Authentification à deux facteurs expliquée simplement et sans jargon

Un client m'appelle un mardi matin, paniqué. Impossible de se connecter à sa boîte mail professionnelle. Le mot de passe était bon, il en était sûr. Sauf que le code à six chiffres qu'il recevait d'habitude sur son téléphone n'arrivait plus. Son opérateur venait de lui annoncer une "portabilité de ligne non demandée". Quelqu'un s'était fait passer pour lui, avait récupéré sa carte SIM, et venait de valider la connexion à sa place. L'authentification à deux facteurs avait fait exactement ce qu'elle devait faire : elle avait ralenti l'attaquant. Pas assez, parce que le second facteur passait par le réseau téléphonique. Mais elle avait transformé un vol de mot de passe en une opération qui a demandé des jours de préparation à quelqu'un.

Voilà pourquoi je m'intéresse à ce sujet depuis assez longtemps pour avoir fait toutes les erreurs possibles, y compris perdre l'accès à mon propre compte administrateur pendant 48 heures à cause d'une clé USB mal rangée. Ce qui suit est l'explication que je donne à mes proches quand ils me demandent, à table, ce que c'est que "ce truc à deux facteurs qui complique tout".

C'est quoi, une authentification à deux facteurs, expliquée simplement

Quand vous vous connectez quelque part, le système vérifie votre identité. Avec un mot de passe seul, il vérifie une seule chose : que vous connaissez une suite de caractères. C'est fragile, parce qu'un mot de passe volé fonctionne aussi bien entre les mains du voleur qu'entre les vôtres.

L'authentification à deux facteurs ajoute une seconde vérification, d'une nature différente. Le mot "différente" porte tout le poids de la définition. Deux mots de passe ne constituent pas une 2FA. Un mot de passe plus une question secrète non plus : les deux relèvent de la même catégorie, à savoir ce que vous savez.

Les trois catégories de facteurs

Rangez tout dans trois familles. Cette classification, aucun des articles que je lis à ce sujet ne la pose clairement, et c'est pourtant elle qui rend le concept limpide.

• Ce que vous savez : mot de passe, code PIN, phrase secrète.
• Ce que vous possédez : téléphone, carte à puce, clé USB de sécurité, badge.
• Ce que vous êtes : empreinte digitale, reconnaissance faciale, iris.

Une vraie 2FA pioche dans deux familles distinctes. Vous pouvez en empiler trois (mot de passe + téléphone + empreinte), et là on parle d'authentification multifacteur, la MFA. Beaucoup de gens croisent les deux termes. En pratique, la 2FA est un cas particulier de la MFA. Le reste est une question de vocabulaire commercial.

Pourquoi deux preuves valent mieux qu'une

Imaginez un cambrioleur devant votre porte. Il a réussi à copier votre clé, il entre quand il veut. Maintenant ajoutez un second verrou qui exige que vous soyez physiquement présent pour l'ouvrir — un lecteur d'empreinte, par exemple. La clé copiée ne sert plus à grand-chose : il faudrait aussi couper votre doigt. L'image est brutale, mais elle rend le principe.

Le point que je veux que vous reteniez : la 2FA ne rend pas un vol de mot de passe impossible, elle le rend insuffisant. C'est une différence d'échelle, pas de nature.

Comment ça marche, concrètement, quand vous cliquez sur "se connecter"

Le déroulé tient en trois temps, et il se répète à l'identique sur presque tous les services.

1. Vous tapez votre mot de passe. Le serveur vérifie : correct.
2. Il refuse quand même de vous laisser entrer tout de suite et réclame une seconde preuve.
3. Vous fournissez cette preuve — un code à six chiffres, une validation dans une application, un appui sur une clé USB. L'accès s'ouvre.

Ce qui se passe en coulisses mérite un mot. Dans le cas des applications d'authentification, aucun code ne transite par le réseau. L'application et le serveur partagent un secret au moment de l'installation, puis chacun calcule le même code à partir de l'heure courante. C'est le principe du TOTP, pour Time-based One-Time Password. Le code change toutes les 30 secondes, et il est inutilisable passé ce délai. Personne ne l'envoie nulle part : il est calculé des deux côtés, en toute indépendance. C'est pour cette raison que ces applications fonctionnent même en mode avion.

