L’authentification à deux facteurs, sans complication

L’authentification à deux facteurs, c’est demander deux preuves au lieu d’une avant d’ouvrir un compte : quelque chose que vous savez (le mot de passe) et quelque chose que vous avez (le téléphone dans votre poche, ou une petite clé sur votre trousseau).

L’intérêt est simple. Un voleur à l’autre bout du monde peut très bien avoir votre mot de passe, acheté sur une liste ou récupéré dans le piratage d’un site quelconque. Ce qu’il ne peut pas avoir, c’est votre téléphone. Avec un deuxième facteur activé, un mot de passe volé ne vaut plus grand-chose, et c’est de loin la mesure de sécurité qui donne le plus de résultat pour le moins d’effort.

Voici comment ça marche, quelles méthodes valent la peine, et surtout comment ne pas se retrouver enfermé dehors le jour où le téléphone tombe dans le lac.

Pourquoi le mot de passe seul ne suffit plus

Ce n’est pas une question de force. Même un excellent mot de passe part avec les autres quand le site où il était enregistré se fait pirater.

Il y a aussi l’hameçonnage : une fausse page qui imite votre banque ou votre fournisseur de courriel, et où vous tapez vous-même vos identifiants sans vous méfier. Le mot de passe est alors donné, pas deviné.

Dans les deux cas, le deuxième facteur est le filet. Le voleur arrive à l’étape suivante, le site lui demande le code, et il n’a pas le téléphone. La tentative s’arrête là, et vous recevez une notification qui vous apprend qu’il faut changer ce mot de passe.

Les méthodes, de la plus faible à la plus solide

Le code reçu par texto (SMS). Un code à six chiffres envoyé au numéro de téléphone. C’est la méthode la plus répandue et la plus facile à mettre en place.

Le code d’une application d’authentification. Une application sur le téléphone affiche un code à six chiffres qui change toutes les trente secondes. Elle fonctionne sans réseau et sans données, même en avion.

La notification à approuver. Le service envoie une demande directement dans son application, et vous appuyez sur « Oui, c’est moi ». Simple et rapide.

La clé de sécurité physique. Un petit objet qui se branche en USB ou s’approche du téléphone. C’est la méthode la plus solide, et c’est aussi celle qui demande le plus d’organisation, parce qu’il faut en acheter deux et en ranger une ailleurs.

La clé d’accès (passkey). La plus récente : votre appareil prouve votre identité avec l’empreinte ou le visage, et remplace à la fois le mot de passe et le deuxième facteur. Quand un site vous la propose, acceptez.

Pourquoi le texto est le moins bon des bons choix

Il faut être clair : le texto vaut infiniment mieux que rien. Si c’est la seule option qu’un site vous offre, prenez-la sans hésiter.

Mais il a deux faiblesses réelles.

La première s’appelle le détournement de carte SIM. Quelqu’un appelle votre fournisseur de téléphonie, se fait passer pour vous avec des renseignements trouvés en ligne, et fait transférer votre numéro sur sa propre carte. À partir de là, vos textos arrivent chez lui. Ce n’est pas courant, mais ça vise précisément les gens qui ont quelque chose à voler.

La seconde est plus banale : un code par texto se transmet. Une fausse page vous demande votre mot de passe, puis affiche « entrez le code que vous venez de recevoir », et le fraudeur le retape sur le vrai site dans la minute. Le code arrive bien de votre banque, ce qui rend la manœuvre très convaincante.

Un texto voyage aussi en clair et s’affiche parfois sur l’écran verrouillé, visible par n’importe qui.

Autrement dit : activez le texto si c’est tout ce qu’il y a, mais quand un site propose une application d’authentification, changez pour elle.

L’application d’authentification, en pratique

C’est le bon compromis pour presque tout le monde : nettement plus solide que le texto, et beaucoup moins encombrant qu’une clé physique.

L’installation prend deux minutes par compte :

1. Dans les réglages de sécurité du site, choisissez « application d’authentification ».
2. Le site affiche un carré de points, un code QR.
3. Ouvrez l’application sur le téléphone et photographiez ce carré.
4. L’application affiche aussitôt un code à six chiffres. Recopiez-le sur le site pour confirmer.
5. Le site vous montre alors une liste de codes de secours. Ne fermez pas cette page. On y revient plus bas.

Ensuite, à chaque connexion sur un nouvel appareil, vous ouvrez l’application et recopiez le code affiché.

Beaucoup de gestionnaires de mots de passe font aussi ce travail et affichent le code au moment de remplir le formulaire, ce qui est très confortable. Le puriste dira que garder le mot de passe et le code au même endroit affaiblit le principe des deux facteurs, et il n’a pas tort. En pratique, pour un compte ordinaire, la commodité l’emporte : une protection qu’on utilise vaut mieux qu’une protection qu’on désactive au bout d’un mois. Pour le courriel principal et la banque, gardez-les séparés.

