Qu’est-ce que l’authentification à deux facteurs et pourquoi l’activer dès aujourd’hui
Les mots de passe fuitent. Ils apparaissent dans des fuites de données, se devinent, se volent par phishing ou sont réutilisés sur tant de sites qu’un identifiant compromis devient dix comptes compromis. L’authentification à deux facteurs (2FA) est la mesure la plus efficace pour qu’un mot de passe volé ne serve à rien à quelqu’un d’autre.
Ce que signifie la 2FA
L’authentification à deux facteurs exige deux types de preuve avant la connexion : quelque chose que vous savez (votre mot de passe) et quelque chose que vous possédez (votre téléphone, une clé de sécurité) ou que vous êtes (votre empreinte). Même si un attaquant connaît votre mot de passe, il ne peut pas entrer sans le second facteur.
Ce n’est pas la même chose qu’un long mot de passe ou une question secrète. Une question secrète reste « quelque chose que vous savez » et n’ajoute donc pas de vraie protection. Un vrai second facteur se trouve sur un appareil ou dans une application distincte.
Les types courants, du plus faible au plus fort
- Codes SMS : un message avec un code à usage unique. Mieux que rien, mais vulnérable au SIM swapping, quand quelqu’un convainc l’opérateur de transférer votre numéro.
- Applications d’authentification : Google Authenticator ou Authy génèrent un nouveau code à six chiffres toutes les 30 secondes, à partir d’un secret partagé uniquement avec le service à la configuration. Sans réseau ni opérateur, donc bien plus difficile à intercepter.
- Notifications push : le service envoie « Est-ce bien vous ? » à une application et vous approuvez ou refusez. Pratique, mais attention aux attaques par « fatigue MFA », où l’on vous inonde de demandes en espérant une approbation par erreur.
- Clés de sécurité matérielles : de petits appareils physiques (comme une YubiKey) que l’on branche ou approche. Actuellement l’option la plus forte, car la clé ne transmet rien qui puisse être hameçonné ou rejoué.
Pour la plupart des gens, l’application d’authentification est le bon compromis : bien plus solide que le SMS, sans matériel à acheter.
Où l’activer en premier
Inutile de tout activer d’un coup. Priorité aux comptes dont la compromission ferait le plus de dégâts :
- Votre adresse e-mail principale, souvent la porte de réinitialisation de tout le reste.
- Votre gestionnaire de mots de passe, si vous en avez un.
- Les comptes bancaires et financiers.
- Les comptes liés à votre identité : réseaux sociaux, stockage cloud, comptes professionnels.
La configuration est presque toujours la même : scannez un QR code avec l’application, saisissez le code à six chiffres pour confirmer et conservez les codes de secours en lieu sûr, dans un gestionnaire de mots de passe ou imprimés et rangés hors ligne.
Un second facteur ne remplace pas un bon mot de passe
La 2FA est une seconde couche, pas un substitut à la première. Un mot de passe faible ou réutilisé reste une cible facile. Les deux fonctionnent mieux ensemble : un mot de passe long et unique par site, plus un second facteur sur les comptes importants. Notre générateur de mot de passe crée des mots de passe longs, aléatoires et uniques dans votre navigateur, sans envoi à un serveur.