Le problème : ton mot de passe peut tomber quand même

Si tu as suivi l’article précédent, tu as fait le plus dur. Un mot de passe unique et solide pour chaque compte, généré et stocké par ton gestionnaire. Tu as fermé la porte la plus béante. Et pourtant, cette porte peut encore s’ouvrir.

Parce que la force d’un mot de passe ne te protège que contre une seule chose : qu’on le devine. Quarante caractères aléatoires sont impossibles à deviner, c’est vrai. Mais ils ne te protègent pas contre le fait qu’on te le prenne. Et il y a deux façons de te le prendre :

  • La première, c’est le phishing. Tu reçois un mail qui imite ta banque, ton fournisseur mail, ton service de stockage. Tu cliques, tu arrives sur une page de connexion qui ressemble trait pour trait à la vraie, et tu tapes ton mot de passe toi-même. Sa complexité n’a aucune importance : tu viens de le donner.

  • La seconde, c’est la fuite côté serveur. Le service que tu utilises se fait pirater. Sa base de données part dans la nature, ton mot de passe avec. Là encore, qu’il fasse douze ou quarante caractères ne change rien : il a fuité tel quel. C’est exactement le scénario du credential stuffing qu’on a vu dans l’article précédent, vu de l’autre côté.

Dans les deux cas, l’attaquant se retrouve avec ton mot de passe correct en main. La serrure reconnaît la bonne clé. La porte s’ouvre.

C’est là qu’intervient la double authentification. L’idée tient en une phrase : ajouter une seconde serrure, indépendante de la première, qui réclame une preuve que l’attaquant n’a pas. Même avec ton mot de passe entre les mains, il reste bloqué sur le pas de la porte. Ce n’est pas une théorie : selon Microsoft, la 2FA bloque plus de 99,2 % des attaques de compromission de compte, y compris si l’attaquant possède déjà ton mot de passe.

Restent les 0,8 % qui passent encore. Ce sont des attaques plus sophistiquées, capables de contourner certaines formes de 2FA. On verra lesquelles, et pourquoi toutes les méthodes ne se valent pas — parce que c’est précisément ce qui va guider ton choix.

Deux facteurs, ça veut dire deux serrures différentes

Le « 2 » de 2FA prête à confusion. Il ne veut pas dire deux mots de passe. Il veut dire deux preuves de nature différente. Et pour comprendre pourquoi cette nuance change tout, il faut savoir qu’il existe trois grandes familles de preuves.

  • La première, c’est ce que tu sais : un mot de passe, un code PIN, une réponse à une question secrète. Quelque chose qui est dans ta tête.

  • La deuxième, c’est ce que tu as : ton téléphone, une application sur ce téléphone, une clé physique que tu branches, ta carte bancaire. Un objet que tu possèdes.

  • La troisième, c’est ce que tu es : ton empreinte, ton visage, ton iris. Une caractéristique de ton corps.

La double authentification consiste à combiner deux familles différentes. Et là est tout l’intérêt. Si tu ajoutais un second mot de passe à ton premier, tu n’aurais pas deux facteurs : tu aurais deux fois la même famille, avec la même faiblesse. La fuite qui emporte le premier mot de passe emporte le second dans la foulée. Aucune protection gagnée.

La force vient de l’indépendance. Pour franchir deux serrures de natures différentes, un attaquant doit réussir deux opérations qui n’ont rien à voir : voler ce que tu sais et mettre la main sur ce que tu as. Celui qui récupère ton mot de passe dans une fuite de base de données n’a pas, dans la même opération, ton téléphone dans sa poche. C’est ça qui le bloque.

Concrètement, ton mot de passe couvre déjà la première famille — ce que tu sais. La 2FA vient presque toujours y ajouter la deuxième — ce que tu as : un code généré sur ton téléphone, une notification à valider, une clé à brancher.

Quant à ce que tu es, la biométrie, elle sert surtout à déverrouiller localement ton appareil ou ton appli d’authentification. Elle voyage rarement sur le réseau. Dans ton quotidien, la 2FA se résume donc à une combinaison simple : quelque chose que tu sais, plus quelque chose que tu as.

