Guide n° 06 Sécurité du compte
Configurer la double authentification
La double authentification ajoute un deuxième facteur à votre mot de passe. Elle bloque la plupart des accès non autorisés, même si votre mot de passe a été volé ou deviné. Ce guide explique comment la configurer proprement, quel mécanisme choisir, et dans quel ordre sécuriser vos comptes.
§ 01
Comprendre
La double authentification : un facteur en plus du mot de passe
La <strong>2FA</strong> — ou <strong>MFA</strong> — repose sur une idée simple : ajouter une preuve supplémentaire après le mot de passe.
Un mot de passe seul est un facteur de connaissance : vous savez quelque chose. La double authentification ajoute au moins un autre facteur parmi trois familles : ce que vous possédez (téléphone, clé physique, appareil), ce que vous êtes (biométrie), ou parfois un second secret temporaire.
En pratique, un service vous demande d’abord votre identifiant et votre mot de passe. Il exige ensuite un code, une validation sur application, une clé de sécurité, ou une confirmation biométrique. Sans ce second élément, la connexion est bloquée.
La 2FA ne rend pas un compte invulnérable. Elle réduit fortement le risque d’intrusion en cas de vol de mot de passe, de réutilisation d’identifiants, ou de phishing simple. C’est une protection de base pour tout compte exposé à des données personnelles, financières ou professionnelles.
La règle est simple : plus le second facteur est difficile à intercepter, plus le compte est protégé. Tous les mécanismes ne se valent pas.
§ 02
Choisir
Les principales méthodes de 2FA, du moins sûr au plus robuste
-
SMS : simple, mais exposé
Le code par SMS reste courant. Il est facile à utiliser, mais il repose sur le réseau téléphonique. Le risque principal est le SIM swapping : un attaquant transfère votre numéro vers une autre carte SIM. Les interceptions par redirection ou fraude opérateur existent aussi. Le SMS reste préférable à l’absence totale de 2FA, mais il ne doit pas être votre premier choix.
-
Application TOTP : le bon compromis
Une application comme Google Authenticator ou Aegis génère des codes à usage unique, en général valables 30 secondes. Le code est produit localement sur votre téléphone. C’est plus sûr que le SMS, car il n’y a pas de dépendance au réseau mobile. Le niveau de sécurité dépend toutefois de la protection du téléphone et de la sauvegarde des secrets.
-
Clé physique FIDO2 / YubiKey : la méthode la plus sûre
Une clé de sécurité matérielle s’authentifie sur le site via un protocole moderne, souvent FIDO2 ou WebAuthn. Elle résiste très bien au phishing, car elle vérifie le site auquel vous vous connectez. C’est aujourd’hui l’une des meilleures protections pour un compte sensible.
-
Passkey : sans mot de passe, ou presque
Une passkey remplace progressivement le duo mot de passe + code temporaire. Elle s’appuie sur une clé cryptographique stockée sur votre appareil, souvent déverrouillée par code, empreinte ou Face ID. C’est pratique et plus résistant au phishing qu’un mot de passe classique. La disponibilité varie selon les services et les appareils.
-
Biométrie : confortable, mais pas un secret
Empreinte ou reconnaissance faciale peuvent servir à valider une connexion, mais la biométrie n’est pas un mot de passe. Elle déverrouille un appareil ou confirme une action locale. Son intérêt augmente quand elle sert à protéger une passkey ou une clé locale. À elle seule, elle ne remplace pas un vrai second facteur sur tous les services.
§ 03
Éviter
Les erreurs courantes lors de la configuration
-
Activer le SMS alors qu’une méthode plus forte existe
Le SMS est souvent proposé par défaut. Si le service accepte une application TOTP ou une clé FIDO2, choisissez-les en priorité. Le SMS doit rester une solution de secours, pas votre méthode principale.
-
N’enregistrer qu’un seul moyen de récupération
Si vous perdez votre téléphone ou votre clé, vous risquez le blocage. Conservez plusieurs moyens de secours quand le service le permet : code de récupération, deuxième clé, adresse e-mail secondaire, ou appareil de confiance.
-
Capturer les codes de récupération dans une note non protégée
Les codes de secours ouvrent l’accès au compte. Ils doivent être stockés comme des secrets. Évitez les captures d’écran, les documents en clair, ou les messages envoyés par e-mail sans protection.