Le code 2FA à six chiffres que vous recevez partout

Vous connaissez ce message : "Votre code de validation est 472 891". Il arrive par SMS, parfois par mail. Il reste la méthode la plus répandue, parce qu'elle ne demande aucune installation et qu'elle fonctionne sur n'importe quel téléphone, y compris les modèles à clapet.

Franchement, je l'ai utilisée pendant des années sans y penser. Puis j'ai lu deux ou trois histoires de détournement de carte SIM — dont celle de mon client ce mardi-là — et j'ai commencé à migrer, service par service, vers des applications d'authentification. Ça m'a pris un après-midi entier. Je ne le regrette pas, mais c'est un après-midi que vous ne récupérez pas.

Comparatif des méthodes de second facteur

Voici le tableau que j'aurais aimé trouver quand j'ai commencé à trier mes comptes. J'ai classé les quatre grandes familles du plus faible au plus solide.

Méthode	Ce qu'elle exige	Point faible principal	Pour qui
Code par SMS ou mail	Une ligne téléphonique ou une boîte accessible	Détournement de carte SIM ; mail piratable	Débutants, comptes sans enjeu
Application d'authentification (TOTP)	Un smartphone et une sauvegarde initiale	Perte ou réinitialisation du téléphone sans codes de secours	La grande majorité des usages personnels
Clé de sécurité physique (FIDO2)	Un objet à porter sur soi	Oubli, casse, prix d'achat	Comptes sensibles, métiers exposés
Biométrie (empreinte, visage)	Un capteur fonctionnel	Souvent utilisée comme premier facteur, pas comme second	Déverrouillage d'appareil surtout

Deux remarques sur ce tableau. D'abord, la biométrie joue rarement le rôle de second facteur : elle déverrouille votre téléphone pour que vous accédiez à l'application qui, elle, contient le vrai second facteur. Ensuite, la clé physique est objectivement la plus solide — elle vérifie que la personne devant l'écran est sur le bon site, ce que les autres méthodes ne font pas — mais je n'en connais pas beaucoup de particuliers qui en achètent une deuxième en secours. Moi le premier.

Activer la 2FA : les étapes qui ne changent presque jamais

La bonne nouvelle : une fois que vous avez compris la logique, vous saurez naviguer dans n'importe quel service. Les libellés varient — "validation en deux étapes" chez les uns, "sécurité renforcée" chez les autres — mais le chemin est identique.

1. Direction les paramètres de sécurité du compte. Cherchez les mots "connexion", "sécurité" ou "mot de passe".
2. Activez la validation en deux étapes. On vous proposera un ou plusieurs seconds facteurs.
3. Scannez un QR code avec l'application d'authentification choisie, ou enregistrez votre numéro si vous restez au SMS.
4. Téléchargez et rangez les codes de secours. C'est l'étape que tout le monde saute, et c'est celle qui vous sauvera.

Où trouver une application 2FA gratuite

Il en existe plusieurs, et elles font la même chose. Ce qui les distingue tient à un détail qu'on ne remarque qu'au moment du pépin : la sauvegarde. Certaines conservent vos secrets dans le cloud de l'éditeur, ce qui facilite la restauration sur un nouveau téléphone mais déplace le risque. D'autres ne stockent rien et vous laissent seul responsable de vos sauvegardes. Je préfère la seconde école, pour une raison bête : si l'éditeur disparaît ou ferme mon accès, mes codes ne partent pas avec lui.

Le critère que je regarde en premier n'est donc pas le prix — presque toutes sont gratuites — mais la manière dont elles gèrent l'export de vos comptes.

Ce qui se passe quand vous perdez votre second facteur

Ça arrive plus souvent qu'on ne le croit. Téléphone cassé, réinitialisé, changé, volé. Et c'est précisément là que les articles sur la 2FA deviennent muets, alors que c'est la question qui compte.

