Comment configurer la 2FA sur vos comptes Google, Microsoft et Apple

Pourquoi l'authentification à deux facteurs est importante

Votre mot de passe est la serrure de votre porte d'entrée numérique — et les serrures seules défaillent plus souvent qu'on ne veut l'admettre.

Les mots de passe sont réutilisés d'un site à l'autre, devinés à partir de bases de données compromises, ou simplement remis aux attaquants via des e-mails de phishing convaincants. Quand un mot de passe tombe, tous les comptes qui le partagent tombent aussi.

L'authentification à deux facteurs (2FA) corrige cela en exigeant une seconde preuve d'identité distincte : un code d'une application, une invite sur un appareil de confiance, ou une clé de sécurité physique. Même si quelqu'un vole votre mot de passe, il ne peut toujours pas entrer sans ce second facteur.

Les comptes Google, Microsoft et Apple méritent une attention particulière. Ce sont des clés maîtresses pour le reste de votre vie :

• Google : e-mails, photos, mots de passe enregistrés, documents
• Microsoft : e-mails, fichiers Office, OneDrive, connexions professionnelles
• Apple : photos iCloud, sauvegardes, informations de paiement, déblocage d'appareils

En perdez un seul, et un attaquant peut réinitialiser les mots de passe de presque tout le reste.

Choisir une méthode 2FA

Tous les seconds facteurs ne protègent pas également.

• Codes SMS — le plus simple pour commencer ; rien à installer. Option la plus faible : les codes transitent par le réseau de l'opérateur et peuvent être interceptés ou volés par SIM swapping. Nécessite du signal.
• Applications d'authentification (Google Authenticator, Microsoft Authenticator, Authy) — gratuites, génèrent des codes hors ligne sur votre appareil. Beaucoup plus difficiles à intercepter que les SMS. Petit inconvénient : transférer les comptes vers un nouveau téléphone.
• Notifications push — touchez pour approuver une connexion. Très pratique, mais les approbations accidentelles arrivent ; certaines applications ajoutent la correspondance de numéros (number matching) pour réduire ce risque.
• Passkeys — plus récentes et résistantes au phishing par conception, liées à votre appareil et à ses données biométriques. Configuration légèrement plus laborieuse.
• Clés de sécurité — petites clés matérielles offrant la meilleure résistance au phishing. Coûtent de l'argent et peuvent être perdues, donc achetez-en deux.

Grosso modo : SMS < app < push < passkey ≈ clé de sécurité. Utilisez la méthode la plus forte prise en charge par chaque compte, et combinez les méthodes là où cela compte le plus.

Comment activer la 2FA sur votre compte Google

Connectez-vous sur myaccount.google.com, ouvrez Sécurité et sélectionnez Validation en deux étapes sous « Comment vous connecter à Google ». Google vous demandera d'abord de confirmer votre mot de passe.

Ajouter une application d'authentification ou une clé d'accès

• Application d'authentification : Dans les paramètres de la Validation en deux étapes, choisissez « Application d'authentification », scannez le code QR avec Google Authenticator ou toute application TOTP compatible, puis saisissez le code à six chiffres qu'elle affiche pour confirmer.
• Clé d'accès : Sur la page Sécurité, sélectionnez « Clés d'accès » et suivez les instructions pour en créer une à l'aide de l'empreinte digitale, du visage ou du verrouillage d'écran de votre appareil. Les clés d'accès résistent au hameçonnage et sont plus rapides que la saisie de codes.

Enregistrez les codes de secours et ajoutez un facteur de sauvegarde

Avant de quitter la page, téléchargez ou imprimez vos codes de secours et conservez-les hors ligne — dans un tiroir, pas en capture d'écran. Ajoutez ensuite une seconde méthode, comme une clé de sécurité ou l'application sur un autre appareil, afin qu'un téléphone perdu ne vous laisse pas bloqué dehors.

Comment activer la 2FA sur votre compte Microsoft

Connectez-vous sur account.microsoft.com, ouvrez Sécurité, puis sélectionnez Options de sécurité avancées.

Activer la vérification en deux étapes :

1. Sous « Vérification en deux étapes », choisissez Configurer la vérification en deux étapes et suivez les instructions.
2. Lorsqu'on vous demande comment vous souhaitez vérifier votre identité, choisissez une option telle qu'une application, un numéro de téléphone ou une adresse e-mail secondaire.

Ajouter l'application Microsoft Authenticator :

• Dans le même menu, choisissez Ajouter un nouveau moyen de connexion ou de vérification, puis sélectionnez Utiliser une application.
• Installez Microsoft Authenticator sur votre téléphone, scannez le code QR affiché à l'écran et approuvez la notification de test.

Configurer la récupération avant de terminer :

• Ajoutez une adresse e-mail de récupération sous Informations de récupération afin de pouvoir retrouver l'accès si vous perdez votre téléphone.
• Téléchargez ou imprimez votre code de secours et conservez-le en lieu sûr, comme dans un portefeuille ou un coffre-fort.

