Caractéristiques principales de la 2FA
- Deux catégories de preuves : un secret connu de l’utilisateur se combine, par exemple, avec un dispositif qu’il possède.
- Une protection contre le vol de mot de passe : connaître ce mot de passe ne suffit plus pour franchir la vérification prévue.
- Plusieurs méthodes possibles : code SMS, application d’authentification ou clé de sécurité, selon le service.
- Une efficacité qui dépend de la méthode : toutes ne résistent pas aussi bien aux faux sites et aux tentatives de détournement.
Quels sont les facteurs d’authentification ?
- Ce que vous savez : un mot de passe ou un code confidentiel.
- Ce que vous possédez : un dispositif enregistré, comme une clé de sécurité ou une application contenant le secret nécessaire à l’authentification.
- Ce que vous êtes : une caractéristique biométrique, comme une empreinte digitale, utilisée par un mécanisme d’authentification adapté.
La 2FA associe deux catégories différentes. Un mot de passe suivi d’une question secrète reste dans la catégorie « ce que vous savez » : deux écrans successifs ne suffisent pas à constituer deux facteurs.
La MFA (Multi-Factor Authentication, ou authentification multifacteur) désigne l’ensemble des méthodes combinant au moins deux catégories ; la 2FA en est un cas particulier. L’expression « validation en deux étapes » décrit un parcours et ne garantit pas, à elle seule, une véritable 2FA. Un code envoyé par e-mail ajoute un contrôle, mais n’est pas assimilé à un facteur de possession par la CNIL.
Comment fonctionne la double authentification ?
Exemple : vous vous connectez à votre messagerie depuis un ordinateur. Après votre mot de passe, le service demande le code temporaire affiché dans l’application d’authentification que vous avez préalablement associée au compte. Le mot de passe et l’application fournissent deux preuves complémentaires.
Le code est valable pendant une durée limitée. Une application de codes temporels, dits TOTP (Time-based One-Time Password), peut les générer sans réseau mobile ni Internet après sa configuration. La connexion au service en ligne nécessite, elle, un accès à Internet.
SMS, application ou clé de sécurité : quelles différences ?
| Méthode | Fonctionnement et limite |
|---|---|
| Code SMS | Un code est envoyé au numéro enregistré. Dépend de la réception du SMS et de la sécurité de la ligne. |
| Application de codes | L’application génère un code temporaire à saisir. Évite le transport par SMS, mais le code peut être soutiré par un faux site. |
| Notification dans une application | Une demande invite à confirmer la connexion, parfois avec un nombre à reporter. Une validation faite par erreur peut autoriser un attaquant. |
| Clé de sécurité FIDO2 | Un dispositif physique prouve sa présence par un échange cryptographique avec le service. Résiste au phishing grâce à la liaison avec le site légitime. Nécessite un service et un appareil compatibles. |
Un SIM swapping peut détourner le numéro vers une autre carte SIM et permettre au fraudeur de recevoir les codes SMS. Une application de codes ou une clé de sécurité évite cette dépendance au numéro. Si le SMS est la seule option proposée, l’activer reste préférable à un mot de passe seul.
Une passkey peut-elle remplacer la 2FA classique ?
Une passkey, ou clé d’accès, permet de se connecter grâce à une clé cryptographique enregistrée sur un appareil ou une clé de sécurité, sans saisir le mot de passe du compte. Elle peut combiner la possession de cette clé avec une vérification locale par code ou biométrie, lorsque le service l’exige.
Il peut donc y avoir plusieurs facteurs derrière un seul geste. À l’inverse, le mot « passkey » ne suffit pas à garantir une authentification multifacteur : la configuration et la vérification demandée comptent. Avec ce mécanisme, l’empreinte ou le visage sont vérifiés localement et ne sont pas transmis au site.
Quelles sont les limites de la 2FA ?
Le phishing, ou hameçonnage, peut imiter une page de connexion et demander à la fois le mot de passe et le code temporaire. Un code à usage unique saisi sur un faux site peut être exploité immédiatement : sa courte validité ne le rend pas insensible à cette attaque.
Des demandes de confirmation répétées peuvent aussi pousser à approuver une connexion par lassitude. Refusez toute demande que vous n’avez pas déclenchée et ne communiquez pas vos codes à un interlocuteur inattendu. La 2FA ne dispense pas de protéger l’appareil ni les moyens de récupération du compte.
Comment éviter de perdre l’accès à son compte ?
Activez cette protection dans les paramètres de sécurité des services compatibles, en priorité pour la messagerie et les comptes importants. Conservez les codes de secours, lorsqu’ils sont proposés, dans un endroit sûr accessible même si le téléphone est perdu.
Avant de remplacer ou d’effacer un appareil, vérifiez le transfert de l’application d’authentification ou l’enregistrement d’un autre moyen d’accès. Les possibilités de récupération dépendent du service : elles doivent être préparées avant la perte du second facteur.
Sources officielles
- CNIL – Recommandation relative à l’authentification multifacteur (PDF)
- NIST – Authentification et gestion des authentifiants, SP 800-63B-4 (en anglais)
- FTC – Protéger ses comptes avec la double authentification (en anglais)
- Google – Obtenir des codes avec Google Authenticator
- FIDO Alliance – Comprendre les passkeys, ou clés d’accès (en anglais)