Codes de récupération : comment les stocker en toute sécurité

Ce que sont les codes de récupération et pourquoi ils existent

L'authentification à deux facteurs (2FA) rend vos comptes bien plus difficiles à pirater — mais elle crée un nouveau problème : que se passe-t-il lorsque votre second facteur n'est pas disponible ? Les codes de récupération sont la réponse.

Les codes de récupération sont un ensemble de codes à usage unique émis lorsque vous configurez la 2FA sur un compte. Chaque code fonctionne une seule fois, vous permettant de vous connecter sans votre second facteur habituel — pas de notification d'application, pas de SMS. Une fois utilisé, ce code est dépensé.

Ils existent parce que les seconds facteurs tombent en panne dans la vie de tous les jours :

• Les téléphones sont perdus, volés ou cassés
• Les applications d'authentification sont effacées lorsque vous passez à un nouvel appareil
• Les numéros de téléphone changent, coupant l'accès aux codes SMS

Sans codes de récupération, perdre votre second facteur peut vous empêcher d'accéder à votre propre compte — parfois définitivement.

Une note sur la terminologie : certains services les appellent backup codes, d'autres recovery codes, et quelques-uns utilisent des termes comme recovery keys. Le libellé diffère ; l'idée est identique — un jeu de secours de codes de connexion à usage unique à conserver en lieu sûr.

Ce qui se passe si vous ne les enregistrez pas

Perdez votre téléphone, faites-le tomber dans un lac, ou configurez un nouvel appareil avant d'avoir transféré votre application d'authentification, et vos codes TOTP disparaissent avec lui. Restaurer un téléphone depuis une sauvegarde qui excluait l'application, ou simplement la réinstaller, peut effacer vos codes tout aussi complètement. Sans codes de récupération, le second facteur est tout simplement perdu.

Ce qui suit est rarement agréable :

• Récupération via le support : Vous fournissez une preuve d'identité, attendez des jours ou des semaines, et pouvez quand même être refusé. Certaines personnes ne récupèrent jamais l'accès.
• Blocage définitif : Certains services n'offrent aucun parcours de récupération humaine. Si les codes sont la seule solution de secours et que vous avez omis de les enregistrer, le compte est inaccessible — e-mail, fichiers, abonnements, tout ce qui se trouve derrière.

Les blocages arrivent rarement au bon moment. C'est généralement au moment où vous avez urgemment besoin du compte : une échéance fiscale, une candidature, des photos de famille.

Les codes de récupération existent précisément pour ce scénario. Ils sont la sauvegarde de votre sauvegarde. Les enregistrer prend deux minutes ; les ignorer peut coûter un compte définitivement.

Stocker les codes de récupération dans un gestionnaire de mots de passe

La plupart des gestionnaires de mots de passe — Bitwarden, 1Password, KeePass et outils similaires — proposent une fonction de notes sécurisées ou autorisent les pièces jointes. Les deux conviennent parfaitement aux codes de récupération. Créez une note, collez-y les codes et nommez-la clairement, par exemple « Codes de récupération Google ».

Pourquoi cette méthode fonctionne bien

• Stockage chiffré. Vos codes sont protégés par le même chiffrement que vos mots de passe.
• Recherchables. Tapez le nom du service et les codes apparaissent instantanément — pas besoin de fouiller les tiroirs.
• Synchronisés sur tous les appareils. Les codes sont disponibles sur votre téléphone, votre ordinateur portable ou votre tablette.
• Prêts pour les nouveaux appareils. Lorsque vous vous connectez à un compte depuis un appareil inconnu, il peut vous être demandé un code 2FA que vous ne pouvez pas encore générer. Les codes de récupération stockés dans votre gestionnaire sont là, au moment où vous en avez besoin.

Une mise en garde importante

Si vous oubliez votre mot de passe maître, vous perdez tout ce qu'il contient : les mots de passe et les codes de récupération ensemble. C'est pourquoi beaucoup de personnes conservent une copie écrite en filet de sécurité, comme décrit dans la section suivante.

Stockage hors ligne : papier et copies physiques

La méthode hors ligne la plus simple est aussi la plus ancienne : notez vos codes ou imprimez-les, puis placez le papier à un endroit où un voleur ne tomberait pas dessus par hasard — un coffre-fort domestique, un tiroir fermé à clé, ou une boîte à documents ignifugée.

Pourquoi le hors ligne l'emporte en sécurité

Le papier présente un avantage majeur sur toutes les options numériques : rien à pirater. Une feuille imprimée ne peut pas fuiter lors d'une fuite de données, ne peut pas vous être soutirée par hameçonnage, et continue de fonctionner quand votre téléphone meurt ou que le disque de votre ordinateur portable tombe en panne. Si toute votre vie numérique était compromise demain, les codes sur papier resteraient en sécurité.

