Un matin, un client m'appelle : sa page Facebook professionnelle venait d'être piratée, et le pirate proposait des cryptomonnaies à ses 4 000 abonnés. Le mot de passe ? Solide. Vingt-deux caractères, généré par son gestionnaire. Le problème, c'est qu'il avait été intercepté deux mois plus tôt sur un site tiers, et que le compte n'était protégé par rien d'autre. Une seule serrure sur une porte vitrée.
L'authentification à deux facteurs, ou 2FA, n'aurait rien changé à la fuite du mot de passe. Elle aurait juste rendu ce mot de passe inutile à celui qui l'a volé. Et c'est toute la différence entre constater les dégâts et les empêcher. C'est aussi ce que j'explique à chaque personne qui me dit « oui, mais ça me prend dix secondes de plus à chaque connexion ».
Points clés à retenir
- La double authentification ajoute une preuve d'identité que le pirate ne peut pas deviner, même s'il connaît votre mot de passe.
- Toutes les méthodes ne se valent pas : le code par SMS reste le maillon faible, l'application d'authentification et la clé physique sont nettement plus solides.
- Sans codes de secours enregistrés quelque part, un téléphone perdu peut vous verrouiller définitivement hors de vos comptes.
- Comptez cinq à dix minutes par service, et commencez par la messagerie : c'est elle qui permet de réinitialiser tout le reste.
- Un gestionnaire de mots de passe couplé à une application TOTP simplifie presque toute la procédure.
Authentification à deux facteurs : pourquoi cette couche change tout
Le principe tient en une phrase : pour entrer, il faut deux preuves de nature différente. Un mot de passe, c'est quelque chose que vous savez. Il peut fuir, s'oublier, se revendre sur un forum. La seconde preuve appartient à une autre catégorie, et c'est précisément ce qui la rend efficace.
Les trois familles de facteurs
On classe les facteurs en trois groupes. Un système vraiment robuste combine au moins deux de ces familles, jamais deux éléments de la même : deux mots de passe ne font pas une double authentification.
- Ce que vous savez : mot de passe, code PIN, phrase secrète.
- Ce que vous possédez : votre téléphone, une clé USB de sécurité, un jeton matériel.
- Ce que vous êtes : empreinte digitale, reconnaissance du visage, scan de l'iris.
Beaucoup de gens croient que leur banque applique déjà tout cela parce qu'elle demande un code à six chiffres reçu par message. Sauf que ce code relève de la deuxième famille... uniquement si le téléphone qui le reçoit est bien le vôtre et n'a pas été détourné. On y revient plus bas, parce que c'est là que se cache la vraie faille.
Ce que la 2FA ne protège pas
Voici une nuance que je vois rarement écrite noir sur blanc : la double authentification ne rend pas votre compte inviolable. Elle élimine le vol de mot de passe comme porte d'entrée. Elle ne vous défend pas contre un logiciel malveillant installé sur votre propre machine, ni contre une page de connexion falsifiée qui récupère votre mot de passe et votre code dans la foulée.
Sur mon propre poste, j'ai testé un jour une extension de navigateur un peu douteuse pour gagner du temps sur un projet. Deux heures plus tard, j'ai reçu une alerte de connexion depuis un pays où je n'ai jamais mis les pieds. La 2FA a bloqué la tentative. Elle n'a pas empêché le vol. C'est une distinction importante : elle réduit énormément la surface d'attaque, elle ne la supprime pas.
Comment activer la double authentification, étape par étape
La procédure est étonnamment similaire d'un service à l'autre. Une fois que vous avez compris le schéma, vous pouvez l'appliquer partout sans réfléchir. Comptez cinq minutes pour le premier compte, deux pour les suivants.
- Ouvrez les paramètres de sécurité de votre compte (souvent dans « Sécurité » ou « Connexion et sécurité »).
- Choisissez la méthode. Si on vous propose une application d'authentification, prenez-la plutôt que le SMS.
- Scannez le QR code affiché avec votre application, ou saisissez la clé manuelle.
- Recopiez le code à six chiffres généré pour confirmer que tout fonctionne.
- Enregistrez les codes de secours que le service vous affiche. Immédiatement. Pas « plus tard ».
Ce cinquième point, personne ne le fait. Et c'est l'erreur qui coûte le plus cher.
Comment activer la double authentification sur Gmail
Côté Google, la fonction s'appelle aujourd'hui la validation en deux étapes. Rendez-vous dans la sécurité de votre compte Google, activez l'option, puis choisissez votre second facteur. Google pousse fortement vers l'application Authenticator ou vers une simple confirmation sur votre téléphone, ce qui évite d'avoir à recopier un code.
