Double authentification (2FA) : c’est quoi et pourquoi l’activer
En bref :
- La double authentification (2FA, A2F) ajoute une seconde preuve à votre mot de passe : un code, une notification ou une clé physique.
- Même si votre mot de passe fuite ou est deviné, le pirate ne peut pas entrer sans ce second élément.
- Commencez par votre messagerie, puis la banque, les achats en ligne et les réseaux sociaux ; préférez une application ou une clé aux SMS.
La double authentification, aussi appelée authentification à deux facteurs ou vérification en deux étapes, est la protection la plus efficace après un mot de passe solide, et elle ne coûte rien. Elle neutralise la plupart des piratages de comptes liés à un mot de passe volé ou réutilisé. Ce guide explique le principe, compare les méthodes, indique par où commencer et comment l’activer.
Comment ça marche
Pour prouver qui vous êtes, on combine deux facteurs de nature différente : ce que vous savez (mot de passe, PIN), ce que vous possédez (téléphone, clé) ou ce que vous êtes (empreinte, visage). Vous saisissez d’abord votre mot de passe, puis le service demande le second élément. Un pirate qui connaît votre mot de passe mais n’a pas votre téléphone reste bloqué à cette étape.
Les méthodes : laquelle choisir ?
| Méthode | Sécurité | Côté pratique |
|---|---|---|
| Code par SMS | Correcte, mais interceptable (échange de SIM, hameçonnage) | Très simple, marche sur tout téléphone |
| Application d’authentification | Bonne : codes à 6 chiffres renouvelés toutes les 30 secondes | Fonctionne sans réseau ; à transférer en cas de changement de téléphone |
| Notification « Est-ce vous ? » | Bonne, sauf si l’on valide par réflexe | Un seul toucher |
| Clé de sécurité physique (FIDO2) | Excellente : résiste à l’hameçonnage | À brancher ou approcher ; prévoir une clé de secours |
| Passkey (clé d’accès) | Excellente : remplace le mot de passe | Déverrouillage par empreinte, visage ou code |
Le SMS vaut toujours mieux que rien, mais dès que le service le propose, préférez une application ou une clé. Les clés de sécurité coûtent en général entre 25 et 60 euros selon le modèle. Si vous voulez essayer, voici les modèles les plus vendus :
Les meilleures ventes sur Amazon : Clé de sécurité FIDO2
Comparez les modèles les plus vendus, leurs prix du moment et les avis des acheteurs.
Lien affilié : en tant que Partenaire Amazon, nous réalisons un bénéfice sur les achats remplissant les conditions requises, sans surcoût pour vous.
Par quels comptes commencer
Protégez d’abord ce qui ouvre les autres portes : votre adresse e-mail principale, puisqu’elle permet de réinitialiser tous vos mots de passe. Viennent ensuite la banque, les comptes de paiement et d’achat, le cloud et les réseaux sociaux. La liste détaillée se trouve dans les 10 comptes où activer la double authentification en priorité. Quelques guides pas à pas : Facebook, Instagram et Amazon.
Activer la 2FA : l’exemple de Google et d’Apple
Compte Google : le pas à pas complet est dans activer la validation en deux étapes sur son compte Google.
- Ouvrez myaccount.google.com > Sécurité.
- Choisissez Validation en deux étapes et suivez l’assistant.
- Ajoutez une application d’authentification, une clé ou une passkey, et notez les codes de secours.
Compte Apple : sur iPhone, ouvrez Réglages > votre nom > Connexion et sécurité et vérifiez que l’authentification à deux facteurs est active (elle l’est d’office sur les comptes récents). En cas de blocage, voyez comment récupérer son compte Apple.
Si vous choisissez une application, Google Authenticator fait l’affaire, d’autres existent aussi.
Passkeys : la suite
Une passkey remplace le mot de passe par une paire de clés cryptographiques : la partie secrète reste sur votre appareil, et vous vous connectez avec votre empreinte, votre visage ou votre code de déverrouillage. Elle ne peut pas être devinée ni donnée à un faux site, ce qui la rend très robuste. Tous les services ne la proposent pas encore. Pour décider, lisez passkey : c’est quoi et faut-il l’activer.
Codes de secours et changement de téléphone
Le risque principal de la 2FA est de s’enfermer dehors. Enregistrez les codes de secours (imprimés ou dans un gestionnaire de mots de passe, jamais dans un simple e-mail) et ajoutez une seconde méthode. Avant de changer de téléphone, transférez vos codes d’authentification ; si l’appareil a disparu, suivez récupérer l’accès à ses comptes après la perte du téléphone.
Ne communiquez jamais un code. Aucun service, banque ou administration ne vous le demandera par téléphone ou message. Recevoir un code non demandé signifie que quelqu’un connaît votre mot de passe : lisez que faire en cas de code reçu sans l’avoir demandé.
Cas pratique : sécuriser sa messagerie en 10 minutes
Marc utilise le même mot de passe sur plusieurs sites. Il commence par son compte Google, qui sert à tout réinitialiser : il active la validation en deux étapes, installe une application d’authentification, télécharge les codes de secours et les range dans son gestionnaire de mots de passe. Il passe ensuite à sa banque et à Amazon. Quelques semaines plus tard, il reçoit une alerte de connexion depuis l’étranger : sans le second facteur, l’accès a échoué, et il a changé son mot de passe sans dommage.
Questions fréquentes
La double authentification, c’est quoi exactement ?
C’est une connexion en deux temps : votre mot de passe, puis une seconde preuve (code, notification, clé physique ou biométrie).
Le code par SMS est-il suffisant ?
Il protège déjà bien contre un mot de passe volé, mais une application ou une clé résiste mieux à l’interception et à l’hameçonnage.
Est-ce que la 2FA est obligatoire ?
Pas partout, mais certains services la rendent obligatoire, notamment les banques pour les paiements en ligne.
Que faire si je perds mon téléphone ?
Utilisez vos codes de secours ou une seconde méthode enregistrée, puis reconfigurez la 2FA sur le nouvel appareil.
Une passkey remplace-t-elle la double authentification ?
Oui, dans l’esprit : elle combine ce que vous possédez et ce que vous êtes, sans mot de passe à saisir.