Deux scénarios, deux issues radicalement différentes.

• Vous avez vos codes de secours : vous vous connectez avec l'un d'eux, vous réenregistrez un nouveau second facteur, terminé. Dix minutes.
• Vous ne les avez pas : vous engagez une procédure de récupération auprès du service concerné. Elle prend des jours, parfois des semaines, et l'issue dépend entièrement de ce que le service accepte comme preuve d'identité.

Je connais quelqu'un qui a attendu onze jours pour récupérer l'accès à sa messagerie principale. Onze jours pendant lesquels toutes les réinitialisations de mot de passe de ses autres comptes partaient vers une adresse qu'il ne pouvait plus lire. La 2FA l'avait protégé contre les attaquants, mais elle l'avait aussi enfermé dehors.

Comment ne pas se retrouver bloqué

Trois habitudes, et vous êtes tranquille pour des années.

• Imprimez les codes de secours. Sur papier, pas dans une note synchronisée sur le compte que vous protégez — ce serait cocasse.
• Enregistrez deux seconds facteurs distincts quand le service le permet : l'application sur le téléphone, plus une clé physique ou un second appareil.
• Vérifiez tous les six mois que vos codes sont toujours lisibles et que le compte est bien protégé. Cinq minutes, deux fois par an.

2FA ou MFA : la nuance qui compte en entreprise

La 2FA, c'est deux facteurs. La MFA, c'est deux facteurs ou plus. Dans la vie quotidienne, la distinction n'a aucune conséquence. En entreprise, elle en a une énorme, pour une raison qu'on n'imagine pas de prime abord.

Quand une organisation impose la MFA à ses salariés, elle accepte en échange de gérer les cas de perte de second facteur. Un service d'assistance qui reçoit dix demandes par semaine doit pouvoir vérifier l'identité du demandeur autrement que par téléphone, sinon il recrée exactement la faille qu'il prétendait fermer. Le maillon faible n'est plus la technologie, il est le processus humain autour. J'ai vu une petite structure déployer la MFA sur tous ses comptes en deux jours, puis passer six mois à gérer les réinitialisations dans la panique, faute d'avoir écrit la procédure avant.

Votre second facteur est solide. La question à se poser est : qui, dans votre organisation, peut le contourner, et selon quelles règles ?

Faut-il activer la 2FA partout ?

Non. Et cette réponse va peut-être vous surprendre, venant de quelqu'un qui en parle depuis le début de cet article.

Activez-la en priorité sur ce qui ouvre la porte au reste : votre messagerie principale, votre gestionnaire de mots de passe, votre compte bancaire, vos comptes professionnels. Ces quatre-là, jamais sans elle. Pour le forum de jardinage ou le compte marchand consulté une fois par an, l'effort ne se justifie pas toujours. Chaque second facteur ajoute une friction, et une friction mal placée finit par être contournée — les gens désactivent, notent les codes sur un post-it, ou pire, réutilisent le même mot de passe ailleurs pour compenser.

Mon classement, si vous ne devez retenir qu'une chose : protégez d'abord ce qui permet de réinitialiser tout le reste. C'est par là que passent les attaques réelles, pas par le site de recettes de cuisine.

Ce qu'il faut retenir

L'authentification à deux facteurs n'est pas une formalité administrative qu'on coche pour rassurer un service. C'est un ralentisseur. Elle transforme un vol de mot de passe — opération instantanée, automatisable, rentable à grande échelle — en une manœuvre qui exige du temps, de la préparation, et un intérêt précis pour vous en particulier.

La vraie question n'est donc pas "est-ce que ça vaut le coup". Elle est : quel est mon maillon faible aujourd'hui — le code par SMS que quelqu'un peut détourner, ou les codes de secours que je n'ai jamais imprimés et qui me laisseront dehors le jour où mon téléphone tombera dans l'escalier ? Posez-vous-la une fois, ce soir, sur votre messagerie principale. Vous avez probablement une réponse désagréable à trouver.