Un mot de passe, même bon, ne suffit pas

Le problème

Un mot de passe peut être volé même s’il est solide. La double authentification, ou 2FA, demande une preuve supplémentaire. Elle réduit les risques, mais ses différentes méthodes n’offrent pas toutes la même protection.

Un facteur peut être quelque chose que vous connaissez (un mot de passe), possédez (une clé ou un téléphone) ou êtes (une caractéristique biométrique). Une empreinte sert notamment à déverrouiller une clé d’accès sur un appareil ; elle n’est pas un code à envoyer au site.

Quelle méthode choisir ?

Méthode	Ce qu’il faut comprendre
Clé d’accès (passkey) ou clé de sécurité FIDO	Liée au site attendu, elle résiste au phishing de la connexion. Vérifiez les moyens de récupération.
Application d’authentification	Génère des codes sans dépendre des SMS. Un faux site peut encore vous demander le code et le relayer.
SMS	Utile si c’est la seule option, mais exposé notamment au détournement du numéro.

Une application qui demande de valider une notification n’est pas forcément résistante au phishing. Refusez toute demande de connexion que vous n’avez pas initiée et ouvrez vous-même les paramètres de votre compte.

Ce qu’il faut faire maintenant

Étape 1 : Ouvrir les paramètres officiels

Commencez par votre email. Utilisez l’application ou l’adresse du fournisseur, pas un lien reçu dans un message. Cherchez « Sécurité », « Connexion », « Clés d’accès » ou « Validation en deux étapes ». Les intitulés varient selon la version et le type de compte.

Étape 2 : Configurer une méthode disponible

Si le service propose une clé d’accès, créez-la sur un appareil personnel protégé par un verrouillage. Une personne qui peut déverrouiller cet appareil peut parfois utiliser ses clés d’accès : évitez les appareils partagés.

Sinon, configurez une application d’authentification depuis sa boutique officielle. Scannez le code de configuration et validez un code de test. Gardez votre session actuelle ouverte pendant la configuration. Si seuls les SMS sont proposés, activez-les.

Étape 3 : Préparer la récupération

Vérifiez les coordonnées de récupération. Conservez les codes de secours proposés hors ligne dans un lieu sûr, ou dans un coffre accessible indépendamment du compte protégé. Certains services utilisent une autre procédure : lisez-la avant de perdre l’accès à votre appareil.

Une clé d’accès synchronisée dépend aussi de la protection et de la récupération du compte qui la synchronise. Gardez une méthode de secours adaptée et ne supprimez pas vos anciens moyens d’accès avant d’avoir confirmé les nouveaux.

Étape 4 : Continuer avec les comptes importants

Protégez ensuite vos autres comptes. Votre banque peut imposer sa propre méthode ; utilisez celle qu’elle fournit. Ne transmettez jamais un code ou une validation à un prétendu conseiller.

Pour aller plus loin

Pourquoi les clés d’accès résistent au phishing

Les clés d’accès utilisent une paire de clés cryptographiques et vérifient le service auquel vous vous connectez. Elles ne signent pas une connexion pour un autre domaine comme le ferait un code recopié sur une fausse page. Cette protection ne rend pas un appareil compromis, une récupération détournée ou une session volée inoffensifs.

Le détournement de numéro

Une attaque par SIM swap transfère le contrôle d’un numéro à un attaquant. Il peut alors recevoir les SMS destinés à la victime. Protégez votre compte opérateur et contactez l’opérateur si votre ligne cesse soudainement de fonctionner sans explication.