L'authentification à deux facteurs (2FA) ajoute une vérification supplémentaire à la connexion, en plus du mot de passe : quelque chose que vous possédez (un téléphone, une clé physique) ou quelque chose que vous êtes (une empreinte). L'idée centrale est simple : un mot de passe volé, seul, ne suffit plus à accéder au compte. Mais toutes les méthodes de 2FA ne se valent pas, et confondre "j'ai activé la 2FA" avec "mon compte est protégé" peut donner un faux sentiment de sécurité selon la méthode réellement choisie.
Les violations de données massives ont mis en circulation des milliards d'identifiants volés, souvent réutilisés d'un service à l'autre par les utilisateurs. Un mot de passe, aussi long et complexe soit-il, reste un secret unique : s'il fuite une seule fois, sur un seul service, il peut être testé automatiquement sur des dizaines d'autres comptes via une technique appelée "credential stuffing". La 2FA casse cette mécanique en exigeant une preuve supplémentaire qui, en théorie, ne peut pas être devinée ni volée en même temps que le mot de passe lors d'une fuite de base de données.
Recevoir un code par SMS reste la méthode de 2FA la plus répandue, en grande partie parce qu'elle ne demande aucune installation et fonctionne sur n'importe quel téléphone. Sa faiblesse principale porte un nom : le "SIM swapping". Un attaquant qui parvient à convaincre un opérateur téléphonique de transférer votre numéro vers une carte SIM qu'il contrôle (souvent via une usurpation d'identité ou une ingénierie sociale ciblée sur le service client de l'opérateur) reçoit alors directement vos codes de vérification par SMS, sans avoir besoin d'accéder physiquement à votre téléphone. Le réseau de téléphonie mobile lui-même (protocole SS7) présente par ailleurs des faiblesses documentées de longue date, exploitables par des acteurs disposant d'un accès à l'infrastructure télécom. Le SMS reste largement préférable à l'absence de 2FA, mais il constitue le niveau de protection le plus faible parmi les options courantes.
Les applications comme Google Authenticator, Microsoft Authenticator ou Authy génèrent un code temporaire directement sur votre appareil, sans transiter par le réseau téléphonique. Cette méthode repose sur un standard ouvert, le TOTP (Time-based One-Time Password, décrit dans la RFC 6238), qui combine une clé secrète partagée au moment de l'activation avec l'heure actuelle pour produire un code valable une trentaine de secondes. Comme le code est généré localement, hors ligne, il échappe à la fois au SIM swapping et à l'interception réseau. Sa principale faiblesse est la dépendance à l'appareil : la perte du téléphone sans sauvegarde des clés secrètes peut rendre l'accès au compte plus compliqué, d'où l'importance de conserver les codes de secours fournis à l'activation.
Une clé de sécurité physique (comme une YubiKey) représente aujourd'hui le niveau de protection le plus robuste contre le phishing en temps réel. Contrairement à un code TOTP ou SMS, qui peut être saisi par erreur sur un faux site puis relayé instantanément par l'attaquant vers le vrai service, la clé physique vérifie cryptographiquement le domaine exact auquel elle se connecte avant de répondre : elle refuse purement et simplement de fonctionner sur un domaine frauduleux, même visuellement identique au vrai. Cette propriété, définie par les standards FIDO2 et son prédécesseur U2F, en fait la seule méthode de 2FA courante qui neutralise structurellement une tentative de phishing en cours, indépendamment de la vigilance de l'utilisateur au moment du clic.
De nombreux services proposent désormais une notification push envoyée directement à une application mobile, qu'il suffit d'approuver d'un tap. Cette méthode est confortable, mais elle a ouvert la voie à une technique d'attaque relativement récente : la "MFA fatigue" (fatigue liée à l'authentification multifacteur), qui consiste à déclencher un grand nombre de demandes de validation successives dans l'espoir qu'un utilisateur excédé finisse par en approuver une par réflexe ou par lassitude, sans vérifier qu'il est bien à l'origine de la tentative de connexion. Plusieurs incidents de sécurité documentés dans des entreprises technologiques majeures ont exploité précisément ce mécanisme. Les implémentations les plus robustes ajoutent désormais un code à recopier ou une confirmation de localisation pour limiter ce risque.
L'empreinte digitale ou la reconnaissance faciale, utilisées pour déverrouiller un téléphone ou valider un paiement, sont souvent perçues comme une forme de 2FA à part entière. En réalité, sur la plupart des appareils grand public, la biométrie déverrouille localement un secret déjà stocké sur l'appareil (une clé cryptographique ou un jeton d'application), elle ne transmet jamais l'empreinte elle-même au service distant. Cela en fait une couche de confort et de protection locale utile, notamment contre un accès physique non autorisé à l'appareil, mais elle ne remplace pas une 2FA au sens strict côté serveur : un appareil déverrouillé par empreinte reste vulnérable si le compte lui-même n'exige aucune vérification supplémentaire à la connexion depuis un nouvel appareil. La biométrie et la 2FA se complètent, elles ne se substituent pas l'une à l'autre.
Chaque méthode de 2FA sérieuse doit être activée avec des codes de secours (souvent une liste de codes à usage unique) à conserver hors ligne, dans un endroit distinct de l'appareil habituel, par exemple imprimés ou stockés dans un gestionnaire de mots de passe séparé. Sans ces codes, la perte d'un téléphone contenant une application d'authentification ou une puce SIM compromise peut transformer une mesure de sécurité en blocage d'accès complet à un compte important. La plupart des services proposent également une procédure de récupération alternative, généralement plus lente et plus stricte, précisément parce qu'elle constitue un point de contournement potentiel de la 2FA si elle était trop simple. Enregistrer une deuxième méthode de 2FA en secours (par exemple une clé physique de rechange en plus d'une application principale) évite de dépendre d'un seul appareil et réduit le risque de blocage total en cas de perte ou de panne matérielle.
Il n'existe pas de réponse unique valable pour tous les comptes : la 2FA par application TOTP offre un bon compromis entre sécurité et simplicité pour la majorité des services du quotidien, tandis qu'une clé de sécurité physique se justifie pleinement pour les comptes les plus critiques (messagerie principale, gestionnaire de mots de passe, accès professionnel sensible), où elle est aujourd'hui prise en charge par la plupart des grands fournisseurs. Le SMS reste préférable à l'absence totale de deuxième facteur, mais ne devrait pas être le choix par défaut lorsqu'une alternative plus robuste est disponible sur le même compte. En contexte professionnel, de plus en plus d'organisations imposent désormais une clé physique ou une application d'authentification pour l'accès aux systèmes internes, précisément parce qu'un seul compte compromis par SIM swapping peut servir de point d'entrée vers l'ensemble d'un réseau d'entreprise ; cette exigence, parfois perçue comme une contrainte administrative, répond à un risque de propagation bien réel une fois qu'un premier compte est franchi. Cette hiérarchie rejoint directement les principes détaillés dans notre page sur la gestion des mots de passe et dans celle consacrée au phishing : un mot de passe fort, une 2FA robuste et une vigilance face aux tentatives d'hameçonnage forment un ensemble cohérent, pas trois mesures indépendantes.
