Double authentification : sécuriser ses comptes en ligne

La double authentification exige deux preuves d’identité pour ouvrir un compte : votre mot de passe, puis un second élément que vous possédez. Un identifiant volé ne suffit plus. Toutes les méthodes ne se valent pas : le SMS résiste mal aux attaques ciblées, la clé physique les bloque toutes.

Deux preuves d’une nature différente

Un mot de passe repose sur une hypothèse fragile : que personne d’autre ne le connaisse. Les fuites de bases de données rendent cette hypothèse fausse en permanence, et un mot de passe réutilisé sur trois sites tombe avec le maillon le plus faible des trois. La double authentification supprime ce point unique de défaillance.

Les spécialistes classent les preuves d’identité en trois familles :

• Ce que vous savez : mot de passe, code PIN, réponse à une question secrète
• Ce que vous possédez : téléphone, clé physique, carte à puce
• Ce que vous êtes : empreinte digitale, forme du visage, voix

La règle tient en une phrase : les deux facteurs doivent appartenir à des familles différentes. Un mot de passe suivi d’une question secrète ne fait pas une authentification forte, juste deux secrets de même nature, tous deux vulnérables au même vol de base de données.

L’ANSSI et la CNIL ont co-rédigé le document de référence français sur le sujet, publié le 8 octobre 2021 sous la référence ANSSI-PG-078 et intitulé « Recommandations relatives à l’authentification multifacteur et aux mots de passe ». Il rassemble quarante-deux recommandations. La CNIL a de son côté adopté la délibération numéro 2022-100 du 21 juillet 2022, qui remplace son texte de 2017 et considère explicitement le second facteur comme un niveau de sécurité supérieur au mot de passe seul.

Toutes les méthodes ne protègent pas pareil

Le chiffre le plus solide sur le sujet vient d’une étude menée pendant un an par Google avec des chercheurs de l’université de New York et de l’université de Californie à San Diego, présentée à The Web Conference en mai 2019. Elle porte sur plus de trois cent cinquante mille tentatives réelles de détournement de comptes, observées sur un échantillon de 1,2 million d’utilisateurs.

Lisez ce tableau dans le bon sens. La colonne de gauche montre que n’importe quelle méthode annule les attaques industrielles, celles qui rejouent automatiquement des millions d’identifiants issus de fuites. C’est déjà l’écrasante majorité du risque quotidien.

L’écart se creuse sur la colonne de droite. Face à un attaquant qui vous vise personnellement, le SMS laisse passer près d’un quart des tentatives, quand la clé physique n’en laisse passer aucune. Le classement des méthodes suit donc une logique simple : plus le second facteur est lié à un objet difficile à intercepter à distance, plus il tient.

Le SMS, le maillon que les fraudeurs savent tordre

Le code par SMS souffre d’un défaut structurel : votre numéro de téléphone n’est pas attaché à votre appareil, mais à une ligne que votre opérateur peut transférer sur une autre carte SIM. Cette manipulation porte un nom, le SIM swapping, et elle se joue souvent par téléphone, en manipulant un conseiller du service client avec quelques informations personnelles glanées sur les réseaux sociaux.

Le FBI a publié une alerte publique le 8 février 2022 sur cette bascule. Son centre de plaintes, l’Internet Crime Complaint Center, avait enregistré 1 611 signalements d’échange de carte SIM sur la seule année 2021, pour plus de 68 millions de dollars de pertes déclarées. Sur les trois années précédentes réunies, de janvier 2018 à décembre 2020, le même centre n’avait reçu que 320 signalements, pour environ 12 millions de dollars.

Une fois la ligne détournée, tous les codes de vérification arrivent chez l’attaquant. Le mot de passe compte alors peu : la procédure de réinitialisation lui suffit. Le SMS reste malgré tout très supérieur à l’absence de second facteur, et certaines banques ou administrations n’offrent rien d’autre. Activez-le sans hésiter quand il est seul disponible, puis basculez vers une application dès que le service en propose une.

