Application d'authentification ou codes SMS : lequel est plus sûr ?

Fonctionnement de la 2FA par SMS

L'authentification à deux facteurs ajoute un second verrou à vos comptes, et les codes SMS en sont la version que la plupart des gens rencontrent en premier. Au lieu de vous fier à votre seul mot de passe, le service envoie un code court à usage unique sur votre téléphone par SMS. Vous saisissez votre mot de passe comme d'habitude, puis vous tapez ce code pour terminer la connexion.

Le système repose sur le principe que vous seul devez contrôler le numéro de téléphone associé à votre compte. Lorsque vous demandez une connexion, le service envoie par SMS un code — généralement six chiffres, valable quelques minutes — à ce numéro. Pas de code, pas d'accès.

Son principal atout est la commodité :

• Rien à installer. Tous les téléphones portables peuvent recevoir des SMS.
• Rien de nouveau à apprendre. Vous savez déjà lire un SMS.
• Fonctionne sur n'importe quel téléphone, du dernier smartphone au vieux téléphone à clapet.

Le hic : tout dépend de votre numéro de téléphone et de votre réseau mobile qui restent sous votre contrôle.

Fonctionnement des applications d'authentification

Les applications d'authentification génèrent vos codes de connexion directement sur votre appareil. Lors de la configuration, vous scannez un QR code qui stocke un secret partagé dans l'application. À partir de ce moment, l'application et le site web calculent indépendamment le même code à six chiffres, renouvelé toutes les 30 secondes. Aucun réseau mobile ni connexion internet n'est impliqué — les codes sont calculés hors ligne, ils fonctionnent donc même en mode avion.

La différence essentielle : pas de numéro de téléphone

Ce secret partagé réside dans l'application, pas sur votre carte SIM. Vos codes sont liés à l'appareil qui détient le secret, pas à votre numéro de téléphone : une attaque via l'opérateur n'a donc rien à intercepter.

Applications courantes

• Google Authenticator — simple et largement pris en charge
• Microsoft Authenticator — prend aussi en charge les validations par notification push pour les comptes Microsoft
• Authy — ajoute une sauvegarde chiffrée entre appareils

Un attaquant devrait posséder l'appareil lui-même pour produire un code valide.

Menace 1 : SIM Swapping

Le SIM swapping est une attaque visant directement la 2FA par SMS. L'attaquant contacte votre opérateur mobile en se faisant passer pour vous et le convainc de transférer votre numéro de téléphone vers une carte SIM qu'il contrôle. Cela peut passer par une histoire crédible, des données personnelles volées lors d'une fuite de données ou un employé soudoyé. Les opérateurs sont inégaux dans la vérification d'identité, si bien que l'attaque réussit plus souvent qu'elle ne le devrait.

Une fois votre numéro transféré, le téléphone de l'attaquant reçoit chaque SMS qui aurait dû vous parvenir — y compris vos codes de connexion et vos messages de réinitialisation de mot de passe. Votre vrai téléphone se tait.

Les applications d'authentification contournent entièrement ce problème. Elles génèrent les codes sur votre appareil, liés à vos comptes, sans qu'aucun numéro de téléphone n'entre en jeu. L'attaquant n'a rien à transférer, et votre opérateur ne peut pas fuiter ce qu'il ne détient jamais.

Menace 2 : le hameçonnage

Le hameçonnage (phishing) vient à bout des codes SMS avec une facilité embarrassante. La victime clique sur un lien menant à une fausse page de connexion convaincante et y saisit son mot de passe. Le site, contrôlé par l'attaquant, demande immédiatement le code de vérification — et le capture. Comme l'attaquant se trouve au milieu de la connexion, il reçoit le code dès que la victime le tape, bien avant son expiration. Il se connecte lui-même ; la victime ne voit qu'une page d'erreur.

Les applications d'authentification compliquent les choses sans les empêcher. Un code temporel reste valable environ 30 secondes, ce qui réduit la fenêtre de tir de l'attaquant. Les kits de hameçonnage modernes contournent cela en agissant comme un proxy en direct : ils relaient le code instantanément, ou maintiennent la session ouverte et demandent un nouveau code à la victime si le premier expire.

La leçon : tout code que vous tapez sur un site web peut être volé au fur et à mesure que vous le tapez. La durée de vie du code fixe le délai de l'attaquant — rien de plus.

Autres différences pratiques

Fiabilité. Les codes SMS dépendent de votre opérateur. Un signal faible, le mode avion ou une congestion du réseau peuvent retarder un code de plusieurs minutes ou le bloquer entièrement, vous laissant bloqué en pleine connexion.

