La double authentification est la protection la plus efficace qui existe pour un compte en ligne. Elle est aussi celle qu'on repousse le plus, par crainte de se compliquer la vie — ou de se retrouver enfermé dehors.
Voici ce qu'elle fait réellement, les différences entre les méthodes disponibles, et surtout comment l'activer sans risquer de perdre l'accès à votre compte.
Le principe en une phrase
Se connecter demande deux preuves au lieu d'une : quelque chose que vous savez (le mot de passe) et quelque chose que vous possédez (votre téléphone, votre boîte e-mail).
Conséquence directe : un mot de passe volé ne suffit plus. C'est la seule protection qui reste efficace même après une fuite de données — et il y en a chaque année.
Les trois méthodes, et ce qui les distingue
L'application d'authentification (TOTP)
Une application sur votre téléphone génère un code à six chiffres qui change toutes les trente secondes.
Ce qu'il faut comprendre, et qui surprend souvent : cette application ne communique avec personne. Au moment de l'activation, votre compte et l'application partagent un secret. Ensuite, chacun calcule le même code de son côté, à partir de ce secret et de l'heure. Même secret, même horloge, même résultat — sans échange.
C'est pour cette raison qu'une application d'authentification fonctionne en mode avion. Elle ne dépend d'aucun service, d'aucun opérateur, d'aucune connexion. Si l'éditeur de l'application disparaissait demain, vous pourriez basculer vers une autre avec le même secret.
Le point d'attention : ce secret ne vous est montré qu'une fois, à l'activation.
Le code par e-mail
Un code à usage unique est envoyé à votre adresse e-mail, valable quelques minutes.
Avantage : rien à installer, accessible depuis n'importe quel appareil.
Limite : la sécurité de votre compte devient celle de votre boîte e-mail. Si quelqu'un y accède, la protection tombe. Cette méthode a donc surtout du sens si votre messagerie est elle-même protégée par une double authentification.
Le code par SMS
Un code envoyé par message sur votre numéro.
Avantage : le plus simple, aucune installation, fonctionne sur n'importe quel téléphone.
Limite : c'est la méthode la moins sûre des trois. Le détournement de carte SIM — obtenir un duplicata de votre numéro auprès de l'opérateur en usurpant votre identité — est une attaque documentée et pratiquée.
Que choisir
Par ordre de robustesse : application > e-mail > SMS. Cela dit, n'importe laquelle vaut infiniment mieux qu'aucune. Si l'application vous rebute, activez l'e-mail — le pire choix reste de ne rien activer.
Les codes de secours : la partie qu'on néglige
C'est le point le plus important de cet article.
Une double authentification sans filet transforme une protection en risque : téléphone perdu, volé, réinitialisé, ou boîte e-mail inaccessible — et votre compte devient irrécupérable.
Les codes de secours sont ce filet. Ce sont des codes à usage unique, générés à l'activation, qui permettent de se connecter quelle que soit la méthode habituelle.
Comment les conserver
- Pas dans votre téléphone. C'est précisément l'appareil que vous risquez de perdre.
- Pas dans un e-mail à vous-même. Si votre messagerie est compromise, tout tombe ensemble.
- Dans un gestionnaire de mots de passe, ou imprimés et rangés avec vos documents importants.
Chaque code ne fonctionne qu'une fois. Quand il en reste peu, régénérez le lot — les anciens sont alors annulés.
Activer sans se piéger
- Installez une application d'authentification (plusieurs sont gratuites et fonctionnent avec tous les sites).
- Scannez le code affiché. Il ne contient qu'une chaîne de texte transmettant le secret — la saisie manuelle de la clé fait exactement la même chose.
- Sauvegardez la clé secrète hors de votre téléphone, avant de valider.
- Notez vos codes de secours au moment où ils s'affichent : ils ne seront plus consultables ensuite.
- Testez en vous déconnectant et en vous reconnectant immédiatement, pendant que tout est frais.
Questions fréquentes
« Et si je change de téléphone ? » Avec la clé secrète sauvegardée, vous reconfigurez l'application sur le nouvel appareil en quelques secondes. Sans elle, il faut passer par un code de secours.
« Le code est refusé alors qu'il est bon. » C'est presque toujours un décalage d'horloge sur le téléphone. Activez la synchronisation automatique de l'heure.
« Je dois saisir un code à chaque connexion ? » Oui, et cela prend cinq secondes. C'est le prix d'une protection qui résiste à une fuite de mot de passe.
En résumé
Activez la double authentification, privilégiez l'application si possible, et surtout : sauvegardez vos codes de secours ailleurs que sur votre téléphone. Ces dix minutes valent mieux que toutes les précautions ultérieures.
Pour l'ensemble des bonnes pratiques de sécurité, consultez notre guide Sécuriser son compte et ses gains.