Toutes les 2FA ne se valent pas

On l’a vu juste avant : presque toutes les méthodes de 2FA sont une variante de « ce que tu as ». La vraie question, c’est donc : quelle forme de « ce que tu as » est la plus difficile à voler ?

Voici les méthodes courantes, de la plus fragile à la plus solide. Aucune n’est inutile. Mais elles ne jouent pas dans la même catégorie.

  • Le SMS — mieux que rien, mais le plancher. Tu reçois un code par texto, tu le recopies. C’est la 2FA la plus répandue parce que tout le monde a un numéro. Sa faiblesse a un nom : le SIM swap. Un attaquant appelle ton opérateur, se fait passer pour toi, et fait transférer ton numéro sur sa propre carte SIM. À partir de là, tes textos — donc tes codes — arrivent chez lui. Ce n’est pas théorique : au Royaume-Uni, l’organisme de prévention des fraudes Cifas a enregistré en 2024 une hausse de 1 055 % des SIM swaps non autorisés, soit près de 3 000 cas. Et ces chiffres sous-estiment toujours le problème, parce qu’un SIM swap est une porte d’entrée : la victime déclare le compte vidé, pas le détournement du numéro. Le FBI et la CISA recommandent désormais des méthodes résistantes au phishing plutôt que la 2FA par SMS. Active le SMS si c’est la seule option proposée. Mais ne t’arrête pas là quand tu as le choix.

  • Les codes par e-mail — souvent un faux deuxième facteur. Certains services t’envoient le code de vérification par mail. Le problème saute aux yeux dès qu’on y réfléchit : si ta boîte mail utilise le même mot de passe que sur tous tes autres comptes en ligne, ou si c’est justement ton mail qui est visé, ton « second facteur » est dans le même panier que le premier. Tu n’as pas ajouté une serrure indépendante, tu as mis deux serrures sur la même porte.

  • Les notifications push — pratiques, mais une faille humaine. Au lieu d’un code, tu reçois une notification « C’est toi qui te connectes ? Oui / Non ». Pratique. Trop, parfois. L’attaque s’appelle MFA fatigue, ou push bombing : l’attaquant a déjà ton mot de passe, alors il déclenche des dizaines de notifications, de jour comme de nuit, jusqu’à ce que tu en valides une par lassitude ou par erreur. C’est exactement comme ça qu’Uber s’est fait pirater en 2022 : l’attaquant a inondé un sous-traitant de notifications, puis l’a contacté en se faisant passer pour le support informatique de l’entreprise, lui affirmant que le seul moyen d’arrêter les notifications était d’en accepter une. Il a accepté. Les versions modernes corrigent en partie le tir avec le number matching — un numéro affiché à l’écran que tu dois recopier sur ton téléphone, ce qui empêche la validation machinale. Avec cette recopie, la CISA place le push au même niveau que les applications TOTP qu’on voit juste après. Sans elle, le push « oui/non » sec reste une porte à la merci de ta fatigue : méfie-toi.

  • Les applications TOTP — le bon compromis. Ici, une appli sur ton téléphone, ou ton PC, génère un code à six chiffres qui change toutes les 30 secondes. TOTP, c’est Time-based One-Time Password. Le point fort : le code est calculé localement, sur ton appareil, à partir d’un secret partagé une seule fois au moment de l’activation. Rien ne transite par le réseau téléphonique : un SIM swap ne sert plus à rien. Rien ne t’est notifié : le push bombing non plus. C’est gratuit, ça marche partout, et c’est le standard que j’utilise et que je te recommanderai. Sa zone grise : le code reste phishable. Sur une fausse page de connexion bien faite, tu peux taper ton mot de passe et ton code TOTP, et les donner tous les deux à l’attaquant en temps réel. La 2FA TOTP te protège contre les fuites et le SIM swap, pas contre un phishing en direct.

