Authentification à deux facteurs expliquée simplement : comment ça marche

L'authentification à deux facteurs expliquée simplement (et pourquoi elle ne sauve pas toujours la mise)

La question qu'on me pose le plus souvent quand j'aide quelqu'un à sécuriser ses comptes, ce n'est pas « comment ça marche » mais « pourquoi on me demande encore un code alors que j'ai déjà un mot de passe super long ». Bonne question. Et la réponse tient en une phrase : un mot de passe, même excellent, protège un seul verrou. L'authentification à deux facteurs en ajoute un second, placé ailleurs. Si le premier tombe, le deuxième tient encore.

Sauf que ce deuxième verrou a ses failles, et personne n'en parle vraiment. J'y viens plus bas, parce que c'est là que ça devient intéressant.

Comment fonctionne concrètement l'authentification à deux facteurs

Il y a quelques années, j'ai regardé un ami se faire vider son compte de messagerie en direct, pendant qu'il regardait l'écran. Son mot de passe était correct. C'est juste qu'il l'avait réutilisé sur un forum obscur qui s'était fait pirater six mois plus tôt. Le pirate a essayé le même couple identifiant/mot de passe ailleurs, et c'est passé. Porte ouverte. Un second facteur aurait tout bloqué à cette étape précise.

Le principe est bête comme chou. Une authentification classique vérifie une seule chose : ce que vous savez (le mot de passe). Le 2FA exige une deuxième preuve, d'une catégorie différente. Sinon ce n'est pas du 2FA, juste deux mots de passe, ce qui n'apporte rien.

Les trois familles de facteurs

On les résume souvent par ces trois catégories :

• Ce que vous savez : mot de passe, code PIN, réponse à une question secrète.
• Ce que vous possédez : votre téléphone, une clé USB de sécurité, un jeton générant des codes.
• Ce que vous êtes : empreinte digitale, reconnaissance faciale, scan de l'iris.

Le retrait au distributeur bancaire est l'exemple qu'on donne partout, et il est bon : la carte (possession) plus le code (connaissance). Deux facteurs, deux natures. Facile à retenir.

Pourquoi il faut deux facteurs de natures différentes

C'est le point que les gens ratent. Si votre deuxième preuve est un code envoyé par SMS sur un téléphone dont l'accès est lui-même protégé par… le même mot de passe, vous avez construit un château de cartes. La solidité vient de la diversité des preuves, pas de leur nombre.

Un mot de passe volé lors d'une fuite de données ne donne pas accès à votre téléphone. Une carte bancaire volée ne donne pas le code PIN. C'est cette séparation qui fait tenir l'ensemble.

SMS, application, clé physique : ce qui protège vraiment

Franchement, toutes les méthodes de double authentification ne se valent pas. J'ai mis du temps à le comprendre, et j'ai longtemps conseillé le SMS par facilité. Erreur. Voici comment je classe aujourd'hui, du plus faible au plus solide.

Méthode	Niveau de sécurité	Point faible principal	Effort de mise en place
SMS	Faible	Interception, usurpation de carte SIM, opérateur compromis	Quasi nul
Application d'authentification	Bon	Code généré localement, mais sensible au hameçonnage en direct	Modéré
Clé de sécurité physique	Excellent	Le facteur est lié à l'adresse du site : le hameçonnage ne fonctionne pas	Élevé, il faut garder la clé sur soi
Notification push à valider	Correct	Attaques par fatigue de notification si l'utilisateur clique sans réfléchir	Faible

Pourquoi le SMS est déconseillé

Le code par SMS voyage sur le réseau téléphonique, et ce trajet a des trous connus : un attaquant qui obtient une carte SIM à votre nom (technique de l'usurpation de SIM) reçoit vos codes à votre place. Le procédé reste rare, mais il existe et il se pratique.

Autre souci, plus courant : si vous êtes à l'étranger sans réseau ou que votre téléphone est déchargé, vous ne recevez rien. Le SMS dépanne, il ne protège pas sérieusement. Mon conseil tient en une ligne : gardez-le comme secours, jamais comme méthode principale.

L'application d'authentification, un bon compromis

Une application de type 2FA Authenticator, gratuite pour la plupart, génère un code à six chiffres qui change toutes les trente secondes, directement sur votre téléphone, sans passer par le réseau mobile. C'est nettement mieux que le SMS, et ça ne coûte rien.

J'utilise la même application depuis des années pour une bonne vingtaine de comptes. Le seul vrai risque : le hameçonnage. Si vous tapez votre code sur un faux site, le fraudeur le réutilise immédiatement, dans la fenêtre des trente secondes. Le code est bon, le site ne l'est pas.

Configurer l'authentification à deux facteurs, étape par étape

La procédure est quasiment identique partout, même si le nom change selon les services : « validation en deux étapes » chez Google, « authentification à deux facteurs » chez Facebook, « double facteur d'authentification » ailleurs. Cherchez dans les paramètres de sécurité du compte, vous tomberez dessus.

