Double authentification : à quoi elle sert, quelle méthode choisir et comment l'activer

On l'appelle double authentification, validation ou vérification en deux étapes, ou « 2FA ». Le principe : en plus de votre mot de passe, vous prouvez votre identité par un second élément – un code provisoire reçu par SMS ou par mail, une application, une clé spécifique, ou la biométrie. Cybermalveillance.gouv.fr conseille fortement de l'activer sur vos comptes chaque fois que vous le pouvez.

Les méthodes, de la plus fragile à la plus solide

• Code par SMS ou par mail : la plus répandue et la plus simple, mais la plus fragile. L'ANSSI recommande de ne pas utiliser le SMS pour recevoir un facteur d'authentification, et Google rappelle que les codes envoyés par message peuvent être piratés.
• Application d'authentification ou validation sur le téléphone : l'appareil génère le code ou vous demande de confirmer la connexion. Google présente ses invites comme la méthode recommandée.
• Clé de sécurité physique : une petite clé à brancher ou à approcher du téléphone. Apple en exige au moins deux, certifiées FIDO, pour qu'on ne se retrouve pas bloqué.
• Clés d'accès (passkeys) : elles remplacent le mot de passe par une clé enregistrée sur l'appareil. Apple les décrit comme résistantes à l'hameçonnage.

Où l'activer en premier

Commencez par votre messagerie : c'est là qu'arrivent les liens de réinitialisation de tous vos autres comptes. Puis la banque, les réseaux sociaux et les comptes de vos appareils. La Banque de France note que l'authentification forte a nettement réduit la fraude – au point que les escrocs cherchent désormais à vous faire valider vous-même leurs opérations : ne validez jamais une demande que vous n'avez pas lancée.

Comment l'activer chez Apple, Google et Microsoft

• Compte Apple (« identification à deux facteurs ») : Réglages › [votre nom] › Connexion et sécurité, puis activez-la. Apple envoie un code à six chiffres sur vos appareils de confiance. Si vous venez de l'activer, vous avez deux semaines pour revenir en arrière.
• Compte Google (« validation en deux étapes ») : dans votre compte Google, ouvrez « Sécurité et connexion », puis, sous « Comment vous connecter à Google », « Activer la validation en deux étapes ». Une clé d'accès se crée à l'adresse myaccount.google.com/signinoptions/passkeys.
• Compte Microsoft (« vérification en deux étapes ») : account.microsoft.com/security › « Gérer la façon dont je me connecte » › « Sécurité supplémentaire » › « Vérification en deux étapes » › Activer. Microsoft recommande d'enregistrer trois informations de sécurité.

Ne pas vous enfermer dehors

• Enregistrez plusieurs méthodes : une application et une clé, ou deux clés.
• Conservez vos codes de secours en lieu sûr, hors du compte qu'ils protègent – Google en fournit, à usage unique.
• Ne communiquez jamais un code : aucun service sérieux ne vous appelle pour vous le demander.

Activez la double authentification sur votre messagerie aujourd'hui. C'est le compte qui permet de réinitialiser tous les autres.