L’application d’authentification, le meilleur rapport effort-protection

Une application d’authentification génère localement un code à six chiffres qui change toutes les trente secondes. Le calcul repose sur un standard public, l’algorithme TOTP décrit par la RFC 6238 publiée en mai 2011 : votre appareil et le serveur partagent une clé secrète et une horloge, chacun calcule le même code de son côté, sans jamais l’échanger sur le réseau.

Cette architecture change tout. Aucun code ne transite par le réseau mobile, donc aucun opérateur ne peut le détourner. L’application fonctionne en mode avion, dans un train sans réseau, à l’étranger sans carte SIM locale. Le secret initial, transmis une seule fois au moment de l’activation via un code graphique à scanner, ne quitte plus l’appareil.

Concrètement, l’activation prend deux minutes par compte : ouvrez les paramètres de sécurité du service, choisissez l’option d’application d’authentification, scannez le code affiché, saisissez le premier code généré pour confirmer. Certains gestionnaires de mots de passe intègrent directement cette fonction, ce qui évite d’installer une application supplémentaire. Les critères de choix d’un tel outil figurent dans notre comparatif pour choisir un gestionnaire de mots de passe.

Un détail décide de la suite : sauvegardez le secret initial ou les codes de secours au moment de l’activation, jamais après. Un téléphone perdu sans cette précaution ferme la porte de votre côté aussi.

Clés physiques et clés d’accès, le haut du panier

La clé de sécurité est un petit objet que vous branchez ou approchez de votre appareil pour valider la connexion. Sa force tient à un mécanisme cryptographique : la clé vérifie l’adresse exacte du site avant de répondre. Un site sosie, même visuellement parfait, obtient un refus silencieux, car son adresse ne correspond pas à celle enregistrée. Aucune vigilance humaine n’est requise, la machine tranche.

Ce fonctionnement repose sur WebAuthn, une spécification technique devenue recommandation officielle du World Wide Web Consortium en mars 2019, développée conjointement avec l’alliance FIDO. Le même socle porte aujourd’hui les clés d’accès, souvent appelées passkeys : votre appareil conserve une clé privée qui ne le quitte jamais et signe les demandes de connexion après un déverrouillage biométrique ou par code.

La différence pratique avec l’application d’authentification : il n’y a plus rien à recopier. Vous déverrouillez, la signature part, la session s’ouvre. Il n’y a donc plus de code à se faire soutirer par téléphone ou à saisir sur une fausse page. Les grands services grand public déploient progressivement cette option, souvent en complément du mot de passe avant de le remplacer.

Le coût reste le frein principal pour la clé matérielle, avec un budget de quelques dizaines d’euros, et l’usage impose d’en posséder deux : une en usage courant, une rangée en secours. Les clés d’accès, elles, ne coûtent rien et s’appuient sur le téléphone ou l’ordinateur que vous avez déjà.

Par quel compte commencer

Protéger tous ses comptes le même jour décourage. Une hiérarchie s’impose, et elle commence par un compte que la plupart des utilisateurs négligent.

Le compte email passe en premier, avant la banque. Raison mécanique : votre adresse reçoit les liens de réinitialisation de tous les autres services. Un attaquant qui la contrôle se sert lui-même, service après service, sans jamais avoir à deviner un seul mot de passe. La boîte mail est la clé du trousseau, pas une porte parmi d’autres.

L’ordre à suivre ensuite :

1. Messagerie principale, y compris l’ancienne adresse encore utilisée comme contact de secours
2. Comptes bancaires et solutions de paiement
3. Stockage en ligne où vivent documents administratifs et photos
4. Réseaux sociaux et comptes professionnels servant à l’identification
5. Boutiques en ligne où une carte bancaire est enregistrée

En structure, la démarche se pilote de façon plus systématique, avec un inventaire des accès et une règle applicable à tous les salariés. Cette logique s’inscrit dans les fondamentaux de la cybersécurité en entreprise, où le second facteur figure parmi les mesures de base.

Les codes de secours, l’angle mort du dispositif

Chaque service qui active un second facteur affiche, une seule fois, une liste de huit à dix codes de secours à usage unique. La quasi-totalité des utilisateurs ferme cette fenêtre sans rien noter. C’est la cause numéro un des comptes définitivement perdus après un changement de téléphone.

