Téléphone perdu avec vos codes 2FA : comment récupérer l'accès à vos comptes

Perdre le téléphone qui contient vos codes d'authentification, c'est un peu comme se retrouver à la porte de toute sa vie numérique. En général, il n'en est rien. La plupart des services ont prévu exactement cette situation et, avec un peu de patience, vous pouvez récupérer l'accès à chacun de vos comptes. Voici dans quel ordre procéder, puis comment faire en sorte que cela ne tourne plus jamais à la crise.

D'abord, occupez-vous du téléphone

Si le téléphone a été perdu ou volé, et non simplement réinitialisé, protégez-le avant de vous soucier des codes :

• Utilisez Localiser depuis un autre appareil Apple ou sur iCloud.com pour situer le téléphone, le signaler comme perdu ou l'effacer à distance.
• Demandez à votre opérateur de suspendre la carte SIM pour que personne d'autre ne reçoive vos SMS et vos appels, y compris les codes par SMS.
• Si vous pensez que quelqu'un connaît votre code de déverrouillage, changez au plus vite, depuis un autre appareil, les mots de passe de votre messagerie principale et de votre compte Apple.

Un iPhone verrouillé est difficile à pénétrer, et une application d'authentification verrouillée par Face ID garde les codes privés même si quelqu'un parvient à passer l'écran verrouillé.

Pourquoi les codes ne reviennent pas tout seuls

Les codes d'authentification sont générés à partir de secrets stockés sur l'appareil. Ring conserve ces secrets chiffrés uniquement sur votre iPhone, sans aucune copie sur un serveur, et c'est tout l'intérêt : personne d'autre ne les détient. Le revers de la médaille, c'est qu'un téléphone neuf ou réinitialisé démarre vide, et que les anciens codes ne peuvent être téléchargés nulle part.

La récupération se fait donc du côté de chaque service, pas dans l'app. Vous prouvez au service que le compte vous appartient, il supprime l'ancien authentificateur, et vous en configurez un nouveau. Passez en revue les options ci-dessous pour chaque compte, en commençant par votre messagerie principale, car c'est généralement elle qui permet de réinitialiser tout le reste.

Utilisez vos codes de récupération

Lorsque vous avez activé la 2FA, la plupart des services vous ont proposé une série de codes de secours à usage unique. Si vous les avez conservés, c'est la voie la plus rapide :

1. Rendez-vous sur la page de connexion et saisissez votre mot de passe comme d'habitude.
2. Sur l'écran de 2FA, cherchez une option pour utiliser un code de secours ou essayer une autre méthode.
3. Saisissez l'un des codes enregistrés. Chacun ne fonctionne qu'une seule fois : rayez-le ensuite.

Une fois connecté, allez directement dans les paramètres de sécurité, supprimez l'ancien authentificateur et générez une nouvelle série de codes de récupération.

Utilisez un appareil encore connecté

Votre ordinateur portable, votre tablette ou votre ordinateur professionnel est peut-être encore connecté à bon nombre de vos comptes. Une session ouverte permet souvent d'accéder directement aux paramètres de sécurité, d'où vous pourrez basculer la 2FA sur votre nouveau téléphone. Certains services redemandent votre mot de passe avant toute modification des paramètres de sécurité, mais pas toujours un second facteur.

Certains écosystèmes considèrent aussi un appareil connecté comme un second facteur à part entière. Un autre appareil Apple connecté au même compte Apple peut recevoir les codes de validation de ce compte, et Google peut envoyer des invites de connexion sur les autres téléphones ou tablettes où vous êtes connecté à votre compte Google.

Essayez un autre second facteur

Si vous avez ajouté une méthode de secours lors de la configuration de la 2FA, c'est le moment de vous en servir : une clé de sécurité physique, un numéro de téléphone de confiance pour les SMS, ou une seconde application d'authentification sur un autre appareil. Sur l'écran de 2FA, cherchez un lien permettant de choisir une autre méthode.

