Un mail de mon hébergeur, un mardi matin : « Nous avons bloqué une connexion suspecte à votre compte administrateur, depuis une adresse IP en Roumanie. » J'étais dans le train, j'ai mis trente secondes à comprendre pourquoi ce compte n'avait pas eu de second facteur. Réponse : parce que je l'avais désactivé trois mois plus tôt, le temps d'un dépannage, et que je ne l'avais jamais remis. C'est toute la limite de l'authentification à deux facteurs : ce n'est pas un réglage qu'on pose une fois, c'est une habitude à tenir.
Alors voilà le mode d'emploi que j'aurais aimé lire ce jour-là. Pas une définition du principe (vous l'avez déjà), mais les étapes concrètes, valables pour n'importe quel service, plus ce que personne ne vous dit sur le choix du fameux second facteur. Parce qu'il y a second facteur et second facteur.
Points clés à retenir
- Le second facteur doit appartenir à une catégorie différente du mot de passe : quelque chose que vous avez, ou que vous êtes.
- L'application d'authentification (TOTP) bat le SMS sur tous les critères sauf un : le SMS ne demande aucune installation.
- Les codes de secours ne sont pas une option. C'est eux qui vous empêchent de perdre définitivement l'accès à votre compte.
- Un second facteur mal sauvegardé peut vous enfermer dehors plus sûrement qu'il ne protège votre compte.
- L'authentification à deux facteurs ne sert à rien si vous l'activez sur trois comptes sur trente.
Avant de choisir votre méthode, la seule règle qui compte
Presque tout le monde confond deux choses : avoir deux vérifications et avoir deux facteurs. Recevoir un code par SMS après avoir saisi un mot de passe, c'est bien deux étapes. Mais si ce code arrive sur votre téléphone et que votre boîte mail est protégée par ce même téléphone, vous avez construit une petite boucle fermée qui s'effondre d'un seul coup le jour où vous perdez l'appareil.
La règle tient en une phrase : les deux facteurs doivent appartenir à des familles différentes.
- Ce que vous savez : un mot de passe, un code PIN, la réponse à une question.
- Ce que vous possédez : votre téléphone, une clé physique, une carte à puce.
- Ce que vous êtes : une empreinte, votre visage, votre iris.
Empiler deux éléments de la même famille ne renforce rien. Deux mots de passe, c'est deux fois la même fragilité.
Pourquoi le SMS reste le parent pauvre
Le SMS a un mérite énorme : il fonctionne partout, sur n'importe quel téléphone, sans rien installer. C'est d'ailleurs pour ça qu'à peu près tous les services le proposent en premier. Mais il traîne une faiblesse structurelle connue : l'acheminement d'un SMS passe par le réseau opérateur, et ce réseau est détournable. Une technique appelée échange de carte SIM consiste, en substance, à convaincre votre opérateur de transférer votre numéro vers une autre carte. À partir de là, vos codes partent chez quelqu'un d'autre, sans que votre téléphone ne sonne jamais.
Ça n'arrive pas tous les jours. Pour un compte de forum, franchement, le SMS suffit. Pour votre boîte mail principale, celle qui sert à réinitialiser tous les autres mots de passe, c'est un pari que je ne joue plus.
Le mode d'emploi en six étapes, valable pour n'importe quel service
Les libellés changent d'un site à l'autre, l'ordre des étapes presque jamais. Voici le squelette, que vous soyez chez un géant du web, un service de messagerie ou une plateforme bancaire.
- Connectez-vous, puis cherchez dans les paramètres une rubrique du type Sécurité, Connexion et sécurité ou Vérification en deux étapes. C'est là que tout se passe, jamais dans le profil public.
- Le service vous propose une liste de méthodes. Choisissez-en une, puis confirmez avec votre mot de passe actuel. Cette confirmation prouve que c'est bien vous qui modifiez le réglage.
- Si vous optez pour une application, le site affiche un QR code. Ouvrez l'application, choisissez « ajouter un compte », scannez. Un code à six chiffres apparaît, il change toutes les trente secondes environ.
- Saisissez ce code sur le site pour valider l'association. À partir de cet instant, les deux appareils se sont « reconnus » sans jamais échanger votre mot de passe.
- Téléchargez les codes de secours et rangez-les ailleurs que sur le téléphone qui génère les codes. Un gestionnaire de mots de passe, une clé USB au fond d'un tiroir, une feuille pliée dans un portefeuille. Peu importe, du moment que ce n'est pas le même objet.
- Déconnectez-vous et reconnectez-vous pour tester. Tant que vous n'avez pas vu l'écran réclamer le second facteur, vous n'avez rien activé, vous avez juste coché une case.
Cette dernière étape, je l'ai sautée pendant des années. Et c'est exactement comme ça qu'on découvre trois semaines plus tard qu'un réglage n'avait jamais été enregistré.
