Un mot de passe volé ne suffit plus à pirater un compte correctement protégé — à condition d'avoir activé l'authentification à deux facteurs. Cette mesure de sécurité simple divise par dix le risque de compromission d'un compte. Ce guide explique comment fonctionne le 2FA, compare les méthodes disponibles (SMS, TOTP, clés matérielles), guide la configuration de Google Authenticator et Authy, et prépare à l'avenir des passkeys.
Qu'est-ce que le 2FA : le principe en clair
L'authentification à deux facteurs — abrégée 2FA, ou parfois MFA pour authentification multi-facteurs — est une méthode de vérification d'identité qui combine deux éléments de nature différente. Le concept repose sur une distinction fondamentale en sécurité informatique : les facteurs d'authentification se classent en trois catégories. Elle doit impérativement être combinée avec un gestionnaire de mots de passe pour une protection optimale des comptes.
Ce que vous savez : un mot de passe, un code PIN, la réponse à une question secrète. Ce que vous possédez : votre smartphone, une clé USB de sécurité, une carte à puce. Ce que vous êtes : votre empreinte digitale, votre visage, votre iris. Un système à deux facteurs combine obligatoirement deux de ces catégories — le plus souvent le premier et le deuxième, car la biométrie implique des problématiques spécifiques.
Pourquoi cette combinaison est-elle si efficace ? Parce qu'elle oblige l'attaquant à compromettre simultanément deux éléments indépendants. Voler un mot de passe est relativement aisé : phishing, fuite de base de données, logiciel espion. Voler aussi le téléphone physique d'une personne en même temps est exponentiellement plus difficile. Les attaques automatisées de credential stuffing — qui testent des millions de couples identifiant-mot de passe volés sur des centaines de services — sont totalement inefficaces contre un compte protégé par 2FA : elles n'ont pas accès au second facteur.
Microsoft a publié en 2019 une analyse de ses données de sécurité indiquant que le 2FA bloque 99,9 % des attaques automatisées sur les comptes. Ce n'est pas une protection absolue — des attaques sophistiquées comme le phishing en temps réel peuvent contourner certaines formes de 2FA — mais c'est une réduction du risque massique que peu d'autres mesures de sécurité peuvent égaler pour leur facilité de mise en place.
SMS vs TOTP vs clés matérielles : que choisir
Il existe plusieurs méthodes de 2FA avec des niveaux de sécurité et de praticité très différents. Comprendre leurs différences permet de choisir la méthode adaptée à chaque compte.
Le 2FA par SMS
Le 2FA par SMS envoie un code à six chiffres par message sur votre numéro de téléphone enregistré. C'est la méthode la plus répandue car elle ne nécessite aucune application supplémentaire. Sa faiblesse principale est le SIM swapping : une attaque où un fraudeur convainc votre opérateur téléphonique de transférer votre numéro vers une nouvelle SIM qu'il contrôle, en usurpant votre identité. Les codes SMS sont alors envoyés à l'attaquant. Cette technique a permis des vols de comptes crypto-monnaies de plusieurs millions d'euros et la compromission de comptes de personnalités publiques.
Une autre vulnérabilité, plus technique, est l'interception via les failles du protocole SS7, le réseau de signalisation utilisé par les opérateurs téléphoniques depuis les années 1970. Ces failles permettent théoriquement à des acteurs disposant d'accès aux équipements télécom d'intercepter des SMS. En pratique, ce type d'attaque reste rare pour les particuliers.
Malgré ces faiblesses, le 2FA par SMS reste beaucoup mieux que l'absence de 2FA. Il suffit à bloquer la quasi-totalité des attaques automatisées. Si c'est la seule option disponible sur un service, utilisez-la.