Ces codes remplacent le second facteur quand l’appareil habituel manque à l’appel. Trois emplacements tiennent la route :

• Imprimés ou recopiés sur papier, rangés avec vos documents importants, loin de l’ordinateur
• Enregistrés dans un gestionnaire de mots de passe protégé par un second facteur différent
• Sauvegardés dans un fichier chiffré, inclus dans votre stratégie de sauvegarde des données

Ce qu’il ne faut surtout pas faire : les laisser dans un fichier texte sur le bureau de l’ordinateur, ou dans un brouillon d’email. Un attaquant qui accède à la boîte mail y trouverait la porte de sortie de secours en même temps que la porte principale.

Rayez chaque code utilisé et régénérez la liste quand il n’en reste que deux ou trois. Beaucoup de services proposent cette régénération en un clic dans les paramètres de sécurité.

Ce que la double authentification ne bloque pas

Un second facteur n’est pas un bouclier universel, et le croire produit une baisse de vigilance dangereuse. Trois scénarios continuent de passer.

L’hameçonnage en temps réel arrive en tête. L’attaquant place un serveur intermédiaire entre vous et le vrai site : vous saisissez identifiant puis code sur sa page, il les rejoue immédiatement sur le service légitime et récupère la session ouverte. Le cadenas affiché par le navigateur ne prouve rien ici, puisqu’un site frauduleux obtient un certificat en quelques minutes, comme l’explique notre article sur le certificat SSL et le passage en HTTPS. Seules les clés d’accès et les clés physiques résistent, parce qu’elles vérifient l’adresse elles-mêmes.

Le harcèlement par notifications vient ensuite. Un attaquant qui détient déjà votre mot de passe déclenche des dizaines de demandes de validation, souvent la nuit, jusqu’à ce que vous appuyiez sur « autoriser » pour retrouver le silence. Le réflexe à ancrer : une notification que vous n’avez pas provoquée se refuse, puis le mot de passe se change dans la foulée.

Le vol de session ferme la liste. Un logiciel malveillant installé sur la machine copie le jeton de connexion déjà validé, ce qui lui évite de repasser par la moindre authentification. La parade ne relève plus du second facteur mais de l’hygiène de la machine : mises à jour appliquées, téléchargements maîtrisés, extensions de navigateur limitées au strict nécessaire.

Perdre son téléphone sans perdre ses comptes

Le téléphone concentre souvent l’application d’authentification, la ligne qui reçoit les SMS et les clés d’accès. Sa perte devient alors un incident bloquant. Préparez la panne avant qu’elle arrive.

Enregistrez au moins deux méthodes différentes sur vos comptes sensibles : une application sur le téléphone et une clé physique, ou une application déclarée sur deux appareils distincts. Certains outils synchronisent leurs secrets sur un compte chiffré, ce qui restaure l’ensemble sur un nouvel appareil en une manipulation.

Le scénario du téléphone hors service mérite une répétition à froid, au même titre qu’un test de restauration de sauvegarde. Les gestes d’urgence à connaître, quand l’appareil devient inutilisable du jour au lendemain, rejoignent ceux décrits pour un smartphone tombé dans l’eau, où la récupération des accès conditionne tout le reste. Notez dès aujourd’hui, sur une feuille rangée avec vos papiers, la liste des comptes protégés par un second facteur et la méthode retenue pour chacun. Le jour de l’incident, cet inventaire vous évite de découvrir au hasard quelles portes se sont refermées.

L’essentiel à retenir

Deux facteurs de familles différentes, une application plutôt qu’un SMS quand le choix existe, une clé physique ou une clé d’accès sur les comptes qui comptent vraiment, et des codes de secours rangés hors de l’ordinateur. Ces quatre décisions couvrent la quasi-totalité des scénarios d’intrusion documentés.

Prochaine étape : ouvrez les paramètres de sécurité de votre messagerie principale, activez une application d’authentification, notez les codes de secours sur papier et rangez-les avec vos papiers d’identité. Comptez dix minutes. Vous venez de verrouiller la porte qui commande toutes les autres.