Le détail qu'on oublie toujours : les codes de secours
Un mot de passe oublié se réinitialise par mail. Un second facteur perdu, non. Si votre téléphone tombe dans l'eau et que vous n'avez pas conservé vos codes de secours, la seule issue est la procédure de récupération du service, quand elle existe. Chez certains, elle prend des semaines et exige une pièce d'identité. Chez d'autres, elle n'existe tout simplement pas.
Vous avez donc remplacé un risque de piratage par un risque de verrouillage définitif. Ce n'est pas forcément un mauvais calcul, mais il faut le faire en connaissance de cause.
Quelle méthode choisir ? Le comparatif sans langue de bois
Il n'y a pas de « meilleure » méthode dans l'absolu. Il y a un arbitrage entre la résistance à une attaque et la probabilité que vous perdiez vous-même l'accès.
| Méthode | Résiste à l'échange de carte SIM | Fonctionne sans réseau mobile | Ce qu'il faut accepter |
|---|---|---|---|
| Code par SMS | Non | Non | La méthode la plus simple à installer, et la plus contournable |
| Application d'authentification (TOTP) | Oui | Oui | Un téléphone à reconfigurer si vous le changez |
| Clé de sécurité physique | Oui | Oui | Un objet à acheter, à ne pas perdre, et un port USB |
| Notification à valider dans une application | Oui | Non | Un déluge de demandes à refuser quand quelqu'un connaît votre mot de passe |
Ma position, et je l'assume : application d'authentification pour tout ce qui compte, SMS pour le reste. C'est le meilleur rapport entre protection réelle et effort quotidien. La clé physique est supérieure sur le plan technique, mais elle n'est pertinente que si vous acceptez de la garder sur vous en permanence. Une clé restée dans un tiroir ne protège rien.
Authentification à deux facteurs Facebook : ce que change le réseau social
Sur une plateforme de cette taille, la particularité n'est pas la technique mais les conséquences. Un compte piraté y sert rarement à lire vos messages : il sert à diffuser des arnaques auprès de vos contacts, en votre nom, à des gens qui vous font confiance. C'est ce qui rend la protection plus rentable là qu'ailleurs, parce que le préjudice retombe sur votre entourage autant que sur vous.
Le point pratique à retenir : renseignez un numéro de téléphone de secours et une adresse mail de récupération valides, dans les paramètres. C'est la seule porte de sortie si vous perdez votre second facteur.
Authentification à deux facteurs Google et Gmail : le cas des comptes nichés
Ici, tout se joue sur un détail que beaucoup découvrent trop tard : un compte Google n'est pas qu'une boîte mail. C'est aussi le point de récupération de dizaines d'autres services. Le perdre, c'est perdre la main sur tout ce qui pointe vers cette adresse.
La règle que j'applique depuis : la boîte principale reçoit le facteur le plus solide dont je dispose, et jamais le même canal que les comptes secondaires. Un compte de test peut se contenter d'un code par SMS. Celui qui sert à tout réinitialiser, non.
Les erreurs que je vois le plus souvent
Après avoir aidé pas mal de monde à configurer ce réglage, trois schémas reviennent.
- Tout activer sur un seul appareil. Les codes, les mails de récupération, les sauvegardes : même téléphone. Un vol, une chute, et l'ensemble du dispositif tombe avec lui.
- Activer partout, sauf là où ça compte. Trois comptes protégés sur une trentaine, et pas les bons. Le niveau de protection global est celui du maillon le plus faible, pas la moyenne.
- Confondre code de secours et mot de passe. Un code de secours s'utilise une fois puis devient caduc. Le réutiliser ne fonctionne pas, et l'écran d'erreur ne dit jamais pourquoi.
Il y a une quatrième erreur, plus sournoise : changer de téléphone sans avoir transféré les comptes au préalable. Sur ce point, je plaide coupable. J'ai perdu l'accès à deux services comme ça, dont l'un m'a coûté une heure de discussion avec un support peu bavard.
Ce qu'il faut retenir de tout ça
L'authentification à deux facteurs ne rend pas un compte inviolable. Elle rend l'attaque suffisamment coûteuse pour que l'attaquant préfère s'attaquer au voisin. C'est tout ce qu'on lui demande, et c'est déjà beaucoup.
Si vous ne devez faire qu'une chose aujourd'hui : protégez la boîte mail qui sert à réinitialiser tous vos autres mots de passe. Pas les réseaux sociaux, pas les boutiques en ligne. Cette boîte-là. Le jour où quelqu'un y entre, il n'a plus besoin de casser vos autres comptes, il clique simplement sur « mot de passe oublié ».
Et si vous aviez désactivé le réglage pour dépanner, il y a trois mois, un mardi matin. Remettez-le maintenant.
