2FA : comprendre la double authentification

Auteur : Rédaction Domeny.ForSale Publié le 25.09.2026

En bref : la 2FA est l’authentification à deux facteurs : elle consiste à confirmer son identité lors de la connexion à l’aide de deux types de preuves différents, par exemple un mot de passe et un code fourni par une application sur téléphone. Ainsi, le vol du mot de passe ne suffit généralement pas à accéder au compte. Si le service vous laisse le choix, privilégiez une clé de sécurité ou une application d’authentification plutôt que les SMS, et prévoyez dès le départ un moyen de récupérer l’accès.

Comment fonctionne la 2FA et que sont les deux facteurs ?

L’authentification consiste à vérifier que la personne qui tente de se connecter est bien celle qu’elle prétend être. Le mot de passe prouve qu’elle connaît un secret, mais il peut être obtenu par tromperie, deviné ou compromis lors d’une fuite de données. La 2FA ajoute un second type de preuve, indépendant du premier.

Les facteurs d’authentification se répartissent en trois grandes catégories :

Quelque chose que vous connaissez — par exemple un mot de passe ou un PIN.
Quelque chose que vous possédez — par exemple une clé de sécurité ou un téléphone doté d’une application qui génère des codes.
Quelque chose que vous êtes — par exemple une caractéristique biométrique vérifiée par un lecteur d’empreintes digitales.

Un mot de passe associé à la réponse à une question sur le nom de jeune fille de votre mère ne constitue pas une véritable 2FA : les deux protections reposent sur des connaissances. De même, effectuer deux étapes lors de la connexion ne signifie pas nécessairement utiliser deux facteurs différents. Le terme MFA désigne l’authentification multifacteur ; la 2FA en est une variante qui utilise exactement deux facteurs.

Par exemple, vous vous connectez à votre messagerie avec un mot de passe, puis vous saisissez un code fourni par votre application d’authentification. Une personne qui a obtenu ce mot de passe lors d’une fuite sur un autre service ne pourra pas se connecter avec ce seul élément : il lui faudra aussi le second facteur ou un moyen de contourner les protections.

SMS, application ou clé de sécurité ?

Les méthodes de 2FA diffèrent par leur facilité d’utilisation et leur résistance aux attaques. Les options disponibles dépendent du service : consultez donc sa documentation de sécurité à jour avant de les configurer.

Méthode	Fonctionnement	Principale limite
SMS	Le service envoie un code à votre numéro de téléphone.	La prise de contrôle du numéro, par exemple par l’obtention frauduleuse d’une nouvelle carte SIM, peut permettre de recevoir les codes.
Application générant des codes	L’application génère des codes à durée de validité limitée, généralement selon le standard TOTP.	Un faux formulaire de connexion peut servir à vous soutirer le code.
Notification dans une application	Vous approuvez une demande de connexion sur votre téléphone.	Approuver par erreur une tentative de connexion d’un tiers peut donner accès au compte à un attaquant.
Clé de sécurité FIDO2/WebAuthn	Vous confirmez la connexion à l’aide d’un dispositif physique, par exemple via USB ou NFC.	Il faut prévoir un moyen de connexion de secours en cas de perte de la clé.

Un code TOTP est un code à usage unique calculé à partir de l’heure et d’un secret enregistré lors de la configuration. Une fois le compte ajouté, l’application peut générer ces codes sans connexion à Internet ni couverture mobile. L’heure de l’appareil doit toutefois être correctement réglée.

Les clés utilisant le standard FIDO2/WebAuthn lient l’authentification au véritable domaine du service. C’est un avantage important par rapport aux codes : un faux site classique ne peut pas utiliser cette confirmation pour se connecter au compte réel. Ces clés constituent un choix particulièrement adapté à la messagerie professionnelle, au panneau de gestion d’un bureau d’enregistrement de domaines ou aux comptes administrateur.

Si le service ne propose que les SMS, il vaut généralement mieux activer cette protection que conserver le seul mot de passe. Ne considérez toutefois pas toutes les méthodes comme aussi sûres les unes que les autres.

Contre quoi la 2FA protège-t-elle, et quelles sont ses limites ?

La 2FA réduit le risque de prise de contrôle d’un compte après la divulgation de son mot de passe. Elle aide aussi lorsqu’un cybercriminel teste automatiquement, sur différents services, des mots de passe provenant de fuites de données. Elle ne remplace cependant pas l’utilisation d’un mot de passe unique pour chaque compte.

Le phishing, ou hameçonnage, consiste à se faire passer pour un service de confiance afin de soutirer des données. Il peut aussi viser les codes de 2FA. Un faux site peut demander votre mot de passe et votre code actuel, puis les transmettre au véritable service. Ne communiquez donc pas vos codes à un conseiller, dans un message ou sur une page ouverte depuis un lien suspect.

La 2FA ne protège pas non plus contre toutes les conséquences de l’infection d’un appareil. Le vol d’une session active — les données qui permettent au service de reconnaître un utilisateur déjà connecté — peut éviter à l’attaquant de devoir se reconnecter. Il reste donc nécessaire de mettre le système à jour, de faire preuve de prudence lors de l’installation d’extensions et de contrôler les sessions actives du compte.

N’approuvez pas une notification de connexion si vous n’êtes pas à l’origine de la tentative. Une demande inattendue peut signifier que quelqu’un connaît votre mot de passe ; accédez vous-même aux paramètres du compte et vérifiez son activité.

Comment activer la 2FA sans perdre l’accès ?

Commencez par votre messagerie principale, car elle sert souvent à réinitialiser les mots de passe d’autres services. Sécurisez ensuite votre gestionnaire de mots de passe, vos comptes financiers et les interfaces permettant de gérer votre entreprise, votre domaine ou votre hébergement.

Ouvrez les paramètres de sécurité du compte. Recherchez une option intitulée « authentification à deux facteurs », « validation en deux étapes » ou « MFA ».
Ajoutez la méthode choisie. Avec une application, vous devez généralement scanner un code QR, puis saisir le code de confirmation généré. Ne partagez pas le code QR : il contient le secret permettant de générer les codes suivants.
Conservez les codes de récupération. Ces codes de secours remplacent le second facteur et sont généralement à usage unique. Gardez-les dans un endroit sûr, accessible même après la perte de votre téléphone, par exemple sous forme imprimée dans un rangement fermé à clé.
Ajoutez une méthode de secours si le service le permet. Il peut s’agir d’une seconde clé de sécurité. Gardez à l’esprit qu’une méthode de secours moins sûre peut affaiblir la protection de l’ensemble du compte.
Testez la connexion avant de terminer la configuration. Laissez votre session actuelle ouverte et faites un essai dans une fenêtre de navigation privée distincte.

Avant de changer de téléphone, consultez les instructions officielles de transfert des comptes de votre application. Ne supposez pas que les codes seront transférés avec la carte SIM. Ne supprimez la configuration de l’ancien appareil qu’après avoir confirmé que vous pouvez vous connecter à tous vos services importants depuis le nouveau.