Le TOTP (Time-based One-Time Password)
Le TOTP est la méthode recommandée pour la grande majorité des cas. Il fonctionne sur le principe suivant : lors de la configuration, le service partage un secret cryptographique avec votre application d'authentification (via un QR code). Votre application utilise ce secret combiné à l'heure actuelle pour calculer un code à six chiffres qui change toutes les trente secondes. Le service fait le même calcul de son côté et vérifie que les codes correspondent.
L'avantage majeur : ce calcul se fait entièrement hors ligne. Votre application génère le bon code sans connexion réseau, sans SMS, et sans dépendance à un tiers. Un attaquant qui intercepterait le trafic réseau ne verrait rien d'utile. Le code est valide trente secondes seulement — le temps que dure la fenêtre de calcul — et ne peut pas être réutilisé.
Les clés de sécurité matérielles (FIDO2 / WebAuthn)
Les clés matérielles comme YubiKey ou les clés Google Titan sont des périphériques physiques qui implémentent le standard FIDO2. Elles offrent le niveau de protection le plus élevé disponible, notamment grâce à une propriété unique : la liaison au domaine. La clé vérifie cryptographiquement que le domaine du site où vous vous authentifiez correspond au domaine enregistré. Si un site de phishing tente de vous faire vous authentifier en imitant votre banque, la clé refuse — même si le site imite parfaitement l'interface réelle.
Configurer Google Authenticator et Authy
La mise en place d'une application TOTP est une procédure simple qui ne prend que quelques minutes par compte. Voici comment procéder.
Choisir son application
Google Authenticator (disponible sur Android et iOS) est l'application de référence, simple et sans fioriture. Elle stocke les secrets TOTP sur votre appareil et propose depuis 2023 une synchronisation optionnelle vers votre compte Google. Si vous activez cette synchronisation, vos codes sont récupérables sur un nouvel appareil connecté au même compte Google — pratique, mais cela signifie que la sécurité de votre Google account devient la protection de tous vos codes 2FA.
Authy (Twilio Authy, disponible sur Android, iOS, macOS, Windows) ajoute une sauvegarde chiffrée dans le cloud, protégée par un mot de passe de sauvegarde distinct. Vous pouvez l'utiliser sur plusieurs appareils simultanément, ce qui est utile si vous travaillez à la fois sur ordinateur et smartphone. L'application elle-même peut être protégée par PIN, empreinte digitale ou Face ID.
Pour les utilisateurs Android avancés, Aegis Authenticator est une alternative open source, entièrement locale (aucune synchronisation cloud), qui exporte et importe des sauvegardes chiffrées manuellement.
Ajouter un compte en pratique
Pour activer le 2FA sur un service, connectez-vous à votre compte et cherchez la section "Sécurité" ou "Authentification à deux facteurs" dans les paramètres. Choisissez l'option "Application d'authentification" (plutôt que SMS si les deux sont proposés). Le service affiche un QR code. Dans votre application TOTP, appuyez sur "+" ou "Ajouter un compte" et scannez ce QR code avec votre caméra. Un compte apparaît dans l'application avec un code à six chiffres qui tourne toutes les trente secondes. Saisissez ce code dans le formulaire de confirmation du service pour valider la configuration.
Note importante : lors de la configuration, certains services proposent aussi d'afficher la "clé secrète" sous forme textuelle (une série de lettres et chiffres). Notez cette clé secrète dans votre gestionnaire de mots de passe à côté des identifiants du compte — elle vous permettra de reconfigurer le TOTP sur un nouvel appareil sans avoir à contacter le support du service.
YubiKey et clés de sécurité physiques
Une YubiKey est un petit périphérique USB de la taille d'une clé de voiture (avec souvent un port USB-A et/ou USB-C selon le modèle). Certains modèles supportent aussi le NFC pour s'utiliser avec un smartphone en simple tapotement. Les prix vont de 25 euros pour une YubiKey Security Key à 60-70 euros pour une YubiKey 5 NFC multi-protocoles.