Les codes de secours : la chose à faire aujourd’hui

C’est l’étape que tout le monde saute, et c’est celle qui cause les vrais drames.

Quand vous activez un deuxième facteur, le service vous donne une liste de codes de secours à usage unique, huit ou dix habituellement. Chacun remplace le téléphone une seule fois.

Imprimez-les, ou recopiez-les à la main, et rangez-les avec vos papiers importants. Le passeport, l’acte de naissance, les papiers d’assurance : le même tiroir. Pas dans le téléphone, puisque le problème à régler sera justement l’absence du téléphone. Pas dans un courriel à vous-même, puisque le compte bloqué sera peut-être celui-là.

Faites-le au moins pour le courriel principal et pour la banque. Dix minutes une fois dans votre vie, contre une semaine de démarches un jour de malchance.

Et si je perds mon téléphone ?

C’est la crainte qui empêche des milliers de gens d’activer quoi que ce soit. Voici la vraie réponse, dans l’ordre.

1. Utilisez un code de secours. Si vous les avez imprimés, l’affaire est réglée en deux minutes.
2. Utilisez un autre appareil déjà reconnu. Une tablette ou un ordinateur où vous êtes encore connecté suffit souvent à approuver la connexion et à réinscrire le nouveau téléphone.
3. Restaurez l’application d’authentification. La plupart des applications récentes sauvegardent leurs codes dans votre compte infonuagique. Sur un nouveau téléphone, elles reviennent avec tous vos comptes. Vérifiez ce réglage aujourd’hui plutôt que le jour venu.
4. Passez par la procédure de récupération du service, qui existe toujours mais qui prend des jours et demande des preuves d’identité.

Deux habitudes évitent la plupart des ennuis : garder une deuxième méthode active sur les comptes importants (par exemple l’application et un numéro de téléphone), et imprimer les codes de secours.

Par quels comptes commencer

Vous n’avez pas à tout protéger ce soir. L’ordre compte plus que le nombre.

1. Le courriel principal, avant tout le reste. C’est la clé maîtresse : quiconque le contrôle peut réinitialiser le mot de passe de presque tous vos autres comptes en cliquant sur « mot de passe oublié ». Si vous ne faites qu’une seule chose après avoir lu cet article, faites celle-là. C’est aussi ce qui rend un compte de courriel bloqué aussi paralysant.

2. La banque et les services financiers. Souvent déjà obligatoire, parfois seulement par texto. Si votre institution offre l’application, prenez l’application.

3. Les comptes qui contiennent une carte de crédit. Amazon, l’épicerie en ligne, les boutiques d’applications.

4. Le compte Apple, Google ou Microsoft de l’appareil. Il commande les photos, les sauvegardes et la localisation du téléphone.

5. Les réseaux sociaux. Moins critiques financièrement, mais un compte volé sert à arnaquer vos proches en votre nom.

Ce que ça change vraiment au quotidien

Moins que vous ne le craignez. Les sites ne redemandent pas le code à chaque visite : ils retiennent l’appareil, souvent pour trente jours ou davantage. Sur votre ordinateur habituel, vous verrez cette demande quelques fois par année.

Le code apparaît surtout quand vous vous connectez d’un nouvel appareil ou d’un nouveau navigateur, c’est-à-dire exactement dans la situation où vous voulez qu’une porte se referme derrière un inconnu.

Et si une demande d’approbation surgit alors que vous n’essayez de vous connecter nulle part, refusez, puis changez immédiatement le mot de passe de ce compte. C’est le signe qu’une personne détient déjà votre mot de passe et qu’elle frappe à la porte. Le réflexe est le même que devant une fausse alerte de soutien technique : ne rien approuver dans l’urgence.

Par où commencer cette semaine

1. Activez le deuxième facteur sur votre courriel principal.
2. Choisissez une application d’authentification si le site l’offre, sinon le texto.
3. Imprimez les codes de secours et rangez-les avec vos papiers importants.
4. Refaites la même chose pour la banque.
5. Ajoutez les autres comptes au fil des mois, sans vous presser.

Un gestionnaire de mots de passe et un deuxième facteur forment ensemble à peu près tout ce dont un particulier a besoin. Si vous préférez que quelqu’un s’assoie avec vous pour faire la manipulation compte par compte et vérifier que les codes de secours sont bien en main avant de partir, c’est ce que couvrent nos services de sécurité et confidentialité et de courriel et comptes en ligne.