-
Ignorer la sauvegarde du secret TOTP
Lors de l’activation d’une application d’authentification, un secret ou un QR code est fourni. Sans sauvegarde, un changement de téléphone peut devenir compliqué. Exportez ou conservez ce secret selon les options du service, dans un endroit protégé.
-
Penser qu’un téléphone suffit sans verrouillage fort
Un code TOTP sur un téléphone non protégé reste fragile. Le téléphone doit être verrouillé par un code robuste, une empreinte ou une reconnaissance faciale, et idéalement chiffré.
§ 04
Prioriser
Dans quel ordre activer la double authentification ?
-
Messagerie principale
Votre boîte mail est souvent la clé de réinitialisation des autres comptes. Si elle tombe, le reste peut suivre.
Activez d’abord la 2FA sur votre messagerie principale. Choisissez une application TOTP ou une clé physique si possible. Ajoutez un moyen de récupération secondaire avant de finaliser.
-
Banque et services financiers
Les comptes bancaires, wallets, plateformes de paiement et services d’investissement exposent directement vos fonds.
Utilisez la méthode la plus forte proposée. Si une clé FIDO2 est acceptée, privilégiez-la. Vérifiez aussi les notifications d’activité et les moyens de secours.
-
Gestionnaire de mots de passe
Le gestionnaire concentre vos identifiants, vos secrets et parfois vos codes TOTP.
Protégez-le en priorité. Si le service accepte une seconde clé, enregistrez-en au moins deux. Conservez les codes de récupération hors du gestionnaire principal, mais dans un coffre séparé et sécurisé.
-
Réseaux sociaux et services grand public
Ces comptes servent souvent à l’usurpation d’identité, au phishing, ou à l’envoi de messages frauduleux.
Activez la 2FA au minimum via TOTP. Pour les comptes très exposés, ajoutez une clé matérielle si le service l’autorise.
-
Comptes de travail et stockage cloud
Ils donnent accès à des documents, des échanges et parfois à des accès professionnels partagés.
Suivez la politique de votre organisation. Si aucune consigne n’existe, appliquez le même principe : messagerie, cloud, outils métier, puis comptes secondaires.
§ 05
Méthodes
Forces et faiblesses des principaux facteurs
| Méthode | Points forts / limites |
|---|---|
| SMS | Très simple à déployer, compatible partout. Mais vulnérable au SIM swapping, aux interceptions et aux attaques d’ingénierie sociale. Niveau de sécurité moyen. |
| TOTP | Bon compromis. Les codes changent toutes les 30 secondes environ. Pas de dépendance au réseau téléphonique. Reste sensible au vol du téléphone, au phishing et à la perte du secret. |
| FIDO2 / clé physique | Très robuste contre le phishing et les pages de connexion frauduleuses. Recommandé pour les comptes sensibles. Inconvénient principal : il faut gérer un support matériel et prévoir une seconde clé. |
| Passkey | Expérience fluide, résistance élevée au phishing, moins de saisie. Dépend de la compatibilité du service et de l’écosystème d’appareils. La stratégie de récupération doit être vérifiée. |
| Biométrie | Très pratique au quotidien, surtout sur un appareil personnel. Mais ce n’est pas un facteur secret à lui seul. Elle doit surtout servir à déverrouiller un appareil, une passkey ou une clé locale. |
En résumé : SMS pour dépanner, TOTP pour la majorité des comptes, FIDO2 pour les comptes critiques. Si un service propose une passkey compatible et bien gérée, c’est souvent une excellente option.
§ 06
Procédure
Comment activer la 2FA proprement, étape par étape
La logique d’activation est proche sur la plupart des services.
Commencez par vérifier que votre mot de passe est unique et robuste. La 2FA complète une bonne hygiène de base. Ensuite, ouvrez les paramètres de sécurité du service et cherchez les options « vérification en deux étapes », « authentification à deux facteurs », « MFA » ou « passkey ».
Choisissez la méthode la plus forte disponible. Si le service propose une clé de sécurité, ajoutez-la en priorité. Sinon, activez une application TOTP. Le service affiche souvent un QR code à scanner. L’application enregistre alors un secret qui générera les codes.
Avant de terminer, le service fournit presque toujours des codes de récupération. Téléchargez-les, imprimez-les si nécessaire, ou stockez-les dans un espace chiffré. Sans ces codes, un changement de téléphone ou une perte de clé peut bloquer l’accès.
