Un mot de passe seul ne protège plus grand-chose : il suffit qu’il fuite une fois, sur un site tiers, pour qu’il circule ensuite sur tous les autres. La double authentification (ou authentification à deux facteurs) ajoute une deuxième preuve, indépendante du mot de passe, avant d’ouvrir un compte. Sur le papier, les trois méthodes courantes se ressemblent. Dans les faits, elles n’offrent pas du tout le même niveau de protection.
Trois façons de prouver que c’est bien vous
La première, la plus répandue, est le code reçu par SMS. Un message arrive sur le téléphone avec une suite de chiffres à saisir dans les minutes qui suivent. Simple, universel, mais dépendant du réseau mobile — et de la carte SIM elle-même, qui peut être détournée par un attaquant qui se fait passer pour vous auprès de l’opérateur, une manœuvre connue sous le nom de SIM swapping.
La deuxième est l’application d’authentification installée sur le téléphone, qui génère un code à usage unique toutes les trente secondes sans passer par le réseau mobile. Elle repose sur un secret partagé au moment de l’activation entre le service et l’application, et fonctionne même sans connexion.
La troisième est la clé de sécurité physique, un petit objet à brancher ou à approcher du téléphone, conforme aux standards ouverts FIDO2 et U2F. Elle ne transmet aucun code que l’on pourrait recopier par erreur sur un faux site : la vérification se fait directement entre la clé et le service, ce qui la rend insensible au hameçonnage.
Le tableau qui résume
| Méthode | Niveau de protection | Ce qui peut mal tourner | À qui ça convient |
|---|---|---|---|
| Code par SMS | Correct, mieux que rien | Détournement de ligne, interception, retard de réception en itinérance | Un compte secondaire, peu sensible |
| Application d’authentification | Solide au quotidien | Perte du téléphone sans code de secours noté ailleurs | La messagerie principale, les réseaux sociaux |
| Clé de sécurité physique (FIDO2/U2F) | Le plus robuste, résiste au hameçonnage | Oubli de la clé, coût de rachat en cas de perte | La banque, la messagerie qui sert à réinitialiser les autres comptes |
Pourquoi le SMS reste le choix par défaut
Le SMS a un avantage décisif : il ne demande rien d’installer et fonctionne sur n’importe quel téléphone. C’est pour cela qu’il reste la porte d’entrée proposée par la majorité des services. Mais un attaquant qui vise spécifiquement une personne — et non un lot de mots de passe volés au hasard — peut chercher à intercepter ce canal plutôt qu’à le casser frontalement. L’ANSSI recommande d’ailleurs de préférer, quand le service le propose, une application ou une clé physique au SMS pour les comptes les plus sensibles.
Ce n’est pas une raison pour renoncer au SMS partout : sur un compte de fidélité ou un forum, il ferme déjà la porte à l’essentiel des tentatives automatisées. La hiérarchie compte plus que l’uniformité — un peu comme une certification de serrure ne vaut que par la solidité du bâti qui la porte, une question que nous détaillons dans notre rubrique sécurité de la maison à propos de la certification A2P.
Le piège du hameçonnage en temps réel
Un code par SMS ou une application ne protège que si la personne qui le saisit se trouve bien sur le vrai site. Une page piégée, qui imite parfaitement l’original, peut afficher le même écran de connexion et demander le code juste après le mot de passe : la victime le recopie, pensant se connecter, et transmet en réalité ce code à l’attaquant qui l’utilise dans la seconde sur le vrai service. Ce type d’hameçonnage en temps réel fonctionne aussi bien contre un SMS que contre une application d’authentification, parce que dans les deux cas, c’est un code que l’humain recopie lui-même d’un écran à l’autre.
La clé de sécurité physique échappe à ce piège d’une manière différente : elle ne produit aucun code à recopier. La vérification se fait automatiquement entre la clé et l’adresse réelle du service, de sorte qu’une fausse page, même parfaitement imitée, ne parvient jamais à obtenir une validation de la clé. C’est ce mécanisme, plus que la solidité du secret lui-même, qui explique l’écart de robustesse entre les trois méthodes.
Ce qui se passe en cas de perte du téléphone
Un téléphone perdu ou cassé ne doit jamais couper l’accès à un compte de façon définitive. Avec un code par SMS, il suffit de faire réactiver la carte SIM auprès de l’opérateur, avec les justificatifs demandés. Avec une application d’authentification, la reprise dépend de la sauvegarde du secret initial : certaines applications proposent une sauvegarde chiffrée liée à un compte, d’autres non, ce qui oblige à réinitialiser chaque compte un par un à partir des codes de secours. Avec une clé physique, une seconde clé de secours, enregistrée à l’avance et rangée ailleurs, permet de continuer à se connecter le temps de remplacer la première.
Cette question de la sauvegarde mérite d’être vérifiée au moment de l’activation, pas le jour où le téléphone tombe dans l’évier : c’est souvent à ce moment précis, dans l’urgence, que les mauvais choix se prennent.
Basculer sans tout casser
Le changement se fait compte par compte, sans urgence ni précipitation. On commence par la messagerie principale, celle qui sert à réinitialiser tous les autres mots de passe : c’est le compte pivot, celui qu’un attaquant cherche en premier. On active ensuite l’application ou la clé sur les comptes bancaires et les espaces qui donnent accès à des données personnelles, avant de s’occuper des comptes secondaires, réseaux sociaux ou services de loisirs, qui peuvent très bien rester au SMS sans que cela pose de problème réel.
Un réflexe à ne pas sauter : noter les codes de secours fournis au moment de l’activation, ceux qui permettent de rentrer dans le compte si le téléphone est perdu ou cassé. Rangés sur papier, dans un endroit séparé du téléphone, ils évitent de se retrouver bloqué dehors de son propre compte le jour où l’appareil manque à l’appel. Le site cybermalveillance.gouv.fr publie des fiches pratiques pour accompagner cette bascule service par service, utiles pour ne rien oublier en chemin.
Aucune de ces trois méthodes n’est inutile : le SMS reste largement préférable à l’absence de double authentification, et l’essentiel du gain de sécurité se joue dans le simple fait d’en activer une, quelle qu’elle soit, sur chaque compte qui le propose.
