Authentification à deux facteurs : ce que c'est, quelle méthode choisir et comment l'activer

L'authentification à deux facteurs (A2F) exige deux éléments qui appartiennent à deux facteurs d'authentification distincts, selon l'Office québécois de la langue française. Pensez cybersécurité les résume ainsi : ce que vous savez (un NIP, un mot de passe), ce que vous possédez (votre téléphone) et ce que vous êtes (empreinte digitale, visage, voix). C'est une forme d'authentification multifactorielle (AMF) : le cybercriminel qui s'empare de votre mot de passe ne peut quand même pas accéder à vos comptes.

Les noms varient. Google parle de validation en deux étapes, « également appelée authentification à deux facteurs », Apple d'identification à deux facteurs, et le Centre canadien pour la cybersécurité distingue l'authentification à deux étapes, qui peut employer deux fois le même type de facteur. Pour vous, une seule chose compte : l'activer.

Pourquoi un mot de passe ne suffit plus

Le Centre antifraude du Canada (CAFC) décrit le bourrage d'identifiants : des fraudeurs essaient, souvent de façon automatisée, la même adresse courriel et le même mot de passe volés lors d'une fuite de données sur vos autres comptes, comme avec un passe-partout. L'AMF ajoute une couche de protection si votre mot de passe est compromis. Mais les fraudeurs tentent aussi de manipuler le processus lui-même.

Le piège du code à usage unique

Le scénario est fréquent : un fraudeur qui connaît votre adresse courriel ou votre numéro tente de se connecter à votre compte, ce qui vous envoie un vrai code à usage unique. Il vous contacte ensuite en se faisant passer pour l'entreprise, un service de sécurité ou un proche, et vous demande ce code, parfois envoyé « par erreur ». Avec le code, il change votre mot de passe et prend le contrôle du compte. Le CAFC est clair : ne partagez jamais un code à usage unique, pas même avec des amis, des membres de votre famille ou des fournisseurs de services. Google précise que vous ne recevrez pas d'appel de Google pour valider un code.

Méfiez-vous aussi des demandes d'approbation répétées. Le Centre canadien pour la cybersécurité décrit le pollupostage d'AMF, qui inonde la victime de notifications pour qu'elle finisse par accepter. N'approuvez que les demandes de connexion que vous avez vous-même amorcées.

Les méthodes, de la plus fragile à la plus robuste

• Code par texto ou par appel : répandu et pratique, mais vulnérable. Le Centre canadien pour la cybersécurité note que ces codes sont envoyés en format non chiffré et que des fraudeurs les interceptent par usurpation de carte SIM ou hameçonnage; Google reconnaît qu'ils peuvent être piratés.
• Application d'authentification, comme Google Authenticator : elle crée des codes uniques, même sans connexion Internet ni service mobile.
• Invite sur le cellulaire : Google recommande ses invites comme seconde étape. Toucher Oui ou Non est plus simple que de saisir un code, et les invites peuvent protéger contre le piratage de la carte SIM ou du numéro.
• Clé d'accès : c'est le terme que retient l'OQLF pour passkey (Apple parle de « clés d'identification »). Elle remplace le mot de passe par une clé conservée sur votre appareil, déverrouillée par empreinte, visage ou NIP. Comme aucun mot de passe n'est transmis, elle peut réduire les attaques par hameçonnage, selon le Centre canadien pour la cybersécurité, et elle ne peut pas être communiquée à un tiers, précise l'OQLF.
• Clé de sécurité physique : un petit appareil à brancher au cellulaire ou à l'ordinateur. Le Centre canadien pour la cybersécurité recommande fortement les solutions fondées sur la norme FIDO, et Google indique que clés d'accès et clés de sécurité matérielles protègent votre compte contre l'hameçonnage.

Comment l'activer chez Apple et Google

• Compte Apple : Réglages > [votre nom] > Connexion et sécurité, puis activez l'identification à deux facteurs (Réglages système sur Mac). C'est déjà la méthode par défaut de la plupart des comptes. Apple affiche un code de validation à six chiffres sur vos appareils de confiance ou l'envoie à votre numéro de confiance. Si vous venez de l'activer, vous pouvez revenir en arrière pendant deux semaines.
• Compte Google : ouvrez votre compte Google, touchez Sécurité et connexion, puis, sous « Comment vous connecter à Google », sélectionnez Activer la validation en deux étapes. Un nouveau numéro de téléphone peut prendre jusqu'à sept jours à être validé.
• Réseaux sociaux et autres services : la plupart des réseaux sociaux et de nombreux appareils offrent l'AMF dans leurs paramètres de sécurité. Chaque fois qu'on vous la propose, cliquez sur oui, résume Pensez cybersécurité.
• Banque : renseignez-vous sur les fonctions de sécurité, les alertes et les notifications de votre institution financière, et utilisez l'authentification multifacteur pour ajouter une couche si votre phrase de passe est compromise, recommande le Centre canadien pour la cybersécurité.

Ne pas vous enfermer dehors

• Imprimez ou téléchargez les codes de secours à huit chiffres de Google et gardez-les en lieu sûr : ils servent si vous perdez votre cellulaire.
• Prévoyez une méthode de rechange. Chez Apple, vous pouvez par exemple configurer un contact de récupération de compte.
• Ne cochez « Ne plus me demander sur cet appareil » que sur un appareil que vous utilisez régulièrement et que vous ne partagez avec personne.
• Si vous recevez un code sans l'avoir demandé, ne l'utilisez pas et ne le communiquez à personne. Pour Apple, c'est un des signes d'un compte compromis : changez votre mot de passe.

Activez dès aujourd'hui le deuxième facteur sur votre courriel. Avec un mot de passe volé, le fraudeur reste quand même à la porte.