protéger.

Le même raisonnement vaut pour l’ensemble de vos données : ce qui n’existe qu’à un seul endroit finit par disparaître, comme le rappelle notre page sur la règle de sauvegarde 3-2-1.

Par quels comptes commencer ?

Tous les comptes ne se valent pas. La messagerie principale arrive en tête, parce qu’elle permet de réinitialiser le mot de passe de presque tous les autres : la protéger revient à verrouiller la porte d’entrée.

Viennent ensuite le gestionnaire de mots de passe, les accès bancaires, les comptes marchands enregistrant une carte, puis les réseaux sociaux — dont la prise de contrôle sert surtout à escroquer l’entourage.

Un cas particulier mérite attention : les comptes professionnels partagés. Un second facteur lié au téléphone d’une seule personne bloque toute l’équipe le jour où cette personne est absente. Dans ce cas, la clé physique en double exemplaire, ou un coffre d’équipe, évite la dépendance à un individu.

Et les clés d’accès dans tout ça

Les clés d’accès remplacent le mot de passe plutôt que de s’y ajouter : l’authentification repose sur une paire cryptographique liée à l’appareil, déverrouillée par empreinte ou code. Il n’y a plus de code à recopier, donc plus d’hameçonnage possible sur ce code.

Elles se déploient progressivement, et cohabitent pour l’instant avec les codes à six chiffres. Là où elles sont proposées, elles constituent le meilleur choix — nous les détaillons dans notre article sur les clés d’accès.

Commencez par votre adresse mail principale, notez les codes de secours sur papier, et rangez-les ailleurs que dans le téléphone. Le reste des comptes suivra en dix minutes.

Une fuite de mot de passe devient sans effet quand le second facteur tient : voir les réflexes après une fuite.

Yann Deverre

Douze ans de développement web, en agence puis chez un éditeur de logiciels, avant de passer à l'écriture. Il explique le numérique en partant du mécanisme, et teste avant d'affirmer.