Guide de configuration de l'authentification à deux facteurs : protégez vos comptes

Les mots de passe seuls ne suffisent pas. Même un mot de passe fort et unique peut être compromis par le phishing, les fuites de données ou les logiciels malveillants. L'authentification à deux facteurs (2FA) ajoute une étape de vérification supplémentaire qui rend la prise de contrôle d'un compte considérablement plus difficile. Ce guide couvre tout ce qu'il faut pour la configurer correctement.

Qu'est-ce que la 2FA ?

L'authentification à deux facteurs nécessite deux types de preuves différents pour vérifier votre identité :

Quelque chose que vous connaissez : Mot de passe
Quelque chose que vous possédez : Téléphone, clé de sécurité ou application d'authentification
Quelque chose que vous êtes : Empreinte digitale, reconnaissance faciale

La 2FA standard combine un mot de passe (facteur 1) avec un code de votre téléphone ou une clé de sécurité (facteur 2). Même si un attaquant vole votre mot de passe, il ne peut pas accéder à votre compte sans le second facteur.

Types de 2FA

TOTP (Time-Based One-Time Password) — Recommandé

Une application d'authentification génère un nouveau code à 6 chiffres toutes les 30 secondes :

Code: 847 293 (expires in 18 seconds)

Comment ça fonctionne : Lors de la configuration, le service partage une clé secrète avec votre application d'authentification (généralement via QR code). Le service et votre application utilisent cette clé plus l'heure actuelle pour générer indépendamment le même code.

Applications : Google Authenticator, Authy, Microsoft Authenticator, 1Password, Bitwarden.

Avantages : Fonctionne hors ligne, pas besoin de numéro de téléphone, résistant au SIM swapping. Inconvénients : Perdre votre téléphone signifie perdre l'accès (sans codes de secours).

Clés de sécurité (WebAuthn/FIDO2) — Le plus sécurisé

Des dispositifs matériels physiques qui authentifient via USB, NFC ou Bluetooth :

Marques : YubiKey, Google Titan, SoloKeys.

Avantages : Résistant au phishing (lié à des domaines spécifiques), pas de code à saisir, fonctionne instantanément. Inconvénients : Dispositif physique à transporter, coûte de l'argent, options de récupération limitées en cas de perte.

Codes SMS — À éviter si possible

Un message texte avec un code de vérification :

Avantages : Pas d'application nécessaire, simple à configurer. Inconvénients : Vulnérable au SIM swapping (l'attaquant convainc l'opérateur de transférer votre numéro), interception SMS, nécessite un réseau mobile.

Recommandation : Utilisez la 2FA par SMS uniquement si le TOTP ou les clés de sécurité ne sont pas disponibles. C'est tout de même nettement mieux que pas de 2FA du tout.

Notifications push

Le service envoie une invitation sur une application de votre téléphone — appuyez sur « Approuver » pour vous authentifier.

Avantages : Pratique, affiche le contexte de connexion (localisation, appareil). Inconvénients : Vulnérable aux attaques de « fatigue de push » (l'attaquant déclenche de nombreuses invitations jusqu'à ce que l'utilisateur approuve accidentellement).

Configurer le TOTP

Étape 1 : Installer une application d'authentification

Choisissez une application qui prend en charge la sauvegarde/synchronisation :

Authy : Sauvegarde cloud, synchronisation multi-appareils
1Password / Bitwarden : Intégré au gestionnaire de mots de passe
Google Authenticator : Simple, prend désormais en charge la sauvegarde cloud

Étape 2 : Activer la 2FA sur votre compte

La plupart des services : Paramètres → Sécurité → Authentification à deux facteurs → Activer.

Étape 3 : Scanner le QR code

Le service affiche un QR code. Scannez-le avec votre application d'authentification. L'application commence à générer des codes.

Étape 4 : Saisir le code de vérification

Entrez le code à 6 chiffres actuel pour confirmer la configuration.

Étape 5 : Sauvegarder les codes de secours

C'est l'étape la plus critique. Le service fournit 8 à 10 codes de secours à usage unique. Ce sont votre méthode de récupération si vous perdez votre appareil d'authentification.

Stockez les codes de secours dans :

Votre gestionnaire de mots de passe (chiffré)
Une copie imprimée dans un lieu sécurisé (coffre-fort, coffre de banque)
Jamais dans un fichier texte non chiffré ou un e-mail

Comptes prioritaires pour la 2FA

Activez la 2FA sur ces comptes en premier (par ordre d'impact en cas de compromission) :

E-mail — La réinitialisation du mot de passe de tous les autres comptes passe par l'e-mail
Gestionnaire de mots de passe — Contient tous vos identifiants
Finance — Comptes bancaires, investissements, crypto-monnaies
Stockage cloud — Google Drive, Dropbox, iCloud
Réseaux sociaux — Peuvent être utilisés pour l'ingénierie sociale
Comptes développeur — GitHub, npm, AWS, registraires de domaines
Achats — Amazon, services de paiement (cartes de crédit enregistrées)

Stratégies de récupération

Si vous perdez votre téléphone

Utilisez un code de secours sauvegardé pour vous connecter
Transférez l'authentificateur vers un nouvel appareil (Authy se synchronise automatiquement)
Contactez le support avec vérification d'identité (dernier recours)

Bonnes pratiques de sauvegarde

Stockez les secrets TOTP : Certaines applications vous permettent d'exporter les QR codes ou les clés secrètes. Sauvegardez-les de manière sécurisée.
Enregistrez plusieurs clés de sécurité : Si vous utilisez des clés matérielles, enregistrez-en au moins deux. Gardez-en une en sauvegarde.
Imprimez les codes de secours : Les copies physiques survivent aux pannes d'appareils.
Testez la récupération : Vérifiez périodiquement que votre méthode de sauvegarde fonctionne réellement.

Erreurs courantes

Ne pas sauvegarder les codes de secours : La cause la plus fréquente de verrouillage 2FA
Utiliser uniquement les SMS : Vulnérable au SIM swapping — utilisez le TOTP à la place
Même authentificateur et gestionnaire de mots de passe sur le même appareil : Si l'appareil est compromis, les deux facteurs le sont aussi
Ne pas activer la 2FA sur l'e-mail : Votre e-mail est le mécanisme de récupération pour tout le reste
Approuver les notifications push sans vérifier le contexte : Vérifiez toujours la localisation et l'appareil de connexion avant d'approuver

Pour générer des mots de passe forts en complément de votre configuration 2FA, utilisez notre Générateur de mots de passe.

FAQ

La 2FA peut-elle être contournée ?

Le TOTP peut être contourné par des attaques de phishing en temps réel (l'attaquant relaie le code avant son expiration) ou des logiciels malveillants sur l'appareil. Les clés de sécurité (WebAuthn) résistent au phishing car elles vérifient le domaine du site web. Aucune méthode de 2FA n'est infaillible à 100 %, mais toutes les méthodes réduisent considérablement le taux de réussite des attaques.

Dois-je utiliser le TOTP intégré de mon gestionnaire de mots de passe ?

Stocker les codes TOTP dans votre gestionnaire de mots de passe est pratique mais met les deux facteurs au même endroit. Pour la plupart des gens, la commodité vaut le compromis — un gestionnaire de mots de passe avec 2FA est bien plus sécurisé que des comptes sans 2FA. Pour les comptes à haute valeur, envisagez une application d'authentification séparée ou une clé de sécurité matérielle.

Ressources associées

Générateur de mots de passe — Générez des mots de passe forts
L'entropie des mots de passe expliquée — Comprendre la robustesse des mots de passe
Guide des outils de confidentialité en ligne — Protection complète de la confidentialité