La double authentification (2FA) : où l’activer en priorité

Ce qu’elle empêche

Avec un mot de passe seul, une seule clé ouvre le compte : celui qui la trouve entre. La double authentification ajoute une deuxième preuve au moment de la connexion : un code, une notification à valider, une clé à brancher. Un mot de passe volé dans une fuite, puis essayé automatiquement sur des centaines de sites, ne suffit alors plus.

C’est justement ce qui arrive le plus souvent après une fuite. Voilà pourquoi ce geste passe avant les autres.

Les trois formes, de la plus simple à la plus solide

1. Le code par SMS. Le plus répandu et le plus simple à activer, déjà très efficace. Sa faiblesse : le détournement de carte SIM, quand un fraudeur obtient une nouvelle carte à votre nom et reçoit vos codes (voir le guide numéro de téléphone).
2. L’application de codes. Elle affiche un code qui change toutes les trente secondes, sans réseau ni carte SIM. C’est le meilleur rapport entre effort et protection pour la plupart des gens.
3. La clé de sécurité physique. Un petit objet à brancher ou à approcher du téléphone. C’est la forme la plus résistante, y compris aux faux sites, mais il faut en acheter une, et idéalement deux pour en garder une de secours.

Beaucoup de services proposent aussi une simple notification à valider dans leur application. C’est pratique et solide, à condition de ne jamais valider une notification que vous n’avez pas déclenchée vous-même. D’autres proposent une clé d’accès : votre téléphone ou votre ordinateur confirme que c’est vous, sans mot de passe ni code à saisir.

Dans quel ordre l’activer

Vouloir tout couvrir d’un coup mène souvent à ne rien faire. L’ordre qui compte :

1. Votre boîte mail d’abord. C’est elle qui reçoit les liens « mot de passe oublié » de vos autres comptes. S’il ne fallait en faire qu’un, ce serait celui-là.
2. Votre banque. C’est souvent déjà en place par l’application. Il reste à vérifier que la validation passe bien par l’application et pas seulement par SMS.
3. Les comptes avec un moyen de paiement enregistré : sites marchands, livraison de repas, boutiques d’applications.
4. Les réseaux sociaux, surtout si vous vous en servez pour vous connecter ailleurs.

Le chemin est presque toujours le même : réglages du compte, rubrique « Sécurité » ou « Connexion », puis « Validation en deux étapes ».

Le piège le plus courant : les codes de secours

À l’activation, le service propose une liste de codes de secours, utilisables une seule fois. Ce sont eux qui vous permettront d’entrer le jour où le téléphone sera perdu, cassé ou volé. Beaucoup de gens ne les notent pas, et c’est une cause fréquente de comptes perdus pour de bon.

Le plus sûr est de les imprimer ou de les recopier et de les ranger chez vous, loin de l’ordinateur. Quand c’est possible, vous pouvez aussi ajouter une deuxième méthode de secours (un autre appareil, une autre application).

Ce que la double authentification ne fait pas

Deux limites à connaître :

1. Elle n’empêche pas une fuite. Si un site se fait voler sa base de données, vos informations partent quand même : elle protège l’accès à votre compte, pas les données gardées par le site.
2. Elle ne bloque pas tous les faux sites. Un faux site peut vous demander le code au moment où vous le recevez et s’en servir aussitôt. Il peut aussi copier la connexion que vous venez d’ouvrir, et il n’a alors plus besoin de code. La forme la plus trompeuse est la fausse fenêtre de connexion. D’où la règle : ne jamais saisir un code sur une page ouverte depuis un lien reçu. Seules les clés physiques et les clés d’accès bloquent aussi ce cas, parce qu’elles vérifient le site.

Ces deux limites ne changent pas le conseil : mieux vaut l’activer, car elle arrête le mot de passe volé puis essayé automatiquement.

Sources

• NIST, Digital Identity Guidelines, SP 800-63B-4 (résistance au phishing)
• Push Security, « Analyzing the latest Sneaky2FA Browser-in-the-Browser phishing page », 18 novembre 2025
• Apple, « About the security of passkeys »