Pourquoi activer le 2FA ?
Les mots de passe peuvent être volés ou réutilisés. Ajouter un second facteur oblige l’attaquant à s’emparer d’un élément supplémentaire, ce qui réduit fortement le risque d’intrusion.
Les principales méthodes
SMS (la moins fiable)
Facile à déployer, mais vulnérable au SIM swapping, aux attaques réseau et aux phishing en temps réel.
Messageries (WhatsApp, Telegram…)
Les codes arrivent via une application chiffrée, mais la sécurité reste liée à votre numéro de téléphone.
Applications d’authentification (TOTP)
Génèrent des codes locaux toutes les 30 secondes. Recommandées par défaut. Exemples : Google/Microsoft Authenticator, Authy, Aegis, 2FAS ou les modules intégrés des gestionnaires.
Notifications push
Duo, Okta ou Microsoft envoient une demande de validation que vous approuvez. Attention aux attaques par fatigue (multiples demandes).
Clés de sécurité (FIDO2/WebAuthn)
YubiKey, Feitian, SoloKeys ou passkeys intégrées à l’appareil vérifient le domaine avant de signer la connexion. Très résistants au phishing.
Passkeys et biométrie
Windows Hello, Touch ID, Face ID et les passkeys se basent sur WebAuthn et offrent une expérience fluide et sécurisée, à mesure que les services les adoptent.
Comparer sécurité et confort
| Méthode | Sécurité | Commodité | Risques |
|---|---|---|---|
| SMS | Faible | Très élevée | SIM swap, interception, phishing |
| Application TOTP | Élevée | Moyenne | Perte du mobile, sauvegarde absente |
| Push | Élevée | Élevée | Fatigue des notifications |
| Clé matérielle | Très élevée | Moyenne | Coût, gestion de clés de secours |
| Passkey/biométrie | Très élevée | Très élevée | Adoption progressive par les services |
Bonnes pratiques
- Privilégiez applications d’authentification ou clés physiques.
- Enregistrez plusieurs facteurs (clé secondaire, codes de récupération).
- Conservez les codes de secours dans un endroit hors ligne et sécurisé.
- Activez des passkeys quand elles sont proposées par le service.
- Formez les utilisateurs à refuser toute demande push suspecte.
FAQ rapides
Que faire si je perds ma clé de sécurité ?
Utilisez la clé de secours ou les codes de récupération. Configurez toujours au moins deux clés dès le départ.
Comment migrer mes codes TOTP vers un nouveau téléphone ?
Authy synchronise dans le cloud. Les autres apps permettent d’exporter ou de rebalayer les QR codes. Gardez l’ancien appareil jusqu’à transfert complet.
Les TOTP peuvent-ils être compromis ?
Oui, via du phishing en temps réel. Les clés matérielles ou passkeys sont résistantes, car elles valident le domaine avant de signer.
Checklist 2FA
- Activez le 2FA sur vos services critiques (email, finance, travail).
- Utilisez des mots de passe uniques générés par password.es et stockez-les en mode zéro connaissance.
- Privilégiez des facteurs résistants au phishing pour les comptes sensibles.
- Éduquez équipes et proches sur les tentatives de smishing, vishing et phishing.
- Renouvelez vos codes de secours après un incident.
Limitation de garantie
password.es est fourni « tel quel ». Nous ne garantissons ni la disponibilité, ni l’exactitude des informations, ni la sécurité absolue des mots de passe générés. L’utilisateur reste responsable de sa sécurité globale.