Coût et voyages. Les applications d'authentification génèrent les codes sur l'appareil lui-même. Elles fonctionnent hors ligne, en avion ou à l'étranger, sans frais d'itinérance. Recevoir des SMS à l'étranger peut être lent ou coûteux.

Perte du téléphone. Les deux méthodes lient les codes à un seul appareil, mais une configuration basée uniquement sur les SMS est plus facile à récupérer : les codes arrivent toujours sur votre numéro. Si un téléphone avec une application d'authentification est perdu ou effacé sans sauvegarde, ces codes sont perdus jusqu'à ce que vous utilisiez des codes de récupération ou la procédure de récupération de compte du fournisseur.

Batterie et mises à jour. Les applications ont besoin d'un téléphone chargé et fonctionnel. Les SMS ont besoin de la même chose, plus un signal.

Aucune des deux n'est parfaite ; les applications échouent simplement dans moins de situations.

Le verdict : laquelle est la plus sûre

Les applications d'authentification battent le SMS sur les deux principales voies d'attaque :

• SIM swapping : les codes SMS sont liés à votre numéro de téléphone, que des attaquants peuvent détourner. Les codes d'application résident sur votre appareil et ne passent jamais par le réseau téléphonique.
• Phishing : les SMS permettent de lire facilement un code et de le coller directement sur un faux site. Les codes d'application se renouvellent toutes les 30 secondes et sont liés à un compte précis, ce qui réduit la fenêtre d'abus — quoiqu'un phishing déterminé puisse encore vous soutirer un code valide.

Cela dit, la 2FA par SMS reste bien meilleure qu'aucune 2FA. Si le SMS est la seule option proposée par un site, activez-la.

Plus solide que les deux : les clés de sécurité matérielles, qui vérifient cryptographiquement le site sur lequel vous vous connectez et sont conçues pour résister au phishing. Si un site les prend en charge, utilisez-en une.

Comment passer à une application d'authentification

Commencez par vos comptes les plus importants : d'abord l'e-mail, puis les services bancaires, puis tout le reste.

1. Ouvrez les paramètres de sécurité. Cherchez « Authentification à deux facteurs », « 2FA » ou « Sécurité » dans chaque compte. Tous les services ne prennent pas en charge les applications d'authentification, alors vérifiez avant de planifier quoi que ce soit d'autre.
2. Choisissez « Application d'authentification » comme méthode. Le site affiche un code QR.
3. Scannez-le avec votre application. Dans Google Authenticator, Authy ou similaire, appuyez sur le bouton d'ajout (+) et pointez votre caméra vers le code. Le compte apparaît dans l'application et commence à générer des codes immédiatement.
4. Enregistrez les codes de secours hors ligne. La plupart des services affichent des codes de récupération à usage unique pendant la configuration. Notez-les ou stockez-les dans un gestionnaire de mots de passe — pas dans une capture d'écran sur le même téléphone.
5. Confirmez avant de supprimer le SMS. Saisissez un code de l'application pour vérifier qu'il fonctionne. Ce n'est qu'alors que vous pouvez envisager de désactiver les codes par SMS.

Garder les deux méthodes actives brièvement est acceptable ; dépendre uniquement du SMS ne l'est pas.

Planifier la récupération

Perdre votre téléphone ne devrait pas signifier perdre vos comptes. Prévoyez la récupération avant d'en avoir besoin.

Conservez vos codes de secours

La plupart des services affichent un jeu de codes de secours à usage unique lorsque vous activez une application d'authentification. Conservez-les hors ligne — imprimés sur papier ou notés et rangés dans un endroit sûr, par exemple avec vos documents importants. Ne les laissez pas dans une capture d'écran, une application de notes ou un fichier texte brut sur l'appareil même que vous cherchez à protéger.

Gardez une solution de repli

• Imprimez vos codes de secours et rangez-les en lieu sûr.
• Envisagez d'inscrire un second appareil, comme une tablette, si le service autorise plusieurs authentificateurs.
• Certaines applications proposent des sauvegardes chiffrées ou la prise en charge multi-appareils — consultez la documentation de votre application avant de vous y fier.

Avant de retirer ou d'effacer un ancien téléphone

1. Réinscrivez votre application d'authentification sur le nouvel appareil.
2. Vérifiez que chaque service accepte les codes qu'il génère.
3. Effacez ensuite seulement l'ancien téléphone. Négliger cette étape est la cause la plus fréquente des blocages que l'on s'inflige à soi-même.

Le classement est simple : le SMS vaut mieux que pas de 2FA, une application d'authentification vaut mieux que le SMS, et les codes de secours vous sauvent lorsque les deux échouent. Configurez les vôtres dès aujourd'hui — la récupération ne fonctionne que si vous la préparez à l'avance.