Passez par la récupération de compte

Si rien de tout cela ne fonctionne, la plupart des grands services disposent d'une procédure de récupération de compte. Les détails varient, mais le principe est similaire :

• On vous demande des informations qui aident à prouver que le compte vous appartient : une adresse e-mail ou un numéro de téléphone de récupération, un ancien mot de passe, la date approximative de création du compte ou votre activité récente. Certains services demandent une pièce d'identité.
• Un délai d'attente peut s'appliquer, parfois de plusieurs jours. Apple, par exemple, indique que la récupération de compte peut prendre quelques jours, voire plus. Ce délai laisse au véritable propriétaire le temps de repérer et de bloquer une demande frauduleuse.
• La précision compte plus que la rapidité. Si possible, utilisez un appareil et un réseau que vous avez déjà utilisés avec ce compte, répondez à ce que vous savez et suivez les instructions du service au lieu de relancer la procédure encore et encore.

Contactez l'assistance

Pour les services sans récupération en libre-service, comme beaucoup de petits sites, de plateformes crypto et certaines banques, contactez directement l'assistance. Attendez-vous à des vérifications d'identité : c'est bon signe, pas un obstacle. Pour les comptes professionnels, votre administrateur informatique peut généralement réinitialiser la 2FA pour vous.

Méfiez-vous de vos interlocuteurs. Les escrocs ciblent justement les personnes dans cette situation en se faisant passer pour des agents d'assistance. N'utilisez que les coordonnées figurant sur le site officiel ou dans l'app du service, et ne communiquez jamais un code à usage unique ou un code de récupération à quelqu'un qui vous contacte en premier.

Configurez correctement le nouveau téléphone

Chaque fois que vous récupérez l'accès à un compte :

1. Supprimez l'ancien authentificateur ou l'appareil perdu dans les paramètres de sécurité du compte.
2. Réactivez la 2FA et scannez le nouveau QR code avec l'application d'authentification de votre nouveau téléphone.
3. Générez de nouveaux codes de récupération et rangez-les loin du téléphone.
4. Passez en revue les connexions récentes et les sessions actives, et déconnectez tout ce que vous ne reconnaissez pas, surtout si le téléphone a été volé.

Faites en sorte de ne plus jamais être bloqué

Un téléphone perdu devrait être un simple désagrément, pas une urgence. Quelques habitudes suffisent :

• Conservez les codes de récupération de chaque compte. Imprimez-les ou notez-les, et gardez-les en lieu sûr chez vous, à l'écart de votre téléphone. Un gestionnaire de mots de passe convient aussi, à condition de pouvoir l'ouvrir sans ce téléphone.
• Ajoutez une seconde méthode aux comptes importants. Une clé de sécurité physique, un numéro de téléphone de confiance ou un autre appareil connecté. Notre comparatif des méthodes 2FA explique quelle méthode de secours convient à quel type de compte.
• Tenez un inventaire. Une simple liste de tous les comptes où la 2FA est activée, avec la méthode utilisée et l'endroit où se trouvent leurs codes de récupération. Les dossiers de Ring vous permettent de voir d'un coup d'œil quels comptes sont protégés, mais conservez la liste elle-même ailleurs que sur votre téléphone.
• Changez de téléphone méthodiquement. Lorsque vous en changez, configurez la 2FA de chaque compte sur le nouveau téléphone tant que l'ancien fonctionne encore, et n'effacez l'ancien qu'une fois tous les comptes transférés.
• Faites le point une fois par an. Choisissez une date et vérifiez que vous retrouvez toujours vos codes de récupération et que votre numéro de secours est à jour.

Si vous lisez ceci avant que cela n'arrive

Prenez dix minutes aujourd'hui : retrouvez ou régénérez les codes de récupération de votre messagerie principale, de votre compte Apple et de votre gestionnaire de mots de passe, et rangez-les en lieu sûr. Si vous activez la 2FA pour la première fois, le guide de configuration intègre l'enregistrement des codes de récupération à la procédure.