Un détail que j'ai mis du temps à remarquer : Google permet de générer des codes de secours à usage unique. J'en imprime systématiquement dix et je les range dans un carnet papier à la maison. Pas dans une note du téléphone, pas dans un fichier cloud. Sur du papier. Un pirate ne peut pas lire un carnet depuis un autre continent.
Authentification à deux facteurs Facebook et réseaux sociaux
Sur Facebook, l'option vit dans « Sécurité et connexion ». Le réseau propose trois voies : l'application d'authentification, le SMS, et les clés de sécurité physiques. Je vous conseille vivement la première, et la troisième si vous gérez une page professionnelle.
J'ai vu trop de comptes d'entreprise tomber après un simple changement de numéro de téléphone mal géré. Le fameux SIM swapping : quelqu'un se fait passer pour vous auprès de l'opérateur, récupère votre numéro sur une nouvelle carte SIM, et reçoit dès lors tous vos codes par SMS. Cette attaque existe depuis des années et continue de fonctionner, tout simplement parce que les opérateurs ne vérifient pas toujours l'identité avec assez de rigueur. Si votre second facteur passe par SMS et que ce SMS arrive sur un numéro qu'on peut vous voler, vous n'avez pas vraiment de second facteur.
Comparer les méthodes : laquelle choisir vraiment
Toutes les secondes preuves ne se valent pas. Voici comment je les classe, du plus faible au plus solide, en fonction de ce qu'elles résistent réellement.
| Méthode | Résiste au vol de mot de passe | Résiste au SIM swapping | Effort quotidien |
|---|---|---|---|
| Code par SMS | Oui | Non | Faible |
| Code par e-mail | Partiellement | Oui | Faible |
| Application TOTP (authenticator) | Oui | Oui | Faible |
| Notification push à valider | Oui | Oui | Très faible |
| Clé physique (FIDO2/WebAuthn) | Oui | Oui | Quasi nul après installation |
Franchement, la clé physique reste la meilleure option, et je resterai sur cette position. Elle se branche, on touche le bouton, c'est fini. Aucun code à recopier, aucune interception possible, et une résistance quasi totale au hameçonnage : le site falsifié ne peut pas déclencher la signature cryptographique attendue, parce qu'il n'est pas le bon domaine. Le seul inconvénient, c'est qu'il faut la garder sur soi et en acheter une deuxième en secours.
Pour la majorité des gens, l'application TOTP est le bon compromis. Gratuite, disponible partout, elle génère un code qui change toutes les trente secondes et qui ne transite par aucun réseau de téléphonie.
Et si je perds mon téléphone ?
C'est LA question que tout le monde pose après avoir activé la double authentification, et la réponse tient dans la préparation. Trois filets de sécurité, dans cet ordre :
- Les codes de secours, imprimés et rangés hors ligne.
- Un deuxième appareil déjà configuré pour générer les mêmes codes.
- Le numéro de téléphone de secours enregistré dans le compte, à condition qu'il soit à vous.
J'ai moi-même perdu un téléphone en déplacement, il y a deux ans. J'avais mes codes de secours dans mon portefeuille. Récupération en huit minutes, montre en main. Un collègue à qui c'était arrivé sans codes a dû prouver son identité pendant onze jours auprès du support. Onze jours sans accès à sa boîte professionnelle. La leçon vaut ce qu'elle coûte.
Par où commencer quand on a quarante comptes
On ne bascule pas tout d'un coup. J'ai essayé, la première fois : j'ai activé la double authentification partout en une soirée, sans rien noter, et j'ai fini par verrouiller mon propre accès à un hébergeur que j'utilise pour un projet. Une heure de panique pour rien, mais une vraie leçon sur la méthode.
Mon ordre de priorité, celui que je recommande à tout le monde :
- Votre adresse e-mail principale. C'est la clé qui ouvre toutes les autres serrures via les réinitialisations de mot de passe.
- Votre gestionnaire de mots de passe, s'il en propose une.
- Les réseaux sociaux et les comptes liés à votre activité, là où une compromission a un coût public.
- Les services bancaires et financiers, en privilégiant les applications de vos banques plutôt que le SMS.
- Le reste, au fil de l'eau, quand vous recevez un rappel de connexion.
Cette dernière ligne est la plus importante : n'attendez pas d'avoir tout couvert pour commencer. Chaque compte protégé est un compte qui ne tombera pas.
La double authentification n'a rien de glamour. Elle ajoute une friction minuscule à chaque connexion, et en échange elle transforme un vol de mot de passe en non-événement. Le mot de passe volé du client de ce matin, je le répète, n'aurait mené nulle part. Ce n'est pas une question de technologie, c'est une question de choix : décider, maintenant, que la deuxième clé existe. La prochaine fuite de données vous concernera probablement sans que vous le sachiez. La seule question qui restera, ce jour-là, c'est si quelqu'un peut s'en servir.
