Double authentification (2FA) : l’activer partout, simplement
Imaginez que votre mot de passe fuite demain — via un site piraté, un phishing réussi ou un simple regard par-dessus votre épaule. Avec la double authentification (2FA, ou validation en deux étapes), ce mot de passe seul ne suffit plus : il faut aussi un second élément que vous seul possédez, généralement votre téléphone. Pour un attaquant à distance, c'est le plus souvent la fin de la partie.
C'est, de très loin, le réglage au meilleur rapport protection/effort qui existe : quelques minutes d'activation pour neutraliser l'écrasante majorité des piratages de comptes automatisés. Voici comment ça fonctionne, quelle méthode choisir — elles ne se valent pas — et par quels comptes commencer.
Le principe : deux preuves valent mieux qu’une
S'authentifier, c'est prouver son identité. Un mot de passe est une preuve par la connaissance (« ce que je sais ») ; la double authentification y ajoute une preuve par la possession (« ce que j'ai » : votre téléphone, une clé physique) ou par la biométrie (« ce que je suis »). Un attaquant devrait compromettre les deux à la fois, ce qui change radicalement la difficulté.
Concrètement, après avoir saisi votre mot de passe, le service demande une seconde validation : un code à six chiffres, une notification à approuver, ou le déverrouillage d'une clé. La plupart des services ne la demandent pas à chaque connexion, seulement depuis un nouvel appareil ou pour une action sensible — la gêne au quotidien est minime.
Les méthodes, de la moins sûre à la plus sûre
Le code par SMS est la méthode la plus répandue et la moins robuste : il est vulnérable au « SIM swapping » (un fraudeur convainc votre opérateur de transférer votre ligne) et au phishing en temps réel. Il reste néanmoins infiniment préférable à rien — si un service ne propose que le SMS, activez-le.
L'application d'authentification (Google Authenticator, Microsoft Authenticator, 2FAS, Aegis…) génère des codes temporaires à six chiffres directement sur votre téléphone, sans réseau. Rien ne transite par SMS, rien à intercepter côté opérateur : c'est le bon choix par défaut pour la plupart des gens.
Au sommet, les clés de sécurité physiques (YubiKey…) et les passkeys sont résistantes au phishing par conception : la validation est cryptographiquement liée au vrai domaine du service, si bien qu'un faux site ne peut rien en obtenir — là où un code à six chiffres peut, lui, être saisi par la victime sur une page frauduleuse qui le rejoue immédiatement. Pour un compte critique ou public, c'est l'option à viser.
Par quels comptes commencer
Tout protéger d'un coup est décourageant ; procédez par ordre d'impact. En premier : votre boîte e-mail principale, car elle reçoit les liens de réinitialisation de tous vos autres comptes — qui la contrôle contrôle tout. Ensuite : la banque et les services de paiement (PayPal…), puis votre gestionnaire de mots de passe et votre compte Apple/Google, qui donnent accès à vos appareils et sauvegardes.
Viennent ensuite les réseaux sociaux (une usurpation nuit aussi à vos proches, démarchés en votre nom), les sites marchands qui stockent votre carte bancaire et, si vous avez un site web, votre hébergeur, votre registrar et l'administration du site (un compte WordPress admin piraté, c'est tout le site compromis). L'option se trouve presque toujours dans les réglages sous « Sécurité », « Validation en deux étapes » ou « 2FA ».
Les codes de secours : à ne pas négliger
La crainte classique — « et si je perds mon téléphone ? » — a une réponse prévue : au moment de l'activation, chaque service vous remet des codes de récupération à usage unique. Conservez-les précieusement, dans votre gestionnaire de mots de passe ou imprimés en lieu sûr ; ils vous permettront de récupérer l'accès même sans téléphone.
Autres filets de sécurité : la plupart des applications d'authentification proposent une sauvegarde chiffrée de vos codes (restaurée en cas de changement de téléphone), et vous pouvez enregistrer deux méthodes sur les comptes critiques — par exemple une application plus une clé physique. Anticiper la perte du téléphone prend cinq minutes ; la subir sans préparation peut coûter des semaines de récupération de comptes.
Les limites à connaître
La 2FA n'est pas une immunité totale. Le phishing en temps réel — une fausse page qui vous fait saisir mot de passe puis code, rejoués instantanément sur le vrai site — contourne les codes SMS et TOTP ; seules les passkeys et clés physiques y résistent structurellement. Autre technique : la fatigue MFA, où l'attaquant déclenche des notifications en rafale en espérant une approbation lassée. Règle simple : ne validez jamais une demande de connexion que vous n'avez pas initiée vous-même.
Enfin, la 2FA protège votre compte, pas votre vigilance : elle n'empêche ni un paiement sur un site frauduleux ni la saisie d'informations sur une fausse page. Elle est un maillon — essentiel — d'un ensemble : mot de passe unique, méfiance face aux liens, et appareils à jour.
[ FAQ // QUESTIONS FRÉQUENTES ]
▸Que se passe-t-il si je perds mon téléphone ?
Vous utilisez les codes de récupération remis à l'activation (d'où l'importance de les conserver), la sauvegarde chiffrée de votre application d'authentification, ou une seconde méthode enregistrée. En dernier recours, chaque service propose une procédure de récupération d'identité — plus lente, volontairement. Préparez ces filets avant d'en avoir besoin.
▸La 2FA par SMS vaut-elle quand même la peine ?
Oui. Le SMS est la méthode la plus faible (SIM swapping, interception, phishing en temps réel), mais il bloque déjà l'immense majorité des attaques automatisées qui ne testent que des mots de passe volés. Activez le SMS si c'est la seule option, et passez à une application d'authentification dès que le service le permet.
▸Application d’authentification ou passkey : que choisir ?
Si le service propose les passkeys, prenez-les : connexion plus simple (un déverrouillage du téléphone) et résistance au phishing par conception. L'application d'authentification reste l'excellent choix par défaut partout ailleurs. Les deux peuvent cohabiter : beaucoup de comptes acceptent plusieurs méthodes, ce qui sert aussi de secours.
▸C’est contraignant au quotidien, non ?
Beaucoup moins qu'on l'imagine : la validation n'est généralement demandée que lors d'une connexion depuis un nouvel appareil ou pour une opération sensible, pas à chaque visite. Quelques secondes de temps en temps, contre des semaines de démarches si un compte e-mail ou bancaire est piraté — le calcul est vite fait.
[ PASSEZ À L’ACTION ]
Votre site est-il concerné ?
Lancez un audit de surface gratuit et obtenez en quelques secondes la liste exacte de vos failles, avec le correctif pour chacune. Anonyme, sans inscription.
▶ Auditer mon site[ À LIRE AUSSI ]
[ CheckCyber // MIS À JOUR LE 2026-07-17 ]