Numérique · Internet et sécurité
Double authentification (2FA)
La double authentification exige, en plus du mot de passe, une seconde preuve : un code sur son téléphone, une validation dans une application ou une clé physique. Elle bloque la grande majorité des piratages de comptes.
Mis à jour le 4 min de lecture
Un mot de passe peut être deviné, volé par phishing, ou divulgué lors de la fuite de données d’un site. Avec la double authentification (two-factor authentication, 2FA), ce mot de passe ne suffit plus : le pirate doit aussi disposer d’un second élément, en général votre téléphone. C’est l’une des protections les plus efficaces et les plus simples à mettre en place, recommandée par la CNIL, l’ANSSI et cybermalveillance.gouv.fr.
Deux mots de passe ne font pas une double authentification : il s’agit deux fois de la même catégorie.
Les méthodes, de la moins à la plus sûre
| Méthode | Fonctionnement | Sécurité | Remarques |
|---|---|---|---|
| Code par SMS | Un code à usage unique est envoyé par SMS | Correcte | Vulnérable au détournement de numéro (SIM swapping) et au phishing en temps réel ; bien mieux que rien |
| Code par e-mail | Un code est envoyé dans la boîte mail | Variable | Ne vaut que si la messagerie est elle-même très protégée |
| Application d’authentification | Une application génère un code à 6 chiffres qui change toutes les 30 secondes (TOTP) | Bonne | Fonctionne sans réseau ; nombreuses applications gratuites, dont certaines libres |
| Notification à valider | L’application du service demande « Est-ce bien vous ? » | Bonne | Attention à la « fatigue MFA » : ne jamais valider une demande qu’on n’a pas initiée |
| Clé de sécurité physique (FIDO2/U2F) | Une petite clé USB ou NFC à brancher ou approcher | Très élevée | Résiste au phishing : la clé vérifie l’adresse du site |
| Clé d’accès (passkey) | Une clé cryptographique stockée sur l’appareil, déverrouillée par empreinte, visage ou code | Très élevée | Remplace le mot de passe, résiste au phishing |
Les clés d’accès (passkeys) sont présentées plus en détail dans mots de passe sécurisés.
Quels comptes protéger en priorité
- La messagerie électronique principale : elle permet de réinitialiser tous les autres mots de passe. C’est le compte le plus important.
- Le gestionnaire de mots de passe et le compte du téléphone (Apple, Google, Microsoft).
- Les réseaux sociaux et messageries (WhatsApp : code PIN de vérification en deux étapes).
- Les sites marchands enregistrant une carte bancaire, les comptes de stockage en ligne, les comptes professionnels.
Les banques appliquent déjà une authentification forte pour les paiements en ligne et l’accès aux comptes, imposée par la directive européenne sur les services de paiement (DSP2). Les services publics français passent par FranceConnect, qui s’appuie sur des comptes eux-mêmes protégés (voir identité numérique).
Activer la double authentification
Le chemin varie selon les services, mais on la trouve presque toujours dans Paramètres > Sécurité ou Connexion et sécurité, sous les noms « validation en deux étapes », « authentification à deux facteurs » ou « 2FA ».
- Choisir la méthode : de préférence une application d’authentification, une clé d’accès ou une clé physique.
- Pour une application : scanner le QR code affiché par le site, puis saisir le premier code généré.
- Enregistrer les codes de secours proposés et les conserver hors ligne (imprimés, ou dans le gestionnaire de mots de passe).
- Ajouter si possible une seconde méthode de secours (deuxième clé, numéro de téléphone).
Les limites
- Le phishing en temps réel : un faux site relaie aussitôt le mot de passe et le code au vrai site. Seules les clés physiques et les clés d’accès y résistent réellement.
- La perte du téléphone : sans codes de secours ni seconde méthode, la récupération du compte peut prendre des jours. D’où l’importance de préparer ces solutions à l’avance.
- Le détournement de ligne (SIM swapping) : un escroc convainc l’opérateur de transférer votre numéro sur sa carte SIM. Une perte soudaine de réseau mobile doit alerter.
Questions fréquentes
La double authentification est-elle vraiment utile si mon mot de passe est solide ?
Oui. Un mot de passe solide peut tout de même être volé lors d’une fuite de données ou par phishing. La seconde preuve empêche alors l’accès.
Que faire si je change de téléphone ?
Avant de réinitialiser l’ancien, transférer les comptes de l’application d’authentification (la plupart proposent une exportation ou une sauvegarde chiffrée), ou désactiver puis réactiver la 2FA sur chaque service avec le nouveau téléphone.
Faut-il la double authentification sur tous ses comptes ?
L’idéal est de l’activer partout où elle est proposée, en commençant par la messagerie, les comptes financiers et les réseaux sociaux.