Comment activer la 2FA sur votre identifiant Apple

La version Apple de la 2FA s'appelle l'authentification à deux facteurs, et sur la plupart des comptes elle est déjà activée. Pour vérifier, allez dans Réglages (ou Réglages Système sur un Mac), touchez votre nom en haut, puis choisissez Connexion et sécurité (sur les versions logicielles plus anciennes, Mot de passe et sécurité) et cherchez Authentification à deux facteurs.

La vérification repose sur deux éléments que vous contrôlez :

• Appareils approuvés — un iPhone, un iPad ou un Mac déjà connecté à votre identifiant Apple, qui peut afficher des codes de vérification
• Numéros de téléphone approuvés — des numéros pouvant recevoir un code par SMS ou par appel automatisé

Lorsque vous vous connectez sur un nouvel appareil ou un nouveau navigateur, vous saisissez votre mot de passe, puis un code à six chiffres apparaît sur l'un de vos appareils approuvés. Saisissez ce code pour terminer la connexion. Ajouter un numéro de téléphone approuvé auquel vous avez accès (le numéro d'un conjoint ou d'un membre de la famille convient) vous offre une solution de secours si votre appareil habituel est indisponible.

Codes de secours et plan de récupération

Lorsque vous activez la 2FA, la plupart des services proposent des codes de secours : des codes à usage unique qui vous permettent de vous connecter si votre méthode habituelle est indisponible. Générez-les, puis conservez-les hors ligne—imprimés sur papier ou dans un document sécurisé sur un lecteur chiffré. Ne les laissez jamais dans une application de notes, un brouillon d'e-mail ou un dossier de captures d'écran.

Si vous perdez votre téléphone ou votre clé de sécurité :

• Utilisez un code de secours pour vous connecter.
• Retirez l'appareil perdu des paramètres 2FA de votre compte.
• Inscrivez un appareil de remplacement immédiatement.

Si vous n'avez pas de codes de secours, utilisez la récupération de compte via le site officiel du fournisseur. Cela peut prendre plusieurs jours et le succès n'est pas garanti—une raison de plus pour générer des codes maintenant, pas plus tard.

Gardez vos informations de récupération à jour. Vérifiez que votre e-mail et votre numéro de téléphone de récupération sont ceux que vous contrôlez encore. Un ancien numéro réattribué à quelqu'un d'autre permet à des inconnus de réinitialiser votre mot de passe.

Erreurs courantes à éviter

Se fier uniquement aux SMS

Les codes SMS valent mieux que rien, mais les attaques par SIM swap peuvent rediriger vos SMS vers le téléphone d'un criminel. Utilisez une application d'authentification ou une clé d'accès (passkey) comme deuxième facteur principal dans la mesure du possible.

Approuver des notifications push que vous n'avez pas déclenchées

Si votre téléphone vibre avec une demande de connexion que vous n'avez pas initiée, quelqu'un possède votre mot de passe. Refusez la demande, changez immédiatement votre mot de passe et vérifiez l'activité récente du compte. N'appuyez jamais sur « Approuver » juste pour faire disparaître la notification—ce comportement précis a été exploité par des attaquants pour épuiser leurs victimes.

Oublier la 2FA lors du changement de téléphone

Les applications d'authentification ne se transfèrent pas automatiquement avec une sauvegarde classique. Avant de retirer un téléphone, déplacez vos comptes via la fonction d'exportation ou de transfert de l'application, ou réinscrivez-les manuellement sur le nouvel appareil. Faites-le tant que l'ancien téléphone fonctionne encore—ensuite, il est souvent trop tard sans codes de récupération.

Niveau supérieur : clés d'accès et clés de sécurité

Les clés d'accès remplacent les codes tapés par une connexion cryptographique stockée sur votre appareil. Elles sont plus rapides à utiliser et résistent au hameçonnage. Chaque plateforme les prend en charge :

• Google : myaccount.google.com → Sécurité → Clés d'accès.
• Microsoft : account.microsoft.com → Sécurité → Options de sécurité avancées → ajouter une clé d'accès.
• Apple : Réglages → votre nom → Connexion et sécurité → Clés d'accès.

Une clé de sécurité matérielle vaut l'achat lorsque votre compte a réellement une valeur élevée : c'est votre e-mail principal, ou vous gérez des comptes d'administration, financiers ou professionnels sensibles. Les clés résistent au hameçonnage et fonctionnent même si votre téléphone est perdu. Apple exige deux clés enregistrées ; le Programme de protection avancée de Google fait de même.

Tous les quelques mois, revoyez vos paramètres :

• Confirmez que l'e-mail et le téléphone de récupération sont à jour.
• Supprimez les appareils et sessions que vous n'utilisez plus.
• Réimprimez les codes de sauvegarde si vous en avez utilisé.

Configurez la 2FA dès aujourd'hui avec une application, ajoutez une clé d'accès quand vous serez à l'aise, et conservez les codes de récupération hors ligne. C'est ainsi qu'on fait une sécurité de compte correcte.