Activer un code d’authentification sur ses comptes en ligne ne se résume pas à cocher une option dans les paramètres. Le type de second facteur choisi, qu’il s’agisse d’un SMS, d’une application ou d’une clé physique, détermine le niveau réel de protection obtenu. Tous les codes d’authentification ne se valent pas face aux techniques de phishing actuelles.
Méthodes d’authentification comparées : SMS, application et clé de sécurité
Avant d’activer quoi que ce soit, le choix de la méthode compte autant que l’activation elle-même. Trois options principales coexistent sur la plupart des plateformes.
A voir aussi : Comment faire pour sécuriser mon ordinateur ?
| Méthode | Fonctionnement | Résistance au phishing | Contrainte principale |
|---|---|---|---|
| Code SMS | Code temporaire envoyé par message texte | Faible (interception possible via SIM swap ou faux site) | Nécessite un réseau mobile |
| Application d’authentification (Google Authenticator, Microsoft Authenticator) | Code temporaire généré par l’application | Moyenne (le code peut être saisi sur un site frauduleux) | Accès au téléphone où l’app est installée |
| Clé de sécurité FIDO2 / passkey | Vérification cryptographique liée au domaine du site | Élevée (impossible à relayer sur un faux domaine) | Achat d’une clé matérielle ou configuration d’une passkey |
Le guide de la CISA (Cybersecurity and Infrastructure Security Agency), publié en octobre 2022, recommande les méthodes résistantes au phishing, c’est-à-dire les clés FIDO2 et les passkeys liées au domaine. Les codes SMS et TOTP restent vulnérables aux campagnes de type « Adversary-in-the-Middle » décrites par Microsoft dans son Digital Defense Report 2025.
A lire également : Est-ce que Gmail est une adresse mail sécurisée ?
Activer un code d’authentification sur Google et Microsoft
Les deux écosystèmes les plus répandus proposent des parcours d’activation distincts. Voici les étapes concrètes pour chacun.
Google Authenticator et validation en deux étapes Google
Accédez à votre compte Google, puis à la section Sécurité et connexion. Sélectionnez « Activer la validation en deux étapes » et suivez les instructions à l’écran. Google propose alors plusieurs seconds facteurs : invites sur le téléphone, application Authenticator ou clé de sécurité.
Pour utiliser Google Authenticator, il faut la version 6.0 ou ultérieure sur Android (4.0 sur iOS). Depuis cette version, les codes Authenticator se synchronisent entre appareils via votre compte Google, chiffrés en transit et au repos.
Microsoft Authenticator et connexion multifacteur
Téléchargez l’application Microsoft Authenticator, puis ajoutez votre compte (personnel, professionnel ou scolaire). L’application permet la connexion par notification push, par code TOTP ou par authentification sans mot de passe.
Un point à noter : à compter de juillet 2025, la fonctionnalité de remplissage automatique dans Authenticator cesse de fonctionner. Les mots de passe stockés dans l’application ne seront plus accessibles à partir d’août 2025. Il faut prévoir une migration vers un gestionnaire de mots de passe dédié.
Codes de secours et récupération de compte
Activer l’authentification à deux facteurs crée un risque symétrique : perdre l’accès à son second facteur revient à perdre l’accès au compte. Les codes de secours existent pour éviter ce scénario.
- Google fournit un jeu de codes de secours à usage unique lors de l’activation de la validation en deux étapes. Conservez-les hors du téléphone (impression papier, coffre-fort numérique)
- Microsoft propose des méthodes de récupération alternatives (numéro de téléphone secondaire, adresse e-mail de secours) configurables dans les paramètres de sécurité du compte
Sans ces codes de secours, un téléphone perdu ou réinitialisé peut bloquer définitivement l’accès. Cette étape est souvent négligée alors qu’elle conditionne toute la chaîne de récupération.
Pourquoi un code TOTP ne suffit plus face au phishing moderne
Les campagnes de phishing ont évolué. Le Microsoft Digital Defense Report 2025 décrit la montée des attaques par QR code frauduleux et des services « Adversary-in-the-Middle » qui capturent simultanément l’identifiant, le mot de passe et le code temporaire de la victime. Le second facteur est relayé en temps réel vers le vrai site, ce qui rend le code TOTP inefficace si l’utilisateur saisit ses données sur un faux domaine.
Les passkeys répondent à ce problème. Stockées sur un téléphone, un ordinateur ou une clé matérielle, elles sont déverrouillées par biométrie ou code local. La vérification est liée cryptographiquement au domaine légitime : un site frauduleux ne peut pas déclencher la validation.
Le contexte réglementaire pousse dans la même direction. Le règlement DORA, applicable depuis le 17 janvier 2025 aux entités financières européennes, et la directive NIS2 incluent l’authentification multifacteur parmi les mesures de sécurité attendues. Le choix du type de facteur devient un enjeu de conformité, pas seulement de confort.
- Pour les comptes à risque modéré (réseaux sociaux, e-commerce), une application d’authentification TOTP reste un gain de sécurité net par rapport au seul mot de passe
- Pour les comptes sensibles (messagerie principale, banque, administration), une passkey ou une clé FIDO2 offre une protection que le code seul ne garantit pas
- Pour les environnements professionnels soumis à DORA ou NIS2, la documentation du type de facteur utilisé fait partie des obligations
L’activation d’un code d’authentification reste une étape nécessaire. La question qui se pose désormais porte moins sur le « comment activer » que sur le « quel facteur choisir ». Un code TOTP via Google Authenticator ou Microsoft Authenticator protège contre le vol de mot de passe classique. Face à une attaque ciblée par relais de session, seule une méthode liée au domaine, passkey ou clé FIDO2, bloque réellement l’accès frauduleux.