1. Ouvrez les réglages de sécurité de votre compte et cherchez la section dédiée à la vérification en deux étapes.
2. Choisissez votre méthode : application d'authentification de préférence, SMS en repli.
3. Scannez le QR code affiché avec votre application.
4. Saisissez le code à six chiffres généré pour confirmer la liaison.
5. Notez les codes de secours quelque part de sûr. C'est l'étape que tout le monde saute, et c'est toujours celle qui manque le jour où ça compte.

Comptez deux minutes. Sur Facebook comme sur Google, le cheminement est le même. Et pourtant, la majorité des comptes que je croise n'ont rien activé du tout. Pas par ignorance, souvent par peur de se verrouiller dehors. Ce qui nous amène à la vraie question.

Comment retrouver son code d'authentification à double facteur ?

Réponse directe : vous ne « retrouvez » pas le code, vous régénérez un accès par un autre moyen. Un code à usage unique expire en quelques secondes, il n'y a rien à récupérer. Ce qu'on récupère, c'est la capacité de se connecter. Trois voies existent, et il faut les connaître avant d'en avoir besoin.

Les codes de secours, votre filet de sécurité

C'est la solution la plus simple, et la plus souvent oubliée. Quand vous activez le 2FA, le service vous propose une liste de codes à usage unique, chacun utilisable une seule fois. Imprimez-les, rangez-les dans un endroit physique sûr, ou stockez-les dans un gestionnaire de mots de passe. Personne ne le fait. Moi non plus, au début.

Réinitialiser l'accès quand vous n'avez plus rien

Si vous avez changé de téléphone sans transférer l'application, ou perdu vos codes de secours, la réinitialisation reste possible. La plupart des grands services passent par une vérification d'identité : une adresse de récupération, un numéro de secours, ou une procédure de validation par le support qui prend plusieurs jours.

Chez un opérateur de paris sportifs ou un site de jeux, cette procédure traîne encore plus, parfois une semaine, avec pièce d'identité exigée. Je l'ai vu sur un compte bloqué pendant six jours. Moralité : ne perdez jamais l'accès à la méthode secondaire, même si elle vous semble inutile.

Ce que le 2FA ne protège pas

Avouons-le, on présente le 2FA comme une armure. Ce n'est pas faux, mais l'armure a des fentes, et les attaquants visent les fentes.

Le hameçonnage de code à usage unique

C'est l'attaque la plus simple et la plus efficace aujourd'hui. Vous recevez un message crédible, vous cliquez, vous atterrissez sur une copie exacte du site légitime, vous tapez identifiant, mot de passe, puis le code à six chiffres. Le fraudeur, en temps réel, l'utilise avant vous. Votre 2FA n'a servi à rien.

La seule parade réellement fiable contre ça, c'est la clé de sécurité physique. Elle est liée à l'adresse exacte du site : si vous la branchez sur un faux site, elle refuse de fonctionner. C'est pour cette raison que je la considère comme la meilleure option disponible, et je le défendrai.

L'attaque par fatigue de notification

Le principe : l'attaquant a déjà votre mot de passe et déclenche des dizaines de demandes de validation sur votre téléphone, à toute heure. Objectif, que vous finissiez par approuver une notification par agacement. Ça s'appelle l'attaque par fatigue, et ça fonctionne sur des gens épuisés un dimanche soir. La règle est simple : une demande de connexion que vous n'avez pas déclenchée se refuse, toujours, sans exception.

Et si mon téléphone est volé avec l'application dessus ?

L'application seule ne suffit pas à vous piéger si votre téléphone est verrouillé par un code ou une biométrie. Le voleur doit franchir ce verrou avant d'atteindre le générateur de codes. D'où l'intérêt d'un verrouillage d'écran solide : il devient un facteur à part entière. Activez aussi le suivi à distance pour effacer l'appareil à distance en cas de perte.

Un dernier verrou ne remplace pas la clé

L'authentification à deux facteurs n'est pas une baguette magique, c'est un deuxième verrou posé sur une porte dont la serrure principale peut être vieille. Elle transforme un piratage trivial en attaque coûteuse pour l'attaquant, et c'est déjà énorme. Mais elle repose sur une chaîne, et la chaîne cède toujours à son maillon le plus faible : un code SMS intercepté, un clic pressé trop vite, une liste de secours perdue au fond d'un tiroir.

Alors voilà ce que je vous propose. Ce soir, prenez cinq minutes. Activez le 2FA sur votre boîte mail principale, choisissez l'application plutôt que le SMS, et notez les codes de secours quelque part de sûr, ailleurs que dans le compte concerné. Cinq minutes, une fois. Et vérifiez, une fois par an, que votre deuxième méthode fonctionne encore sur votre nouveau téléphone. C'est cette vérification-là que je vois le plus souvent manquer, et c'est celle qui vous verrouille dehors quand tout le reste tient.

Le pire scénario, ce n'est pas de se faire pirater. C'est de passer six jours bloqué hors de ses propres comptes pour une étape qu'on a négligée deux minutes.