Les compromis

Les faiblesses du papier sont physiques :

• Perte ou dommage — le feu, l'eau et l'oubli détruisent tous le papier. Gardez-le au sec, à l'abri de la chaleur, et envisagez une seconde copie dans un autre endroit.
• Découverte par autrui — quiconque trouve une feuille non étiquetée de codes aléatoires peut comprendre ce qu'ils sont. Rangez-la discrètement, idéalement sans le nom du site en grosses lettres.

Traitez le papier comme une clé de rechange de la maison : cachée, protégée, et jamais laissée en évidence.

Ce qu'il faut éviter

Les codes de récupération ne sont aussi sûrs que l'endroit où vous les rangez. Quelques erreurs courantes annulent tout le travail que fait la 2FA.

Texte brut et endroits « pratiques »

Ne stockez jamais les codes de récupération dans :

• Des fichiers texte en clair sur votre bureau
• Des brouillons d'e-mails ou des e-mails envoyés à vous-même
• Des applications de notes sans chiffrement
• Des disques cloud non protégés par une authentification forte

Quiconque accède à votre boîte de réception, à votre ordinateur ou à votre compte cloud obtient un raccourci vers votre 2FA — exactement ce que les codes sont censés empêcher.

Captures d'écran

Ne faites pas de captures d'écran des codes dans votre galerie photo. Les photos de téléphone sont souvent synchronisées automatiquement avec le stockage cloud, rarement chiffrées, et faciles à exposer — via un album partagé, un technicien de réparation ou un téléphone perdu. Une capture d'écran semble être une copie enregistrée ; c'est en réalité une copie publiée.

Partage des codes lors d'une demande d'aide

Ne collez jamais les codes de récupération dans des tickets d'assistance, des messages de chat ou des forums — pas même pour prouver votre identité. Le personnel d'assistance légitime ne les demandera jamais. Un code partagé dans un message peut être copié, transféré ou enregistré, et il fonctionne exactement comme un mot de passe.

Utilisation et renouvellement des codes de récupération

Chaque code ne fonctionne qu'une seule fois

Les codes de récupération sont à usage unique. Une fois que vous vous connectez avec l'un d'eux, il est consommé. Gardez le compte : si vos codes sont sur papier, barrez chacun au fur et à mesure de son utilisation. S'ils sont dans un gestionnaire de mots de passe, supprimez l'entrée utilisée ou marquez-la clairement. Cela vous évite le moment frustrant d'essayer trois codes pour réaliser que deux étaient déjà grillés.

Quand les régénérer

Générez une nouvelle série si vous suspectez une exposition — une capture d'écran partagée, une note dans un dossier synchronisé auquel vous ne faites plus confiance, un sac disparu. Envisagez aussi de régénérer après en avoir utilisé plusieurs, afin que votre réserve restante reste saine.

Un détail crucial : la régénération invalide généralement immédiatement tous les anciens codes. Enregistrez la nouvelle série dans votre lieu de stockage avant de quitter la page des paramètres, sinon vous risquez de vous retrouver bloqué.

Nouveaux comptes, nouveaux codes

Chaque fois que vous activez la 2FA sur un nouveau compte, vous recevrez de nouveaux codes de récupération. Rangez-les immédiatement dans votre système de stockage existant — une habitude cohérente vaut mieux que plusieurs improvisées.

Une simple routine de stockage qui fonctionne

Une configuration valable ne nécessite que deux copies :

• Principale : les codes de récupération enregistrés dans votre gestionnaire de mots de passe sous forme de note sécurisée, à côté de l'identifiant du compte.
• Sauvegarde : une copie papier rangée en lieu sûr chez vous — un tiroir fermant à clé, un coffre ignifuge ou un coffre-fort domestique.

Rendre la copie papier retrouvable

Étiquetez-la clairement avec le nom du compte et la date à laquelle vous l'avez enregistrée : « ExampleMail — codes de récupération — enregistrés en juin 2025. » Six mois plus tard, un bout de papier sans étiquette ne sert à rien. La date vous indique aussi si les codes sont toujours valables.

Testez-la une fois

Une sauvegarde jamais testée n'est qu'une supposition. Déconnectez-vous ou utilisez un second appareil, connectez-vous avec un code de récupération de votre copie papier, confirmez que cela fonctionne, puis régénérez les codes et mettez à jour les deux copies. Un seul test, et c'est fait.

En résumé

Enregistrez les codes dès l'activation de la 2FA, conservez deux copies, étiquetez et datez la copie papier, testez le dispositif une fois. C'est toute la routine — et elle transforme une urgence de blocage en correction de deux minutes.