Application d'authentification, SMS ou clés d'accès : quelle méthode 2FA choisir ?

L'authentification à deux facteurs n'est pas une seule et même chose. Un SMS à six chiffres, un code dans une application d'authentification, une notification « Est-ce bien vous ? » et une clé d'accès comptent tous comme second facteur, mais ils ne vous protègent pas du tout contre les mêmes attaques. Voici comment se comparent les méthodes courantes, et laquelle choisir pour quel compte.

Les attaques qui comptent

La plupart des prises de contrôle de compte commencent de l'une de ces trois façons :

• Réutilisation des mots de passe. Un mot de passe qui a fuité d'un site est testé sur tous les autres. N'importe quel second facteur suffit à lui seul à bloquer cette attaque.
• Hameçonnage (phishing). Une fausse page de connexion récupère votre mot de passe et, de plus en plus souvent, votre code à usage unique, puis rejoue les deux sur le vrai site en quelques secondes.
• SIM swap. Un attaquant convainc votre opérateur mobile de transférer votre numéro sur une carte SIM qu'il contrôle. Dès lors, vos SMS et vos appels lui parviennent.

Un bon second facteur doit aussi résister aux deux dernières. C'est là que les méthodes commencent à se distinguer.

Codes par SMS

Le service vous envoie un code par SMS et vous le saisissez.

• Avantages : fonctionne sur n'importe quel téléphone, rien à installer, et facile à conserver quand vous changez de téléphone en gardant le même numéro.
• Inconvénients : vulnérables au SIM swap et à la portabilité frauduleuse du numéro, les codes peuvent apparaître dans les aperçus sur l'écran verrouillé, et ils sont aussi faciles à hameçonner qu'un mot de passe. La réception peut aussi échouer à l'étranger ou sans réseau.

Les recommandations du NIST sur l'identité numérique classent le SMS et l'appel vocal parmi les authentificateurs restreints en raison de ces risques (SP 800-63B). Le SMS reste bien plus sûr qu'un mot de passe seul, et pour certaines banques c'est la seule option. Si vous en dépendez, demandez à votre opérateur s'il est possible d'ajouter un code PIN ou une protection contre le transfert de numéro à votre compte.

Codes par e-mail

Un code ou un lien magique envoyé dans votre boîte de réception.

• Avantages : universel et familier.
• Inconvénients : pas plus solide que votre compte de messagerie, et inutile comme second facteur pour ce compte de messagerie lui-même. Quiconque accède à votre boîte mail obtient les codes de tous les sites qui en dépendent.

Les mêmes recommandations du NIST précisent que l'e-mail ne doit pas servir à l'authentification hors bande, car il ne prouve pas que vous détenez un appareil précis. Considérez les codes par e-mail comme un canal de récupération plutôt que comme une véritable 2FA.

Applications d'authentification (TOTP)

Une application sur votre téléphone génère un nouveau code toutes les 30 secondes à partir d'un secret partagé avec le service, généralement transmis sous forme de QR code. L'algorithme repose sur le standard ouvert TOTP : une seule application fonctionne donc avec des milliers de services. Si vous n'en avez pas encore configuré, notre guide pas à pas pour activer la 2FA vous accompagne.

• Avantages : insensible au SIM swap, fonctionne hors ligne, gratuite et prise en charge presque partout où la 2FA est proposée.
• Inconvénients : un faux site convaincant peut toujours demander le code et le relayer en temps réel, et si les secrets ne se trouvent que sur un seul téléphone, le perdre implique de passer par la récupération de compte.

Une app comme Ring conserve les secrets chiffrés sur votre iPhone et génère les codes sans connexion réseau : rien à intercepter en transit, et rien de lié à votre numéro de téléphone. Elle ne vous immunise pas pour autant contre le phishing : vérifiez la barre d'adresse avant de saisir un code.

Validation par notification push

Au lieu d'un code, le service envoie une demande à une app ou à un appareil connecté, et vous touchez Approuver.

• Avantages : très pratique, et les bonnes implémentations indiquent d'où provient la tentative de connexion.
• Inconvénients : chaque système de notification ne fonctionne généralement qu'avec les comptes de son propre éditeur, et les attaquants l'exploitent par « MFA fatigue » : ils déclenchent demande après demande jusqu'à ce que quelqu'un touche Approuver, juste pour avoir la paix.

