Qu'est-ce que la 2FA ? Pourquoi chaque compte en a besoin

Qu'est-ce que l'authentification à deux facteurs ?

Les mots de passe fuient en permanence — via des fuites de données, des tentatives de phishing ou du pur devinage. Un mot de passe est une seule serrure sur votre porte, et les attaquants sont devenus très habiles pour crocheter les serrures.

L'authentification à deux facteurs (2FA) ajoute une seconde serrure. C'est une méthode de connexion qui exige deux preuves indépendantes de votre identité avant de vous laisser entrer. Même si quelqu'un vole votre mot de passe, il ne peut toujours pas accéder à votre compte sans la seconde preuve.

Ces preuves se répartissent en trois catégories :

• Quelque chose que vous connaissez — un mot de passe ou un code PIN
• Quelque chose que vous possédez — votre téléphone, une application d'authentification ou une clé de sécurité physique
• Quelque chose que vous êtes — une empreinte digitale ou un scan du visage

Une véritable 2FA combine deux catégories différentes, le plus souvent quelque chose que vous connaissez plus quelque chose que vous possédez.

Vous appliquez déjà cette idée tous les jours. Une carte bancaire est quelque chose que vous possédez ; votre code PIN est quelque chose que vous connaissez. Un voleur qui ne détient que votre carte ne peut pas retirer d'espèces — il lui faut les deux. La 2FA applique le même principe à vos comptes en ligne.

Pourquoi un mot de passe seul échoue

Un mot de passe doit survivre à trois attaques différentes à la fois, et il perd généralement.

• Réutilisation. Les gens ont des dizaines de comptes et une mémoire limitée, donc le même mot de passe — ou une variante proche — finit partout. Ce n'est pas de la négligence ; c'est un comportement humain prévisible.
• Devinette. Les attaquants ne passent pas leur temps à taper « password123 ». Ils utilisent des logiciels qui parcourent d'immenses listes de mots de passe et de schémas connus jusqu'à ce qu'un fonctionne.
• Phishing. Une fausse page de connexion convaincante peut tromper n'importe qui et lui faire remettre son mot de passe de plein gré. Aucune intrusion technique nécessaire.

Voilà où cela s'aggrave : dès qu'un site est piraté, sa liste de mots de passe fuite. Les attaquants récupèrent ces paires e-mail/mot de passe et les rejouent contre des comptes de messagerie, bancaires, de réseaux sociaux et d'achats — une technique appelée credential stuffing. Cela fonctionne précisément parce que les gens réutilisent leurs mots de passe. Un seul site web faible ou malchanceux devient la clé de tous les autres.

Considérez un mot de passe comme une seule serrure dont vous auriez copié la clé pour chaque porte que vous possédez. La 2FA ajoute une seconde serrure qu'une clé volée seule ne peut pas ouvrir.

Les principaux types de 2FA

Codes SMS

Un code envoyé par SMS. La méthode la plus courante, et la plus faible. Des attaquants peuvent détourner votre numéro de téléphone via le SIM swapping, puis recevoir vos codes à votre place. Les messages peuvent aussi être retardés ou illisibles sans réseau.

Applications d'authentification (TOTP)

Ces applications génèrent un nouveau code sur votre appareil toutes les 30 secondes. Rien ne transite par le réseau téléphonique, et les codes fonctionnent hors ligne, donc un SIM swapping n'aide pas un attaquant. Un progrès notable par rapport aux SMS, avec presque aucun effort supplémentaire.

Clés de sécurité matérielles et passkeys

Une clé physique que vous branchez ou approchez, ou une passkey stockée sur votre appareil. Toutes deux utilisent la cryptographie liée au vrai site web, donc une fausse page de connexion convaincante ne peut rien collecter d'utile. Ce sont les options les plus fortes, résistantes au phishing.

Notifications push et biométrie

Approuver une connexion d'une seule tape est pratique, mais facile à approuver par accident ou par habitude — une tactique que les attaquants exploitent délibérément. La biométrie comme la reconnaissance d'empreinte digitale ou de visage est pratique et locale à votre appareil, mais elle protège la connexion plutôt que de remplacer le second facteur.

Pourquoi chaque compte en a besoin

L'e-mail passe avant tout

Votre compte e-mail est la clé maîtresse. Quiconque y accède peut déclencher « mot de passe oublié » sur presque tous vos autres comptes et les réinitialiser un à un. C'est aussi là qu'arrivent les codes de récupération et les alertes de sécurité. Protéger l'e-mail avec la 2FA protège tout ce qui se trouve derrière.

