Une amie m'a appelé un soir, paniquée. Sa boîte mail pro avait été piratée, et l'attaquant envoyait des factures frauduleuses à ses clients depuis son adresse. Le détail qui m'a scié : elle avait un mot de passe de 22 caractères, unique, qu'elle changeait tous les six mois. Elle faisait tout « bien ». Sauf une chose. Elle n'avait jamais activé la double authentification. Une seule case non cochée quelque part dans un menu, et deux ans de travail menacés en une soirée.
Cette histoire m'a poursuivi longtemps, parce qu'elle résume un malentendu tenace : on croit que la sécurité d'un compte repose sur la solidité du mot de passe. Ça n'a jamais été vrai. Un mot de passe, même excellent, reste un secret que vous partagez sans le savoir avec quiconque le vole. L'authentification à deux facteurs, ou 2FA, existe précisément pour rendre ce vol insuffisant. Voyons ce que c'est vraiment, et surtout pourquoi vous devriez l'activer partout où c'est possible.
Points clés à retenir
- Le 2FA exige deux preuves d'identité de nature différente : quelque chose que vous savez, que vous possédez, ou que vous êtes.
- Un mot de passe volé ne suffit plus à ouvrir votre compte, même s'il est correct.
- Toutes les méthodes de second facteur ne se valent pas : le SMS est le maillon faible, la clé physique le plus solide.
- Le 2FA a ses propres failles : SIM swapping, fatigue de notification, phishing de codes.
- L'activation prend en général moins de cinq minutes par service.
- Priorité absolue : boîte mail, banque, gestionnaire de mots de passe.
Qu'est-ce que l'authentification à deux facteurs, concrètement ?
Quand vous retirez de l'argent à un distributeur, vous faites deux choses : vous insérez une carte (quelque chose que vous possédez), puis vous tapez un code (quelque chose que vous savez). L'un sans l'autre ne donne rien. Si quelqu'un trouve votre code, il lui manque la carte. S'il vole la carte, il lui manque le code.
C'est exactement le principe du 2FA. On combine deux preuves d'identité qui appartiennent à des catégories différentes. Et c'est ce dernier point qui compte.
Les trois catégories de facteurs
La sécurité informatique range ces preuves en trois familles. Les connaître aide à comprendre pourquoi certaines combinaisons protègent mieux que d'autres.
- Ce que vous savez : mot de passe, code PIN, réponse à une question secrète.
- Ce que vous possédez : votre téléphone, une clé USB de sécurité, une carte à puce, un badge.
- Ce que vous êtes : empreinte digitale, reconnaissance faciale, iris. La biométrie, en somme.
Deux mots de passe ne font pas du 2FA. Deux codes PIN non plus. Il faut deux familles distinctes. Beaucoup de gens pensent être protégés parce qu'ils ont « plusieurs mots de passe ». Non : ils ont juste un facteur, répété.
2FA ou MFA, quelle différence ?
Vous croiserez souvent le terme MFA, pour authentification multifacteur. Le 2FA est un cas particulier du MFA : deux facteurs exactement. Le MFA peut en aligner trois, quatre, parfois plus (mot de passe + téléphone + empreinte, par exemple).
Dans la vraie vie, pour un compte personnel, la distinction change peu de chose. Deux facteurs bien choisis suffisent à décourager la quasi-totalité des attaques automatisées. Trois, c'est du confort pour les environnements très sensibles. Ne vous laissez pas bloquer par le vocabulaire : activez au moins deux facteurs, la suite est secondaire.
Pourquoi le mot de passe seul ne suffit plus
Il faut comprendre une chose que l'on sous-estime : votre mot de passe, vous ne le gardez pas pour vous. Vous le confiez à chaque site où vous créez un compte, à chaque connexion sur un réseau non chiffré, à chaque base de données d'un service qui se fera pirater un jour. Et certains de ces endroits fuiteront.
J'ai longtemps cru, moi aussi, qu'un mot de passe long et unique réglait la question. Puis j'ai découvert une fuite concernant un vieux forum où je m'étais inscrit des années plus tôt : mon adresse et mon mot de passe y traînaient en clair. Je l'avais réutilisé ailleurs. Bref, la leçon a été rapide.
Les attaques qui vivent du mot de passe seul
Trois scénarios reviennent sans cesse, et tous les trois s'effondrent face au 2FA.
- La fuite de base de données. Un service stocke mal les mots de passe. L'attaquant récupère des millions de combinaisons et les essaie ailleurs. C'est le fameux credential stuffing.
- Le phishing. Une page imite votre banque, vous tapez vos identifiants, ils partent directement chez l'attaquant.
- L'attaque par force brute. Un robot essaie des milliers de mots de passe probables jusqu'à trouver le bon.
Avec un second facteur, le premier scénario devient inutile, le deuxième demande beaucoup plus d'efforts (nous y reviendrons, car le phishing sait contourner certains 2FA), et le troisième échoue presque toujours.
Quelles méthodes de 2FA, et lesquelles choisir ?