La correspondance de nombres, qui consiste à saisir dans la demande un nombre affiché sur l'écran de connexion, rend les approbations à l'aveugle beaucoup plus difficiles. Dans tous les cas, la règle est simple : n'approuvez jamais une demande que vous n'avez pas déclenchée vous-même.

Clés de sécurité physiques

Une petite clé USB ou NFC que vous branchez ou que vous approchez de votre téléphone. Les clés modernes utilisent les standards FIDO2 et WebAuthn.

• Avantages : résistantes au phishing. La clé signe un défi lié au domaine du vrai site, si bien qu'un faux site n'obtient rien de réutilisable. Rien à saisir, pas de batterie, pas de réseau.
• Inconvénients : elles sont payantes, il en faut au moins deux pour en garder une en secours, et tous les services ne les prennent pas en charge. Perdez les deux et vous voilà ramené à la récupération de compte.

Les recommandations de la CISA désignent FIDO/WebAuthn comme la forme largement disponible de MFA résistante au phishing et incitent les organisations à l'adopter (fiche de la CISA).

Clés d'accès (passkeys)

Les clés d'accès reposent sur les mêmes standards FIDO que les clés de sécurité, mais l'identifiant réside sur votre téléphone ou dans votre gestionnaire de mots de passe, et se déverrouille avec Face ID, Touch ID ou le code de votre appareil. Sur de nombreux sites, elles remplacent complètement le mot de passe au lieu d'ajouter une étape (FIDO Alliance).

• Avantages : résistantes au phishing comme une clé physique, rien à retenir ni à saisir, et les clés d'accès synchronisées vous suivent sur un nouvel appareil grâce à votre gestionnaire d'identifiants.
• Inconvénients : la prise en charge reste inégale selon les services, votre sécurité dépend du compte qui les synchronise, et leur utilisation entre plateformes et navigateurs différents peut prêter à confusion.

Lorsqu'un site propose les clés d'accès et que vous utilisez un gestionnaire d'identifiants de confiance, c'est aujourd'hui l'option la plus robuste parmi les solutions pratiques.

Quelle méthode pour quel compte

Utilisez la méthode la plus robuste proposée par chaque service, mais ne laissez pas le mieux devenir l'ennemi du bien :

• Messagerie principale, gestionnaire de mots de passe, compte Apple ou compte Google. Ils permettent de réinitialiser tout le reste. Utilisez des clés d'accès ou des clés de sécurité lorsque c'est possible, et gardez des codes de récupération ou une seconde méthode en secours.
• Comptes professionnels. Suivez la politique de votre employeur. De nombreuses organisations exigent désormais des clés de sécurité ou des clés d'accès.
• Plateformes crypto et courtiers en bourse. Une application d'authentification ou une clé de sécurité. Évitez le SMS dès que vous avez le choix.
• Banques. Beaucoup ne proposent que le SMS ou leur propre app. Utilisez l'app de la banque s'il y en a une, et protégez votre numéro auprès de votre opérateur.
• Réseaux sociaux, outils de développement, stockage cloud, achats en ligne. L'application d'authentification est le meilleur compromis.
• Tout ce qui ne propose que le SMS. Activez-le quand même. Il bloque toujours les attaques par réutilisation de mot de passe.

Pourquoi l'application d'authentification reste le choix par défaut

Les clés d'accès et les clés physiques résistent mieux au phishing, et vous devriez les utiliser sur vos comptes les plus importants partout où elles sont disponibles. Mais la méthode que vous pouvez activer presque partout, gratuitement, sans acheter de matériel ni vous lier à une plateforme, reste le TOTP. Elle élimine le risque de SIM swap propre au SMS, ne dépend pas de votre boîte mail et fonctionne hors ligne.

Le revers à anticiper, c'est la perte de l'appareil. Enregistrez les codes de récupération de chaque compte, ajoutez une seconde méthode sur les comptes importants, et lisez que faire si vous perdez votre téléphone avec vos codes 2FA avant d'en avoir besoin. Aucune méthode ne rend un compte inviolable, mais un second facteur bien choisi en fait une cible bien plus difficile que celle du voisin.