Un mot de passe, même long et unique, partage une faiblesse structurelle : il peut être volé sans que vous le sachiez. Fuite de base de données, hameçonnage, logiciel malveillant. La double authentification répond exactement à ce problème en ajoutant une seconde preuve que l’attaquant ne possède pas.
Le principe : trois familles de preuves
L’authentification repose sur trois catégories de facteurs.
- Ce que vous savez : mot de passe, code PIN.
- Ce que vous possédez : téléphone, clé physique, carte à puce.
- Ce que vous êtes : empreinte, visage.
L’authentification à deux facteurs combine deux catégories différentes. Deux mots de passe ne constituent pas une double authentification : ils appartiennent à la même famille et tombent ensemble.
Les méthodes, de la plus faible à la plus solide
| Méthode | Sécurité | Inconvénient |
|---|---|---|
| Code par SMS | Faible à moyenne | Vulnérable à l’échange de carte SIM et à l’interception |
| Code par e-mail | Faible | Si la boîte mail est compromise, tout tombe |
| Application d’authentification | Bonne | Perte du téléphone si aucune sauvegarde |
| Notification push | Bonne | Risque de validation par lassitude |
| Clé de sécurité physique | Très élevée | Coût, et nécessité d’en avoir deux |
| Clé d’accès (passkey) | Très élevée | Support encore inégal selon les services |
Pourquoi le SMS est le maillon faible
L’attaque dite d’échange de carte SIM consiste à convaincre un opérateur de transférer votre numéro sur une carte contrôlée par l’attaquant, à partir d’informations personnelles collectées ailleurs. Une fois le numéro détourné, tous les codes arrivent chez lui.
Le SMS reste néanmoins très supérieur à l’absence totale de second facteur. S’il est la seule option proposée par un service, activez-le.
Ce qui rend une clé physique si robuste
Une clé de sécurité ne se contente pas d’afficher un code : elle vérifie l’adresse du site avant de répondre. Sur un site d’hameçonnage imitant parfaitement votre banque, la clé refuse simplement de fonctionner, parce que le domaine ne correspond pas.
C’est la seule méthode qui neutralise structurellement le hameçonnage, et c’est pourquoi elle est imposée dans de nombreuses organisations sensibles.
Les codes de secours, à ne pas négliger
Lors de l’activation, la plupart des services affichent une liste de codes à usage unique. Ils sont votre seule porte de sortie si vous perdez votre téléphone.
Imprimez-les ou notez-les sur papier, et rangez-les ailleurs que dans le téléphone concerné. Les stocker dans une note du même appareil revient à laisser la clé sur la porte.
Par où commencer
Tous les comptes n’ont pas la même valeur. Un ordre de priorité s’impose.
- Votre messagerie principale. C’est la clé de voûte : elle permet de réinitialiser presque tous vos autres comptes.
- Votre gestionnaire de mots de passe, s’il en existe un.
- Vos comptes bancaires et de paiement.
- Vos comptes administratifs : impôts, assurance maladie, retraite.
- Vos réseaux sociaux, particulièrement en cas d’usage professionnel.
- Vos comptes marchands enregistrant un moyen de paiement.
La marche à suivre
Le chemin est presque toujours le même : paramètres du compte, puis rubrique sécurité ou connexion, puis validation en deux étapes.
Si vous choisissez une application d’authentification, scannez le code affiché, saisissez le premier code généré pour confirmer, puis enregistrez immédiatement les codes de secours. Prévoyez si possible une seconde méthode de secours.
Les erreurs classiques
- Activer la double authentification et perdre l’accès faute de codes de secours.
- Utiliser la même boîte mail comme second facteur pour cette même boîte mail.
- Valider une notification push reçue sans l’avoir déclenchée : c’est le signal d’une attaque en cours.
- Croire que la double authentification dispense d’un mot de passe unique par service.
- Négliger la question du renouvellement de téléphone : transférez vos comptes d’authentification avant d’effacer l’ancien appareil.
Et si un code vous est demandé par téléphone ?
Aucun service légitime ne vous demandera jamais de communiquer un code de validation, ni par téléphone, ni par message, ni par e-mail. Ce code n’a qu’un seul usage : être saisi par vous, sur le site officiel.
Une demande de ce type, même si l’interlocuteur connaît vos coordonnées et paraît crédible, signale une tentative de fraude en cours. Raccrochez et contactez le service par un numéro que vous avez trouvé vous-même.
À retenir
- Combinez deux familles de facteurs différentes.
- Une application d’authentification vaut mieux qu’un SMS ; une clé physique vaut mieux que tout.
- Sauvegardez les codes de secours hors du téléphone concerné.
- Commencez par la messagerie principale.
- Un code de validation ne se communique jamais à personne.
Sur le même sujet
- Comment reconnaître un mail de phishing (et quoi faire si vous avez cliqué)
- VPN : à quoi ça sert vraiment, et à quoi ça ne sert pas
- Le RGPD expliqué : vos droits concrets sur vos données personnelles
Recommandations de sécurité publiées par Cybermalveillance.gouv.fr et l’ANSSI.
