Comment activer la double authentification (2FA) avec une application d'authentification

Avec un simple mot de passe, il suffit d'une fuite pour que quelqu'un d'autre se connecte à votre compte. L'authentification à deux facteurs (2FA) ajoute une seconde vérification : un code court qui change en permanence et que seul votre téléphone peut générer. Même si votre mot de passe se retrouve dans une fuite de données, le compte reste verrouillé sans ce code.

Comment fonctionnent les codes d'authentification

Les applications d'authentification utilisent TOTP (Time-based One-Time Password), un algorithme de mot de passe à usage unique basé sur le temps, normalisé dans la RFC 6238. Lorsque vous activez la 2FA, le service et votre téléphone conviennent d'un secret partagé, généralement transmis sous forme de QR code. Dès lors, chacun combine ce secret avec l'heure actuelle et obtient le même code court. La plupart des services utilisent six chiffres et un nouveau code toutes les 30 secondes.

En pratique, deux conséquences comptent :

• Pas besoin de réseau. Le code est calculé sur votre téléphone : il fonctionne en mode Avion, à l'étranger et en plein vol.
• L'horloge compte. Si l'heure de votre téléphone dérive, les codes ne correspondent plus. Laissez la date et l'heure en réglage automatique.

Pourquoi ne pas se contenter des codes par SMS

Les codes SMS valent mieux que rien, mais ils transitent par le réseau téléphonique et peuvent être interceptés ou détournés, par exemple lorsqu'un attaquant convainc un opérateur de transférer votre numéro sur une nouvelle carte SIM. C'est pour cette raison que les recommandations du NIST sur l'identité numérique classent la vérification par SMS parmi les authentificateurs « restreints » (SP 800-63B). Une application d'authentification, elle, conserve le secret sur votre appareil.

Activer la 2FA, étape par étape

Les menus varient d'un service à l'autre, mais la démarche est presque toujours la même :

1. Ouvrez les paramètres de sécurité du compte et cherchez « Authentification à deux facteurs », « Validation en deux étapes » ou « Vérification de connexion ».
2. Choisissez Application d'authentification comme méthode. Certains services la cachent derrière « Autres méthodes » et mettent d'abord le SMS en avant.
3. Le service affiche un QR code. Dans Ring, touchez le bouton d'ajout et scannez-le avec l'appareil photo. Si le scan est impossible, la plupart des services affichent aussi une clé texte à saisir manuellement.
4. Ring affiche aussitôt un code pour ce compte. Saisissez le code en cours sur le site pour confirmer la configuration.
5. Enregistrez les codes de récupération. C'est l'étape que l'on saute, et que l'on regrette ensuite.

Évitez de vous retrouver bloqué

Ring stocke vos secrets chiffrés sur votre appareil, et nulle part ailleurs. C'est ce qui garantit votre confidentialité, mais cela signifie aussi qu'un téléphone perdu ou réinitialisé emporte les codes avec lui. Avant d'en avoir besoin :

• Téléchargez ou notez les codes de secours que chaque service propose lors de la configuration, et rangez-les en lieu sûr, à l'écart de votre téléphone.
• Lorsque le service le permet, ajoutez une seconde méthode, comme une clé de sécurité physique ou un deuxième appareil.
• Quand vous changez de téléphone, transférez vos comptes vers le nouvel appareil avant d'effacer l'ancien.

Si c'est déjà arrivé, voici que faire si vous perdez un téléphone contenant vos codes 2FA.

Une 2FA assez rapide pour s'en servir au quotidien

La principale raison pour laquelle on finit par désactiver la 2FA, c'est la friction. Quelques habitudes la rendent indolore :

• Regroupez vos comptes dans des dossiers, par exemple travail, finances et réseaux sociaux, pour trouver le bon code en une seconde.
• Copiez le code d'un simple toucher au lieu de retaper six chiffres.
• Placez le widget sur l'écran d'accueil à côté des apps auxquelles vous vous connectez le plus souvent.
• Verrouillez l'app avec Face ID pour que les codes restent privés, même quand quelqu'un d'autre a votre téléphone en main.

Par où commencer

Inutile de tout sécuriser d'un coup. Commencez par les comptes qui permettent de réinitialiser tous les autres : votre messagerie principale, votre compte Apple, votre gestionnaire de mots de passe et votre banque. Ajoutez ensuite les réseaux sociaux et vos outils de travail lors de votre prochaine connexion.