Son fonctionnement est simple : lors de la connexion à un service compatible, après avoir saisi votre mot de passe, le navigateur vous demande de toucher votre YubiKey branchée. La clé effectue une signature cryptographique qui prouve votre présence physique et l'authenticité du domaine. Aucun code à saisir, aucune application à ouvrir — la sécurité maximale avec la friction minimale une fois configurée.
Les services qui supportent les clés FIDO2 incluent aujourd'hui Google, Microsoft, Twitter/X, GitHub, Dropbox, Bitwarden, 1Password, les principales banques en ligne, et des centaines d'autres. La liste s'allonge chaque mois.
La recommandation pratique est d'en acheter deux et de les configurer ensemble sur vos comptes : une en usage quotidien, une en secours rangée en lieu sûr. Si vous perdez la première, la deuxième permet de récupérer l'accès et de reconfigurer. La gestion des situations de perte est la principale complexité des clés matérielles.
Les codes de secours : une étape que personne ne fait
Lors de l'activation du 2FA sur la plupart des services, une étape est proposée — et souvent ignorée par manque de temps ou incompréhension — : les codes de secours (recovery codes). Ce sont typiquement dix codes uniques à usage unique, de la forme "7f3k-9m2p", qui permettent de se connecter à un compte même sans accès au second facteur habituel.
Ces codes sont votre filet de sécurité si vous perdez votre téléphone, si vous changez de numéro, si votre application TOTP est corrompue, ou si votre YubiKey est perdue. Sans eux, une perte de téléphone peut signifier un processus de récupération fastidieux (preuve d'identité, délais, parfois impossibilité de récupérer le compte).
La procédure correcte est simple : lors de la présentation des codes de secours, copiez-les dans votre gestionnaire de mots de passe, dans la même entrée que les identifiants du service concerné. Vous pouvez aussi les imprimer et les ranger dans un endroit sécurisé physiquement (même endroit que vos documents importants). Ne les stockez jamais dans un fichier texte non protégé sur votre ordinateur, et jamais dans le même endroit que votre téléphone.
Si vous avez déjà activé le 2FA sur des services sans avoir sauvegardé les codes, reconnectez-vous aux paramètres de sécurité de chaque service — la plupart permettent de régénérer ou de visualiser les codes de secours.
Quels comptes protéger en priorité
Activer le 2FA sur l'ensemble de ses comptes est l'objectif final, mais la migration prend du temps. Il est utile de prioriser selon l'impact d'une compromission.
Priorité absolue — protéger immédiatement :
- Email principal : c'est la clé de tout. Qui contrôle votre email peut réinitialiser les mots de passe de tous vos autres comptes. Gmail, Outlook, ProtonMail — activez le 2FA maintenant si ce n'est pas déjà fait.
- Gestionnaire de mots de passe : s'il est compromis, tous vos autres mots de passe sont exposés. Utilisez une application TOTP ou une clé matérielle, jamais SMS.
- Banques et services financiers : la plupart imposent déjà un 2FA obligatoire, mais vérifiez que c'est bien activé et que vous avez les codes de secours.
Priorité haute — protéger dans la semaine :
- Apple ID / Google Account
- Réseaux sociaux principaux (Facebook, Instagram, LinkedIn) — souvent utilisés pour l'authentification tierce sur d'autres sites
- Services cloud (Dropbox, Google Drive, OneDrive)
À protéger progressivement :
- Services de streaming, e-commerce, forums et plateformes diverses
Pour les forums et communautés en ligne, l'activation du 2FA est une protection particulièrement importante car ces comptes sont souvent ciblés pour des campagnes de spam ou de désinformation. Des forums comme ceux référencés sur annu-forums.fr rappellent régulièrement l'importance de sécuriser les comptes de leurs membres.
Les erreurs courantes à éviter
Même avec les meilleures intentions, certaines erreurs reviennent fréquemment et peuvent réduire l'efficacité du 2FA ou créer des situations de blocage.