Ajoutez ensuite un second moyen de secours si le service le permet : une autre clé de sécurité, une adresse de secours, ou un appareil de confiance. Testez immédiatement la connexion de secours. Une 2FA non testée est une 2FA incomplète.
Enfin, vérifiez la session active, les appareils connectés, et les notifications de sécurité. Si le service le permet, désactivez les méthodes faibles que vous n’utilisez pas, notamment le SMS, une fois la méthode forte en place.
§ 07
Organisation
Gérer les codes TOTP et les secours sans s’exposer
Les codes TOTP peuvent être stockés dans un gestionnaire de mots de passe, à condition de bien comprendre le risque.
Certains gestionnaires comme Bitwarden Premium, 1Password ou Proton Pass savent intégrer les secrets TOTP. L’intérêt est pratique : le mot de passe et le code temporaire sont au même endroit. L’usage est plus rapide, surtout sur ordinateur.
Cette centralisation a toutefois une contrepartie. Si un attaquant ouvre votre coffre, il peut obtenir à la fois le mot de passe et le code TOTP. Le niveau de sécurité dépend donc de la solidité du mot de passe maître, du verrouillage de l’appareil, et de la présence d’une 2FA sur le gestionnaire lui-même.
Pour les comptes les plus sensibles, une bonne pratique consiste à séparer les secrets : mot de passe dans le gestionnaire, code TOTP dans une application distincte, et codes de récupération hors ligne ou dans un coffre différent. Cela limite l’impact d’une compromission unique.
Les codes de récupération doivent être vus comme une clé de secours. Conservez-en une copie sécurisée. Vérifiez leur format, leur durée de validité éventuelle, et la procédure pour les révoquer si vous changez de méthode. Après activation, relisez la documentation du service avant de faire le moindre changement.
Si vous remplacez votre téléphone ou votre clé, ne supprimez jamais l’ancien moyen tant que le nouveau n’a pas été testé. Conservez au moins un accès de secours fiable pour la messagerie principale et le gestionnaire de mots de passe.
§ 08
Annexes
Questions fréquentes
- La double authentification est-elle vraiment utile ?
- Oui. Elle bloque la majorité des accès frauduleux fondés sur un mot de passe volé, réutilisé ou deviné. Elle est particulièrement utile pour la messagerie, la banque, le cloud et les réseaux sociaux.
- Quelle est la méthode de 2FA la plus sûre ?
- La clé physique FIDO2 est généralement la plus robuste, surtout contre le phishing. Une passkey bien gérée offre aussi une excellente résistance. Le TOTP reste un très bon compromis.
- Pourquoi le SMS est-il moins recommandé ?
- Parce qu’il peut être détourné via le SIM swapping, la fraude opérateur ou certaines interceptions. Il reste utile comme solution de secours, mais il est moins sûr qu’une application TOTP ou une clé matérielle.
- Que faire si je perds mon téléphone ou ma clé de sécurité ?
- Utilisez immédiatement vos codes de récupération ou votre second moyen de secours. C’est pour cela qu’il faut les conserver avant de finaliser l’activation. Sans cela, la récupération peut être longue, voire impossible selon le service.
- Puis-je mettre mes codes TOTP dans mon gestionnaire de mots de passe ?
- Oui, si le gestionnaire le permet. C’est pratique. Mais cela regroupe davantage de secrets au même endroit. Pour les comptes critiques, une séparation entre mot de passe, TOTP et codes de secours reste plus prudente.
- Faut-il activer la double authentification partout ?
- Oui, dès que le service le propose. Commencez par la messagerie principale, puis la banque, le gestionnaire de mots de passe, les réseaux sociaux et le stockage cloud. L’objectif est de protéger les comptes qui servent à réinitialiser les autres.
- La biométrie remplace-t-elle la double authentification ?
- Non. La biométrie est un moyen de déverrouillage ou de validation locale. Elle n’est pas, à elle seule, une stratégie complète de protection des comptes. Elle accompagne souvent une passkey ou une clé de sécurité.
- Que dit l’ANSSI sur l’authentification forte ?
- L’ANSSI recommande de renforcer l’authentification sur les comptes sensibles et de ne pas dépendre uniquement du mot de passe. Pour les usages critiques, une méthode résistante au phishing et des moyens de récupération maîtrisés sont à privilégier.
Stockez vos codes 2FA en sécurité
La plupart des gestionnaires recommandés intègrent un authentificateur TOTP.
Voir le comparatif