  • Les clés physiques et les passkeys — le sommet. Une clé de sécurité, c’est un petit objet que tu branches ou que tu approches du téléphone. Les passkeys en sont la version logicielle, intégrée à ton appareil. Leur force est unique : elles sont résistantes au phishing par construction. La preuve cryptographique est liée au vrai domaine du site ; sur une fausse page, la clé ne répond tout simplement pas. C’est ce qui manquait à toutes les méthodes précédentes. C’est la marche du dessus — coût d’une clé, gestion de la perte, support encore inégal selon les services — et elle mérite son propre article, qu’on traitera plus tard.

Hiérarchie des méthodes de 2FA, du plus fragile au plus solide

La vraie question : où vit ton secret ?

Quand tu actives une 2FA par application, le service t’affiche un QR code. Derrière ce QR code se cache un secret — le seed. Ton appli le scanne une fois, via la caméra de ton téléphone, le stocke, et s’en sert pour recalculer ton code à six chiffres toutes les 30 secondes. Tout repose là-dessus. Celui qui détient ce seed peut générer exactement les mêmes codes que toi. C’est le double de ta clé.

Le champ Secret dans Proton Authenticator : c'est le seed

Entrée de démonstration : ce seed est jetable et a été supprimé après la capture. Ne montre jamais un vrai seed.

Alors la vraie question n’est pas « quelle appli a la plus belle interface ». C’est : où vit ce secret ? Et qui peut le lire ?

L’épisode Google Authenticator de 2023 illustre l’enjeu mieux qu’un long discours. Pendant des années, l’appli ne stockait les seeds que sur l’appareil — sûr, mais si tu perdais ton téléphone, tu perdais tout. Google a donc ajouté la synchronisation cloud. Sauf que des chercheurs en sécurité ont analysé le trafic et constaté que la synchronisation n’était pas chiffrée de bout en bout : Google pouvait voir les secrets, probablement même une fois stockés sur ses serveurs. Le confort était là ; le contrôle, non. La leçon n’est pas « Google, c’est le mal ». C’est que confort et contrôle tirent souvent dans des sens opposés, et que tu as le droit de savoir lequel des deux on te vend.

À partir de là, trois cas de figure, du plus souverain au moins souverain.

Le seed reste local, sur ton appareil, sans synchro. Contrôle maximal, personne d’autre ne le détient. Le revers de la médaille : perds ton téléphone sans sauvegarde, et tu es enfermé dehors. La sauvegarde devient entièrement ta responsabilité !

Le seed est synchronisé, mais chiffré de bout en bout. Tu retrouves tes codes sur plusieurs appareils, et le fournisseur lui-même ne peut pas les lire. C’est le bon compromis pour la plupart des gens — à condition que ce chiffrement de bout en bout soit réel et vérifiable, pas une promesse marketing.

Le seed est synchronisé sans chiffrement de bout en bout. Confort identique, mais ton secret est lisible par le fournisseur. C’est exactement le cas à éviter, et c’est celui dans lequel Google Authenticator est tombé en 2023.

Deux critères en découlent, et ils guideront la reco juste après :

  • Open source : le code qui manipule tes seeds est auditable, tu ne crois pas sur parole.

  • Exportable : tu peux sortir tes seeds quand tu veux — donc tu n’es jamais prisonnier d’une appli, et tu peux fabriquer ta propre sauvegarde de secours en cas de pépin.

Reste une tentation à trancher, parce qu’elle relie cet article au précédent. Ton gestionnaire de mots de passe — Proton Pass, Bitwarden — sait souvent aussi stocker tes codes TOTP. Une seule appli qui remplit le mot de passe et le code : pratique, indéniablement. Mais regarde ce que tu viens de faire. Tu as remis tes deux facteurs dans le même contenant. Une seule compromission de ce coffre — ou de son mot de passe maître — livre d’un coup le mot de passe et le second facteur. Tu viens de reconstruire le point de défaillance unique que la 2FA existe précisément pour supprimer.

Ma position est nette : garde ton second facteur dans une appli séparée de ton coffre de mots de passe. Le léger inconfort de jongler avec deux applis, c’est le prix de l’indépendance des deux serrures. Ne le brade pas pour gagner trois secondes au moment de te connecter.