Ne pas sauvegarder les secrets TOTP
Lors du scan du QR code pour configurer un compte TOTP, le QR code encode un secret unique. Si vous perdez votre téléphone sans sauvegarde, ce secret est perdu et il faut reconfigurer le 2FA sur chaque service. Photographiez le QR code ou notez la clé secrète textuelle dans votre gestionnaire de mots de passe. Authy le fait automatiquement via sa sauvegarde cloud.
Utiliser le même appareil pour le mot de passe et le 2FA
Si vous stockez votre mot de passe et votre code 2FA sur le même appareil (par exemple, un mot de passe enregistré dans Chrome sur votre téléphone et l'application 2FA sur le même téléphone), un attaquant qui vole votre téléphone déverrouillé a accès aux deux facteurs. Pour les comptes les plus sensibles, gardez le mot de passe dans un gestionnaire sur votre ordinateur et le 2FA sur votre téléphone — deux appareils distincts.
Ne pas tester la récupération avant d'en avoir besoin
Configurez le 2FA, sauvegardez les codes de secours, puis simulez une récupération : déconnectez-vous du compte, et essayez de vous reconnecter en utilisant un code de secours plutôt que votre application TOTP. Cette simulation de quinze minutes peut vous épargner des heures de stress lors d'une vraie perte de téléphone.
Répondre à des demandes de codes via email ou téléphone
Votre banque ou n'importe quel service ne vous demandera jamais de lire un code 2FA à voix haute au téléphone, ni de le saisir sur un site que vous n'avez pas visité de votre propre initiative. Si quelqu'un vous demande un code 2FA, c'est une tentative de phishing ou de vishing — raccrochez et vérifiez en accédant directement au site officiel.
Les passkeys : le futur de l'authentification
Les passkeys représentent la prochaine évolution de l'authentification, soutenue par l'alliance FIDO et implémentée par Apple, Google et Microsoft. Elles sont conçues pour remplacer à terme les mots de passe et le 2FA par un mécanisme unique plus sécurisé et plus simple.
Le principe technique est élégant : lors de la création d'un compte ou de l'activation des passkeys, votre appareil génère une paire de clés cryptographiques. La clé privée reste sur votre appareil, protégée par votre biométrie (empreinte digitale ou Face ID) ou votre code PIN. La clé publique est enregistrée chez le service. Pour vous authentifier, votre appareil signe un défi cryptographique avec la clé privée — prouvant votre identité sans jamais envoyer de secret sur le réseau.
Les passkeys sont résistantes au phishing par construction : la clé est liée au domaine exact du service, et ne peut pas être utilisée sur un site imitateur. Elles n'ont pas de mot de passe à voler ni de code à intercepter. En cas de fuite de base de données côté serveur, seule la clé publique est exposée — inutilisable sans la clé privée sur votre appareil.
En 2026, les passkeys sont déjà disponibles sur Google, Apple ID, Microsoft, GitHub, PayPal, Shopify, et des centaines d'autres services. Les navigateurs modernes (Chrome, Safari, Firefox, Edge) les supportent nativement. La synchronisation entre appareils Apple fonctionne via iCloud Keychain, et entre appareils Android via Google Password Manager.
La transition vers les passkeys sera progressive. Pendant encore plusieurs années, de nombreux services ne les supporteront pas, et le 2FA classique restera nécessaire. La stratégie pragmatique est d'activer les passkeys quand elles sont disponibles sur les services que vous utilisez, tout en maintenant une application TOTP comme Authy pour les services qui ne les supportent pas encore.
L'authentification forte n'est pas réservée aux experts en informatique. Activer le 2FA sur votre email et votre gestionnaire de mots de passe prend moins de dix minutes et divise radicalement votre risque de piratage. Si vous n'avez pas encore de gestionnaire de mots de passe, notre guide complet sur les mots de passe et l'authentification vous explique comment en choisir un et l'intégrer dans votre hygiène numérique. Commencez par ces deux comptes aujourd'hui, puis étendez progressivement à vos autres services critiques.