Votre mot de passe a été volé lors d'une fuite de données. Un inconnu connaît votre adresse e-mail et votre code secret. Sans protection supplémentaire, il peut accéder à votre compte en quelques secondes. Avec l'authentification à deux facteurs activée, il ne peut pas. C'est aussi simple — et aussi efficace — que ça.
L'authentification à deux facteurs (abrégée 2FA, ou parfois appelée « validation en deux étapes » ou « double authentification ») est aujourd'hui l'une des mesures de sécurité les plus recommandées par les experts, par la CNIL et par l'ANSSI. Pourtant, une large majorité d'utilisateurs ne l'a toujours pas activée sur ses comptes.
Comment ça fonctionne ?
Le principe repose sur une logique simple : pour prouver votre identité, vous devez combiner deux éléments distincts appartenant à des catégories différentes :
- Ce que vous savez : votre mot de passe, votre code PIN
- Ce que vous possédez : votre smartphone, une clé de sécurité physique
- Ce que vous êtes : votre empreinte digitale, votre visage (biométrie)
Dans la pratique, voici ce que ça donne au quotidien : vous saisissez votre identifiant et votre mot de passe comme d'habitude. Le service vous demande ensuite de confirmer votre identité via un second canal — généralement un code à 6 chiffres valable 30 secondes, envoyé sur votre téléphone ou généré par une application. Sans ce second code, même quelqu'un qui connaît votre mot de passe ne peut pas entrer.
Pourquoi un mot de passe seul ne suffit plus
Les mots de passe sont compromis en masse et en permanence. En 2024, les fuites de données ont augmenté de 20 % selon la CNIL. Des milliards d'identifiants circulent sur des forums clandestins. Les pirates n'ont même pas besoin de vous cibler personnellement : ils testent automatiquement des millions de combinaisons e-mail/mot de passe issues de ces fuites sur de nombreux services. C'est ce qu'on appelle le credential stuffing.
Si vous utilisez le même mot de passe sur plusieurs sites — ce que fait la majorité des gens — une seule fuite suffit à compromettre tous vos comptes en cascade. La double authentification casse cette chaîne : même avec votre mot de passe, un attaquant sera bloqué à la deuxième étape.
Les différentes méthodes de 2FA
Toutes les méthodes ne se valent pas en termes de sécurité. Voici un panorama, de la moins à la plus robuste :
- Le code par SMS : un code est envoyé par message sur votre numéro de téléphone. C'est la méthode la plus répandue et la plus facile à mettre en place. Elle reste cependant vulnérable aux attaques dites de SIM swapping (usurpation de votre carte SIM auprès de votre opérateur). Acceptable, mais pas idéale.
- Le code par e-mail : similaire au SMS, mais le code est envoyé sur votre adresse e-mail. Pratique, mais la sécurité dépend entièrement de la robustesse de votre messagerie.
- L'application d'authentification (recommandée) : des applications comme Google Authenticator, Microsoft Authenticator ou Authy génèrent un code à usage unique toutes les 30 secondes, sans connexion internet nécessaire. Beaucoup plus sûr que le SMS car le code ne transite par aucun réseau.
- La clé de sécurité physique (FIDO2/U2F) : un petit dispositif USB ou NFC (comme une YubiKey) que vous branchez ou approchez de votre téléphone pour vous authentifier. La méthode la plus sécurisée qui existe, utilisée notamment par les journalistes, militants et professionnels exposés.
- La biométrie : empreinte digitale ou reconnaissance faciale via votre appareil. Pratique, mais dépend de la sécurité du fabricant de l'appareil.
Comment activer la 2FA sur vos services du quotidien
La marche à suivre est légèrement différente selon chaque plateforme, mais le chemin est toujours similaire : Paramètres → Sécurité → Authentification à deux facteurs.
- Google / Gmail : myaccount.google.com/security → "Validation en deux étapes" → choisissez l'application Google Authenticator de préférence au SMS.
- Facebook : Paramètres → Centre de sécurité → "Authentification à deux facteurs".
- Instagram : Paramètres → Sécurité → "Authentification à deux facteurs".
- Apple (identifiant Apple) : Réglages → [votre nom] → "Connexion et sécurité" → "Identification à deux facteurs". Sur le web : account.apple.com.
- Microsoft : account.microsoft.com/security → "Vérification en deux étapes".
- LinkedIn : Paramètres → Connexion et sécurité → "Vérification en deux étapes".
- Votre banque : depuis la directive européenne DSP2, toutes les banques sont tenues de proposer une authentification forte pour les accès en ligne et les paiements. Consultez l'espace sécurité de votre application bancaire.
Si vous ne savez pas si la 2FA est disponible sur un service spécifique, le site 2fa.directory référence des centaines de plateformes et indique les méthodes disponibles pour chacune.
Ce qu'il faut savoir avant d'activer la 2FA
Quelques précautions importantes pour ne pas vous retrouver bloqué hors de vos propres comptes :
- Sauvegardez vos codes de secours : lors de l'activation, la plupart des services vous fournissent des codes de récupération à usage unique. Notez-les et conservez-les en lieu sûr (hors ligne de préférence). Ils vous permettront de récupérer l'accès à votre compte si vous perdez votre téléphone.
- Si vous changez de téléphone, pensez à transférer vos codes d'application d'authentification avant de réinitialiser l'ancien appareil. Authy propose une option de sauvegarde dans le cloud, contrairement à Google Authenticator dans ses anciennes versions.
- La 2FA n'est pas infaillible : elle résiste à la très grande majorité des attaques courantes, mais des techniques sophistiquées comme le phishing en temps réel peuvent dans certains cas la contourner. Elle reste néanmoins indispensable.
Le bon réflexe en résumé
- Activez la 2FA sur tous vos comptes importants : messagerie, réseaux sociaux, banque, stockage cloud
- Privilégiez une application d'authentification (Google Authenticator, Authy, Microsoft Authenticator) plutôt que le SMS
- Conservez vos codes de secours dans un endroit sûr, hors ligne
- Utilisez 2fa.directory pour vérifier si vos services préférés proposent la 2FA
- En cas de doute ou de problème de connexion, consultez la page dédiée de la CNIL