Argent et réputation

Les comptes bancaires, de paiement et d'achat ont une valeur financière directe — un voleur peut dépenser, transférer ou commander en votre nom. Même un compte de boutique avec une carte enregistrée est une virée shopping qui n'attend que d'arriver. Les comptes sociaux valent aussi d'être volés : les profils piratés servent à envoyer des arnaques à vos amis en votre nom. On récupère une réputation plus lentement que de l'argent.

Les « petits » comptes s'additionnent

Un forum rarement utilisé ou une vieille application contient encore quelque chose :

• Des listes de contacts, prêtes pour le hameçonnage
• Des années de photos dans le cloud
• Des cartes et adresses enregistrées
• Des informations personnelles utiles pour deviner vos questions de sécurité

Les attaquants ne trient pas par importance. Ils prennent tout ce qu'ils peuvent atteindre, et n'importe quel compte peut devenir la porte d'entrée vers les autres. La 2FA sur tous ferme ces portes.

Ce que la 2FA protège — et ne protège pas

La promesse fondamentale de la 2FA est simple : un attaquant ne détenant que votre mot de passe volé se heurte à un mur. Un mot de passe divulgué lors d'une fuite de données devient presque inutilisable sans le second facteur, ce qui bloque la voie la plus courante de prise de contrôle de compte.

Où la 2FA peut encore être vaincue

• Hameçonnage en temps réel. Des kits de phishing sophistiqués peuvent relayer votre code à usage unique à un attaquant instantanément, de sorte que le code que vous soumettez est utilisé avant son expiration.
• Attaques par fatigue MFA. Une personne ayant votre mot de passe peut bombarder votre téléphone de notifications push, espérant que vous appuyiez sur « Approuver » par accident ou par frustration. Refusez les demandes inattendues et signalez-les.
• SIM swapping. Les codes SMS peuvent être interceptés si un attaquant détourne votre numéro de téléphone.

Applications d'authentification et sécurité matérielle

Activer la 2FA en quelques minutes

Trouver le paramètre

Connectez-vous, ouvrez les paramètres de votre compte ou de sécurité, et cherchez « authentification à deux facteurs », « vérification en deux étapes » ou « vérification de connexion ». La plupart des grands services la placent sous Sécurité ou Confidentialité. Commencez par votre compte e-mail — les réinitialisations de mot de passe de tout le reste passent par lui.

Choisir la méthode la plus robuste proposée

• Application d'authentification : génère des codes sur votre téléphone, fonctionne hors ligne. Les options gratuites incluent Google Authenticator, Microsoft Authenticator et Authy.
• Passkey : lorsqu'elle est proposée, le choix le plus robuste — rien à saisir, résistante au phishing.
• Codes SMS : mieux que rien, mais vulnérables au SIM swapping. À utiliser uniquement si aucune autre option n'est disponible.

La configuration consiste généralement à scanner un code QR avec votre application et à saisir le code qu'elle affiche pour confirmer. Cela prend moins de cinq minutes par compte.

Conserver les codes de secours hors ligne

La configuration se termine par les codes de secours — des codes à usage unique qui fonctionnent si vous perdez votre téléphone. Téléchargez-les, puis imprimez-les ou stockez-les dans un gestionnaire de mots de passe. Ne les laissez jamais dans votre boîte de réception : la messagerie est le premier endroit où les attaquants cherchent. Perdez votre téléphone et ces codes, et vous risquez d'être définitivement bloqué.

Erreurs courantes de 2FA à éviter

Même un système de 2FA bien configuré peut être compromis par quelques habitudes évitables.

Ne partagez jamais vos codes, même avec le support technique

Aucune entreprise légitime ne vous demandera votre code à usage unique. Les véritables équipes de support vous vérifient par d'autres moyens, donc quiconque demande un code cherche presque certainement à prendre le contrôle de votre compte. Traitez les codes comme des mots de passe : pour vos yeux uniquement, saisis uniquement sur le site ou l'application qui les a générés.

Ne laissez pas vos codes de secours dans des captures d'écran ou des brouillons d'e-mails

Les captures d'écran se synchronisent souvent avec des bibliothèques photo en ligne, et les brouillons d'e-mails résident dans une boîte de réception qu'un pirate pourrait ouvrir en quelques secondes. Conservez plutôt vos codes de secours hors ligne—imprimés sur papier gardé en lieu sûr, ou dans le coffre d'un gestionnaire de mots de passe réputé.

Mettez à jour votre second facteur avant de changer de téléphone

Effacer un ancien téléphone sans avoir d'abord déplacé votre application d'authentification peut vous verrouiller hors de tous les comptes qui en dépendent. Avant de changer, transférez vos comptes vers le nouvel appareil ou connectez-vous avec des codes de secours et réinscrivez-vous.

La 2FA ne prend que quelques minutes à activer et bloque la plupart des attaques basées sur les mots de passe. Commencez dès aujourd'hui avec vos comptes e-mail et bancaires.