Toutes les secondes vérifications ne se valent pas. C'est la partie que je trouve la plus mal expliquée partout, alors qu'elle détermine vraiment votre niveau de protection. Voici un classement honnête, du plus faible au plus solide.
| Méthode | Ce qu'il faut | Niveau de sécurité | À retenir |
|---|---|---|---|
| Code par SMS | Votre numéro de téléphone | Faible | Mieux que rien, mais vulnérable au SIM swapping |
| Notification dans une appli | Un smartphone | Moyen | Pratique, mais exposé à la fatigue de notification |
| Application TOTP (code à 6 chiffres) | Une appli d'authentification | Bon | Fonctionne hors ligne, aucun coût |
| Clé de sécurité physique (FIDO2) | Un petit boîtier USB ou NFC | Élevé | Résiste au phishing, mais à acheter et à garder sur soi |
| Passkey | Votre appareil, biométrie | Élevé | De plus en plus répandue, rien à retenir |
Le SMS, pourquoi c'est le maillon faible
Le code par SMS a un immense mérite : il est disponible partout, sans rien installer. Mais il repose sur un maillon fragile, votre opérateur téléphonique. Un attaquant peut se faire passer pour vous, convaincre le service client de transférer votre numéro sur une autre carte SIM, et récupérer vos codes. C'est le SIM swapping.
Est-ce que ça vous arrivera demain ? Non. Est-ce que ça vaut le coup de passer à mieux quand c'est possible ? Oui, sans hésiter.
La fatigue de notification, l'attaque qu'on oublie
Le 2FA a ses propres failles. La plus sous-estimée porte un nom : la fatigue de notification. L'attaquant connaît déjà votre mot de passe. Il déclenche alors des dizaines de demandes de validation d'affilée, en espérant qu'à la trentième, épuisé, vous appuyiez sur « approuver » par réflexe.
La règle est simple et je la répète à chaque personne qui me demande conseil : si vous recevez une demande de validation que vous n'avez pas déclenchée, refusez-la. Et si elles pleuvent, c'est le signal que votre mot de passe est déjà compromis. Changez-le immédiatement.
Comment activer la double authentification, étapes par étapes
La mécanique est presque toujours la même, quel que soit le service. Une fois que vous l'avez faite deux fois, vous la reconnaîtrez partout.
- Ouvrez les paramètres de sécurité de votre compte, ou cherchez « sécurité » dans les réglages.
- Cherchez la mention « validation en deux étapes », « authentification à deux facteurs » ou « connexion sécurisée ».
- Choisissez votre méthode : application d'authentification d'abord, SMS seulement en secours.
- Scannez le QR code affiché avec votre application, ou saisissez le code fourni.
- Notez les codes de secours sur un papier rangé ailleurs que dans le compte concerné.
- Validez, puis reconnectez-vous une fois pour vérifier que tout fonctionne.
Ce dernier point paraît anodin. Il ne l'est pas : chaque semaine, quelqu'un se retrouve enfermé hors de son propre compte parce qu'il a sauté l'étape du code de secours. Enregistrez-le, vraiment.
Par où commencer
Tout activer d'un coup est fastidieux. Je conseille de traiter les comptes dans cet ordre : d'abord votre boîte mail principale — elle sert à réinitialiser tous les autres mots de passe, donc c'est la clé de voûte de tout le reste. Ensuite votre banque en ligne. Puis votre gestionnaire de mots de passe, s'il n'en a pas déjà un. Enfin les réseaux sociaux et les boutiques en ligne.
Cette hiérarchie n'est pas arbitraire : elle protège d'abord ce qui permet d'ouvrir tout le reste.
Donc, faut-il vraiment l'activer partout ?
Mon avis est tranché, et j'assume d'être partial : oui, partout où c'est proposé. Le rapport entre les cinq minutes d'installation et le risque évité est l'un des meilleurs que je connaisse en matière de sécurité personnelle.
Il y a pourtant des objections légitimes. « C'est pénible à chaque connexion. » Vrai, un peu — mais la plupart des services proposent de mémoriser l'appareil pendant trente jours, ce qui réduit la friction à presque rien. « Et si je perds mon téléphone ? » C'est précisément à ça que servent les codes de secours, et pourquoi je vous ai fait les noter. « Et si mon opérateur me laisse tomber ? » Raison de plus pour préférer une application d'authentification au SMS.
Aucune de ces objections ne tient longtemps face à l'alternative. Un compte piraté, ce n'est pas un désagrément : c'est votre boîte mail aux mains d'un inconnu, vos contacts spammés en votre nom, vos comptes bancaires accessibles, votre réputation entamée. Le détail qui fait la différence tient souvent à une case qu'on n'a pas cochée.
Alors voilà ce que je propose, et c'est peut-être la seule chose à retenir de cet article : ouvrez maintenant les réglages de sécurité de votre boîte mail. Pas demain. Maintenant. Pendant que vous y pensez, l'activation prendra moins de temps que la lecture de ces dernières lignes. Et ce soir, un attaquant qui aura volé votre mot de passe se retrouvera, comme mon amie l'aurait voulu, devant une porte fermée.
