L'authentification à deux facteurs : SMS, application, clé physique

Même le meilleur mot de passe peut être volé : par un faux site, une fuite de données ou un logiciel espion. L'authentification à deux facteurs ajoute une seconde barrière : même avec votre mot de passe, l'attaquant reste bloqué. Mais toutes les méthodes ne se valent pas. Cette leçon compare le SMS, l'application et la clé physique, avec leurs avantages et leurs limites.

Vous avez maintenant un gestionnaire de mots de passe et des mots de passe uniques. Passons à la deuxième couche de protection, celle qui change le plus la donne pour vos comptes importants.

Les trois types de « facteurs »

Prouver son identité peut se faire de trois manières, que l'on appelle des facteurs :

• Ce que vous savez : un mot de passe, un code PIN, une phrase secrète ;
• Ce que vous possédez : un téléphone, une clé physique, une carte ;
• Ce que vous êtes : une empreinte digitale, un visage (biométrie).

L'authentification à deux facteurs (2FA, ou « double authentification ») exige deux preuves de catégories différentes. Exemple connu de tous : votre carte bancaire (ce que vous possédez) et votre code (ce que vous savez) au distributeur. Deux mots de passe successifs ne comptent pas : ce serait deux fois la même catégorie.

L'intérêt est évident : si un attaquant récupère votre mot de passe, il lui faut encore l'objet ou l'appareil que vous possédez. L'effort augmente, et la majorité des attaques de masse s'arrêtent là.

Les méthodes courantes

1. Le code par SMS

Le service vous envoie un code temporaire par SMS, que vous saisissez après votre mot de passe.

• Avantages : très simple, aucune installation, compris par tout le monde.
• Limites : le SMS peut être détourné par le transfert frauduleux d'un numéro vers une autre carte SIM (SIM swapping) ou intercepté dans certains cas ; il n'est pas protégé contre le phishing (un faux site peut vous demander le code et le réutiliser immédiatement) ; il ne fonctionne pas sans réseau ; et un téléphone volé et déverrouillé affiche le code.
• Verdict : mieux que rien, nettement. Mais à remplacer par mieux dès que le service le permet.

2. L'application d'authentification

Une application sur votre téléphone génère un code à usage unique qui change toutes les trente secondes environ, calculé à partir d'un secret partagé avec le service lors de l'activation (par exemple via un QR code). On parle de codes « TOTP ».

• Avantages : fonctionne sans réseau, non lié au numéro de téléphone (donc à l'abri du SIM swapping), disponible dans de nombreux services.
• Limites : si vous perdez ou changez de téléphone sans avoir préparé les codes de secours ou transféré les comptes, vous êtes bloqué ; le code reste exposé au phishing en temps réel (un faux site peut le relayer).
• Verdict : bon compromis pour la plupart des comptes.

3. La notification « push »

Le service envoie une demande d'approbation à une application. Vous appuyez sur « Approuver ».

• Avantages : très pratique.
• Limites : vulnérable à la fatigue d'approbation : un attaquant qui connaît votre mot de passe déclenche des dizaines de demandes, en espérant que vous approuviez par lassitude ou par erreur. Règle : n'approuvez jamais une demande que vous n'avez pas déclenchée vous-même, et changez votre mot de passe si cela arrive.

4. La clé de sécurité physique

Un petit boîtier (USB, NFC ou Bluetooth) que vous branchez ou approchez pour confirmer votre identité. Elle repose sur des standards de cryptographie à clé publique (FIDO2, que la leçon suivante détaille).

• Avantages : résistante au phishing par conception (la clé vérifie le nom du site et ne répond pas à un faux), pas de code à recopier, très difficile à intercepter à distance.
• Limites : coût d'achat, risque de perte (il faut en avoir une seconde de secours), et tous les services ne la prennent pas en charge.
• Verdict : le niveau le plus protecteur, recommandé pour les comptes critiques et les personnes à risque particulier.

Comparatif

Le principe à retenir : n'importe quelle double authentification vaut mieux que pas de double authentification. Ne retardez pas son activation en attendant la méthode parfaite : commencez avec ce dont vous disposez, puis améliorez.

Où l'activer en priorité

1. Votre messagerie principale (elle réinitialise tout le reste) ;
2. Votre gestionnaire de mots de passe ;
3. Vos comptes bancaires et financiers (souvent déjà imposée) ;
4. Vos comptes d'administration : impôts, santé, identité numérique ;
5. Vos réseaux sociaux et services de stockage de photos ou de fichiers ;
6. Vos comptes professionnels, selon la politique de votre entreprise.

Pour l'activer, cherchez dans les paramètres du compte une rubrique « Sécurité », « Connexion » ou « Validation en deux étapes ».

Les codes de secours : votre filet de sécurité

Quand vous activez la double authentification, le service vous propose généralement des codes de secours à usage unique, utilisables si vous perdez votre téléphone ou votre clé. Ils sont essentiels.

• Imprimez-les ou notez-les, et rangez-les avec vos documents importants, au même endroit que le kit de récupération du gestionnaire ;
• ne les laissez pas dans votre boîte mail, ni dans une capture d'écran dans votre galerie photos ;
• pour les comptes critiques, enregistrez deux méthodes (par exemple une application et une clé de secours), pour ne pas dépendre d'un seul appareil.

À vous de jouer

Activez la double authentification sur votre messagerie principale, aujourd'hui. Notez dans votre carnet : la méthode choisie, l'endroit où sont rangés les codes de secours, et la prochaine étape d'amélioration (par exemple passer du SMS à une application).

La clé physique nous amène à une évolution majeure de l'authentification : les passkeys et la biométrie. C'est le sujet de la dernière leçon du chapitre.