Ma reco : Proton Authenticator

Je ne vais pas te dérouler un comparatif de douze applis. Tu as les critères de la section précédente ; voici celle qui les coche le mieux pour la majorité des gens : Proton Authenticator.

Pourquoi elle, concrètement, critère par critère :

Open source, et vraiment. Le code des applis est public sous licence GPLv3, et l’appli Android est distribuée sur F-Droid en version compilée depuis les sources et signée par F-Droid, garantie de correspondre à ce code. Ce n’est pas « open source » écrit sur une plaquette : c’est vérifiable.

Exportable, donc tu n’es jamais prisonnier. Tu peux importer tes codes depuis Google Authenticator, 2FAS, Aegis, Bitwarden, Ente Auth ou LastPass, et tu peux aussi les exporter depuis Proton Authenticator. L’entrée est libre, la sortie aussi. C’est exactement l’inverse du verrou.

Le contrôle ET le confort, à toi de placer le curseur. L’appli fonctionne hors-ligne, sur mobile et sur desktop, sans compte Proton requis. Tu peux donc rester en tout-local. Et si tu veux la synchro entre tes appareils, tu te connectes avec un compte Proton et tes codes sont synchronisés, protégés par chiffrement de bout en bout — personne d’autre que toi ne peut y accéder. C’est le point qui change tout au quotidien : tu consultes tes codes partout, y compris depuis un PC, ce que la plupart des applis ne font toujours pas aujourd’hui. C’est le gros point fort de Proton pour moi.

Proton Authenticator sur desktop, entrées de démonstration

Entrées de démonstration avec seeds jetables, supprimées après la capture.

Le filet de récupération. Sans entrer dans un tutoriel : Proton Authenticator gère des sauvegardes chiffrées (via ton compte Proton ou sur iOS), et tu peux exporter tes codes vers un autre emplacement sécurisé de ton choix. Traduction : si tu perds ton téléphone, tu n’es pas condamné à tout reconfigurer. Il y a un moyen de revenir. On verra le comment ailleurs ; retiens juste qu’il existe.

Et une appli séparée de Proton Pass. Proton livre son gestionnaire de mots de passe et son authentificateur en deux applis distinctes. Ça tombe bien : c’est exactement la règle dont on avait parlé juste avant. Tes deux serrures restent dans deux contenants.

Pour qui ? Pour toi si tu veux une 2FA sérieuse, multiplateforme, auditable, sans te transformer en administrateur système — et particulièrement si tu as aimé Proton Pass dans l’article précédent.

Mon retour, en transparence. Je n’avance pas Proton Authenticator de loin : je l’utilise depuis sa sortie, sur tous mes appareils. En pratique, rien à signaler — l’appli est fluide, les codes sont là quand il faut, et les mises à jour tombent régulièrement. Aucun pépin de mon côté. Je te le donne pour ce que c’est : un retour d’usage honnête, pas un certificat. Un an d’utilisation sans accroc, c’est un bon signal, ce n’est pas dix ans de recul.

Sa zone grise, parce qu’aucun outil n’y échappe, même mes recos. D’abord, c’est une appli jeune : lancée mi-2025, elle a moins de kilomètres au compteur que des vétérans qui tournent depuis dix ans. Le code est ouvert et audité, mais le temps reste un juge qu’on ne peut pas accélérer. Ensuite, la synchro pratique te ramène dans un compte Proton — c’est l’exception cloud qu’on assumait déjà dans l’article précédent : tu la prends en connaissance de cause, ou tu restes en tout-local et tu gères ta sauvegarde toi-même. Enfin, comme toute 2FA par code, elle ne résiste pas au phishing en temps réel. Le seed est protégé ; ta vigilance, elle, reste requise.

L’alternative, pour un autre profil. Si tu refuses tout compte et que ton seed ne doit jamais quitter ton appareil, le tout-local intégral existe. Sur Android, la référence open source est Aegis : coffre chiffré sur le téléphone, export possible, zéro cloud. Son revers est honnête : Aegis est Android uniquement. Côté iOS, le tout-local open source propre est plus pauvre — et c’est précisément une des raisons pour lesquelles ma reco par défaut, multiplateforme, reste Proton Authenticator.

