Se protéger
Double authentification
- authentification à deux facteurs français
- A2F français
- two-factor authentication anglais
- 2FA anglais
La double authentification (en anglais, two-factor authentication ou 2FA) exige deux preuves de types différents pour ouvrir un compte, par exemple un mot de passe et la possession d’un téléphone.
Pour comprendre
Pour tout le monde
Deux mots de passe, même très différents, restent deux choses que l’on sait. La double authentification combine deux catégories de preuves : ce que l’on sait, comme un Mot de passe ; ce que l’on possède, comme un appareil ou une clé de sécurité ; ou une caractéristique physique, comme une empreinte. Deux étapes à l’écran ne signifient donc pas forcément deux facteurs.
Un code produit par une application prouve que l’on dispose du secret enregistré dans celle-ci. Il peut compléter le mot de passe : voler ce dernier ne suffit alors plus à une nouvelle connexion ordinaire. Un code envoyé par SMS peut aussi servir, mais la ligne téléphonique peut être détournée. L’authentification multifacteur, souvent abrégée MFA, est le terme plus large pour une combinaison d’au moins deux catégories.
Cette protection a des limites. Un faux site de Hameçonnage peut transmettre aussitôt le code volé au service légitime ; une demande de validation peut être acceptée par erreur. Les méthodes fondées sur une Clé d’accès peuvent mieux résister aux faux sites, car la preuve est liée au service attendu. Il faut aussi prévoir la perte du téléphone : le Code de secours répond à ce besoin quand le service en propose.
En image
Un exemple
Pendant que vous regardez une recette, le téléphone demande d’autoriser une connexion à votre messagerie. Vous n’en avez lancé aucune. Vous refusez, puis ouvrez vous-même les réglages de sécurité du compte pour vérifier les connexions, terminer celles qui vous sont inconnues et changer le mot de passe si nécessaire.
Les bons réflexes
Activez cette protection sur vos comptes, en commençant par la messagerie qui sert à récupérer les autres accès.
Quand le service le propose, privilégiez une méthode résistante aux faux sites, comme une clé d’accès ou une clé de sécurité.
Préparez un moyen de récupération protégé, accessible si le téléphone est perdu ou en panne.
Refusez toute validation non demandée et ne donnez pas vos codes à une personne qui vous contacte.
À ne pas confondre avec
- Mot de passeUn mot de passe (en anglais, password) est un secret utilisé pour vérifier votre accès à un compte ; sa réutilisation permet parfois d’en ouvrir plusieurs.
- Clé d’accèsUne clé d’accès (en anglais, passkey) permet de se connecter sans saisir de mot de passe sur le site, grâce à une preuve numérique validée depuis un appareil.
Termes voisins
- Mot de passeUn mot de passe (en anglais, password) est un secret utilisé pour vérifier votre accès à un compte ; sa réutilisation permet parfois d’en ouvrir plusieurs.
- HameçonnageDans l’hameçonnage (en anglais, phishing), une demande imite un interlocuteur de confiance pour vous faire livrer un secret, payer ou installer un programme piégé.
- Clé d’accèsUne clé d’accès (en anglais, passkey) permet de se connecter sans saisir de mot de passe sur le site, grâce à une preuve numérique validée depuis un appareil.
- Code de secoursUn code de secours (en anglais, recovery code) se conserve à l’avance pour retrouver l’accès à un compte quand le moyen de vérification habituel manque.