Deux preuves valent mieux qu’une
Deux portes, deux preuves
La double authentification (en anglais 2FA, pour « deux facteurs ») demande deux preuves de nature différente : ce que vous savez, puis ce que vous possédez.
Bon réflexe : activez-la d'abord sur la messagerie et les comptes sensibles.
Le pirate a le mot de passe
Un mot de passe peut fuir : site piraté, hameçonnage, mot de passe réutilisé ailleurs. Avec lui seul, la porte 1 s'ouvre.
À savoir : un mot de passe réutilisé sur plusieurs sites est volé avec le premier site piraté.
Bon réflexe : un mot de passe différent par compte, rangé dans un gestionnaire de mots de passe.
La seconde porte reste fermée
Le code s'affiche sur votre téléphone, pas sur le sien. Sans lui, la connexion échoue.
À savoir : vous recevez un code que vous n'avez pas demandé : quelqu'un connaît votre mot de passe.
Bon réflexe : ne communiquez pas ce code, et changez le mot de passe aussitôt.
La limite : le faux site relais
Un faux site peut transmettre en direct ce que vous tapez, code compris, au vrai service. La porte 2 s'ouvre alors pour lui.
À savoir : l'adresse de la page n'est pas celle du vrai service.
Le code est valable quelques dizaines de secondes : le faux site le recopie sans délai, avant qu'il expire.
Bon réflexe : préférez une clé de sécurité physique : elle refuse de répondre à une adresse qui n'est pas la bonne.
Trois méthodes à comparer
Toutes valent mieux qu'un mot de passe seul. Elles ne résistent pas pareil. Survolez ou touchez une ligne.
- SMS pratique, mais le code peut être relayé ou détourné. Protection : 1 sur 3.
La carte SIM peut être transférée par un fraudeur, et le code peut être demandé par un faux site.
- Application le code se renouvelle sur votre téléphone, sans réseau mobile. Protection : 2 sur 3.
Plus difficile à détourner, mais un faux site peut encore se faire donner le code en direct.
- Clé physique elle vérifie l'adresse du site avant de répondre. Protection : 3 sur 3.
Un faux site n'obtient rien : la clé ne répond qu'au vrai service.
- SMS pratique, mais le code peut être relayé ou détourné. Protection : 1 sur 3.