Double authentification : pourquoi l'activer partout

Un mot de passe volé, et c'est un compte entier qui part avec. La double authentification ajoute une seconde preuve d'identité au moment de la connexion, et c'est le geste de sécurité qui rapporte le plus pour le temps qu'il coûte. Voilà pourquoi l'activer partout, et comment choisir la bonne méthode.

C'est quoi la double authentification, en clair ?

La double authentification (2FA, ou vérification en deux étapes) réclame deux preuves de nature différente pour ouvrir un compte : quelque chose que tu connais (ton mot de passe) et quelque chose que tu possèdes (ton téléphone, une clé physique). Un attaquant qui récupère ton mot de passe dans une fuite de données bute sur la deuxième porte, faute d'avoir ton téléphone entre les mains. Tout le principe tient là : ne plus faire reposer un compte entier sur une seule chaîne de caractères.

Pourquoi l'activer partout, même sur un compte sans enjeu ?

Parce que les mesures sont sans appel, et parce qu'aucun compte n'est vraiment isolé. Une étude Microsoft publiée en 2023 sur des comptes Azure Active Directory chiffre à 99,22 % la réduction du risque de compromission quand le second facteur est actif, et à 98,56 % dans les cas où les identifiants avaient déjà fuité. Côté Google, une étude menée avec l'université de New York et UC San Diego montrait dès 2019 qu'un simple code reçu par SMS bloquait 100 % des attaques automatisées et 96 % du phishing de masse.

Reste l'effet domino. Ta boîte mail est la clé de tous tes autres comptes, puisque c'est elle qui reçoit les liens de réinitialisation. Un forum oublié où tu as recyclé ton mot de passe habituel devient une porte d'entrée. C'est pour ça qu'un gestionnaire de mots de passe et la double authentification vont par paire : le premier supprime le recyclage, la seconde protège ce qui reste.

SMS, application ou clé : quelle méthode choisir ?

Les méthodes ne se valent pas, et l'écart s'est creusé. Le SMS reste le plancher acceptable, mais il souffre du SIM swapping (un attaquant fait transférer ton numéro sur sa propre carte SIM). Le NIST, l'agence américaine des standards, l'a d'ailleurs rangé parmi les authentifiants « restreints » dans la révision 4 de sa norme SP 800-63B, publiée en 2025 : encore autorisé, mais sous conditions et avec une trajectoire de sortie.

Un cran au-dessus : une application d'authentification (Aegis, Ente Auth, 2FAS, Google Authenticator) qui calcule un code toutes les 30 secondes, hors ligne. Encore au-dessus : les clés de sécurité physiques et les passkeys, les seules à résister au phishing par conception. Ça compte, parce que les kits d'attaque actuels relaient ton code en temps réel : tu le tapes sur un faux site, il est rejoué sur le vrai dans la seconde. Un code se recopie, une clé cryptographique non, elle vérifie le nom de domaine avant de répondre.

Par où commencer, dans quel ordre

Dix minutes suffisent pour couvrir l'essentiel. Commence par la boîte mail principale (c'est le trousseau de tout le reste), puis le gestionnaire de mots de passe, puis les comptes qui touchent à l'argent (banque, PayPal, boutiques où ta carte est enregistrée), et enfin les réseaux sociaux et les accès professionnels.

Deux réflexes à ne pas sauter : récupère les codes de secours proposés au moment de l'activation et range-les ailleurs que sur le téléphone concerné, puis déclare un second appareil quand le service l'autorise. L'incident le plus fréquent n'est pas le piratage, c'est le téléphone perdu sans plan B.

FAQ

Double authentification et vérification en deux étapes, c'est pareil ?

Dans l'usage courant, oui : les services emploient les deux termes pour la même chose. La nuance théorique porte sur la nature des facteurs, mais la manipulation est identique côté utilisateur.

Que se passe-t-il si je perds mon téléphone ?

Tu te connectes avec un code de secours généré à l'activation, ou depuis un second appareil déclaré. Sans l'un ni l'autre, il reste la procédure de récupération du service, souvent longue et parfois sans issue.

Le SMS, ça vaut quand même le coup ?

Oui, bien mieux que rien : il arrête l'écrasante majorité des attaques automatisées. Mais dès que le service propose une application d'authentification ou une clé, prends-la.

Sources

• Microsoft Research : How effective is multifactor authentication at deterring cyberattacks? : étude 2023 mesurant 99,22 % de réduction du risque de compromission
• Google Security Blog : New research on account hijacking : étude Google, NYU et UC San Diego sur l'efficacité comparée des seconds facteurs
• NIST SP 800-63B-4, section 3.1.3.3 : le SMS classé authentifiant restreint dans la révision 4 des Digital Identity Guidelines