Et après ? Tu te souviens de la marche du dessus : les passkeys et les clés physiques, seules vraiment résistantes au phishing. C’est l’étape suivante, celle qui mérite son propre article. Active déjà une 2FA TOTP solide aujourd’hui — c’est 90 % du chemin pour une fraction de l’effort. Les passkeys viendront couronner l’édifice plus tard.

Par où commencer, dans le bon ordre

Tu pourrais être tenté d’activer la 2FA partout, ce week-end, d’un coup. Mauvaise idée : tu vas t’épuiser sur des comptes sans enjeu et abandonner avant d’attaquer les comptes prioritaires. La 2FA se déploie par ordre de priorité, pas par ordre alphabétique.

Commence par ta boîte mail. Avant la banque, avant tout le reste. Pourquoi ? Parce que ton adresse mail est la clé de voûte de toute ta vie numérique. Réfléchis à ce qui se passe quand tu cliques sur « mot de passe oublié » : le lien de réinitialisation arrive dans ta boîte mail. Pour presque tous tes comptes. Si un attaquant prend ton mail, il n’a pas besoin de pirater le reste — il fait « mot de passe oublié » sur chaque service, intercepte les liens, et ouvre les portes une à une. Verrouille le mail en premier, et tu protèges tout ce qui se trouve derrière.

Ensuite, ton gestionnaire de mots de passe et tes comptes bancaires. Le gestionnaire, parce qu’il contient toutes tes clés — sa propre 2FA est non négociable. La banque, pour des raisons évidentes. Ces trois-là — mail, gestionnaire, banque — forment ton noyau critique. Le jour où ils sont tous en 2FA, tu as fait l’essentiel du travail.

Le reste peut suivre tranquillement, au fil des semaines : réseaux sociaux, boutiques en ligne, forums. Sans précipitation. L’important est de continuer à avancer petit à petit.

Sauvegarde tes codes de récupération — au bon endroit. Quand tu actives la 2FA, le service te donne une série de codes de secours. Ce sont tes clés de rechange : ils te permettent de rentrer si tu perds ton second facteur. Garde-les précieusement. Mais réfléchis où. Pas en capture d’écran dans ta galerie, pas dans une note en clair. Et attention à un piège : ces codes contournent la 2FA. Les ranger dans ton gestionnaire de mots de passe, à côté du mot de passe correspondant, recolle les deux serrures sur la même porte — exactement ce qu’on a cherché à éviter. Le plus propre reste le papier : imprimés, rangés dans un tiroir ou un coffre, hors ligne, hors de portée d’une compromission numérique. C’est démodé. C’est aussi imbattable.

Et le téléphone perdu, alors ? C’est la peur n°1, celle qui fait reculer la plupart des gens : « et si je perds mon téléphone, je suis enfermé dehors pour toujours ? » Réponse : non, à condition d’avoir préparé un filet avant d’en avoir besoin. Tu en as même trois, et ils se cumulent. La synchro chiffrée vers un autre appareil. L’export de tes seeds que tu as mis de côté. Et les codes de récupération sur papier. Mets-en au moins un en place dès aujourd’hui, et le téléphone perdu redevient ce qu’il devrait être : un emmerdement, pas une catastrophe.

Voilà. Tu as ajouté une seconde serrure à tes comptes les plus précieux, tu as choisi en conscience où vit ton secret, et tu sais comment revenir si tu perds ta clé. Ce n’est pas le confort par défaut qu’on te vend partout. C’est le contrôle que tu as décidé de garder. Et oui, ça demande un petit effort de plus — c’est précisément ça, le prix de la souveraineté. Il est dérisoire au regard de ce qu’il protège. Et si tu veux prolonger l’élan avec un autre geste de vie privée tout aussi simple, reprends la main sur le choix de ton navigateur.

Ta tech, tes clés, ta liberté.

Sources

Télécharger