Double authentification (2FA)

La double authentification bloque l’immense majorité des piratages de comptes, même quand le mot de passe a été volé. Voici quelle méthode choisir et comment l’activer.

Mis à jour le 14 octobre 2026

Qu’est-ce que la double authentification ?

La double authentification (2FA, ou authentification à deux facteurs) exige, en plus du mot de passe, une deuxième preuve d’identité d’une autre nature. On distingue trois familles de facteurs :

ce que vous savez : mot de passe, code PIN ;
ce que vous possédez : téléphone, clé de sécurité, carte à puce ;
ce que vous êtes : empreinte digitale, visage.

Un pirate qui a obtenu votre mot de passe (fuite de données, hameçonnage, logiciel espion) se retrouve bloqué, car il ne possède pas votre téléphone ou votre clé. Le terme « validation en deux étapes » utilisé par Google ou WhatsApp désigne le même principe.

Les méthodes, de la plus sûre à la moins sûre

Méthode	Sécurité	Résiste à l’hameçonnage	Remarques
Clé de sécurité physique (FIDO2 / U2F)	Excellente	Oui	YubiKey, Google Titan, Feitian… Une clé USB ou NFC à toucher. Prévoir une seconde clé de secours.
Passkey (clé d’accès)	Excellente	Oui	Remplace mot de passe et 2FA, déverrouillée par l’empreinte ou le visage.
Application d’authentification (TOTP)	Bonne	Non	Code à 6 chiffres renouvelé toutes les 30 secondes, fonctionne sans réseau.
Notification à valider	Bonne	Non	Pratique, mais exposée à la « fatigue MFA » : valider par réflexe une demande que l’on n’a pas faite.
Code par SMS	Moyenne	Non	Vulnérable au SIM swapping et à l’interception. Bien mieux que rien.
Code par e-mail	Faible à moyenne	Non	Ne vaut que la sécurité de votre messagerie.

Pourquoi le SMS est le maillon faible

Dans une attaque par SIM swapping, l’escroc se fait passer pour vous auprès de votre opérateur et obtient une nouvelle carte SIM à votre numéro. Il reçoit alors tous vos codes SMS. Le SMS reste néanmoins efficace contre les attaques automatisées les plus courantes : s’il est la seule option proposée, activez-le.

Quelle application de double authentification choisir ?

Toutes les applications ci-dessous utilisent la norme ouverte TOTP : un code fonctionne avec n’importe quel site compatible, quelle que soit l’application.

Google Authenticator (Android, iOS) : simple ; propose depuis 2023 la sauvegarde des codes dans le compte Google.
Microsoft Authenticator (Android, iOS) : codes TOTP et connexion par notification aux comptes Microsoft.
Aegis (Android) : libre et open source, coffre chiffré, sauvegardes locales.
2FAS (Android, iOS) : open source, gratuit, sauvegarde optionnelle chiffrée.
Ente Auth (Android, iOS, ordinateur) : open source, synchronisation chiffrée de bout en bout entre appareils.

Le critère décisif : la sauvegarde. Une appli dont les codes ne sont ni synchronisés ni exportables vous expose à perdre l’accès à tous vos comptes si le téléphone est perdu, volé ou cassé.

Activer la double authentification : la marche à suivre

Commencez par la messagerie. Elle permet de réinitialiser tous vos autres mots de passe : c’est le compte le plus important.
Ouvrez les paramètres de sécurité du service et cherchez « Validation en deux étapes », « Authentification à deux facteurs » ou « Vérification en deux étapes ».
Choisissez la méthode la plus forte proposée : passkey ou clé de sécurité, sinon application d’authentification, sinon SMS.
Scannez le QR code avec votre application, puis saisissez le code affiché pour confirmer.
Enregistrez les codes de secours (voir ci-dessous) avant de fermer la page.
Ajoutez une deuxième méthode (seconde clé, numéro de secours) pour ne jamais dépendre d’un seul appareil.

Où trouver l’option sur les principaux services

Google / Gmail : Compte Google > Sécurité > Validation en deux étapes (aide Google). Voir aussi sécuriser son compte Gmail.
Apple : la double authentification est activée par défaut sur les comptes Apple récents ; vérifiez dans Réglages > [votre nom] > Connexion et sécurité.
Microsoft / Outlook : compte Microsoft > Sécurité > Options de connexion avancées.
Facebook et Instagram : Espace Comptes > Mot de passe et sécurité > Authentification à deux facteurs.
WhatsApp : Paramètres > Compte > Vérification en deux étapes (code PIN à 6 chiffres).
Amazon : Votre compte > Connexion et sécurité > Vérification en deux étapes.

Les codes de secours : à ne pas négliger

Lors de l’activation, la plupart des services fournissent une liste de codes de secours à usage unique. Ce sont eux qui vous sauveront si vous perdez votre second facteur. Imprimez-les ou notez-les et rangez-les avec vos papiers importants, ou stockez-les dans votre gestionnaire de mots de passe (sauf pour le gestionnaire lui-même). Ne les gardez pas uniquement dans une photo du téléphone protégé par la 2FA.

Téléphone perdu ou changé : que faire ?

Changement de téléphone prévu

Transférez vos codes avant de réinitialiser l’ancien appareil : fonction d’export de l’application (Google Authenticator, Aegis, 2FAS), synchronisation (Ente Auth, Microsoft Authenticator) ou réactivation de la 2FA compte par compte. Vérifiez que tout fonctionne sur le nouveau téléphone avant d’effacer l’ancien.

Téléphone perdu ou volé

Faites suspendre votre ligne auprès de votre opérateur pour empêcher la réception des SMS.
Connectez-vous à vos comptes principaux depuis un autre appareil avec vos codes de secours ou votre seconde méthode.
Supprimez l’ancien téléphone des appareils de confiance et réactivez la 2FA avec le nouveau.
Sans code de secours, lancez la procédure de récupération de chaque service. Elle peut prendre plusieurs jours : voir récupérer l’accès à un compte.

Attention aux arnaques : aucun service ne vous demandera jamais de lui communiquer un code de validation par téléphone ou par message. Un interlocuteur qui réclame « le code que vous venez de recevoir » est un escroc.

Questions fréquentes

La double authentification est-elle obligatoire ?

Pour les paiements en ligne et l’accès aux comptes bancaires, oui : la directive européenne DSP2 impose une authentification forte depuis 2019-2021, d’où les validations dans l’application de votre banque. Pour la messagerie et les réseaux sociaux, elle reste facultative mais certains services (Google, GitHub, comptes professionnels) l’imposent progressivement.

Peut-on stocker les codes 2FA dans son gestionnaire de mots de passe ?

Oui, la plupart (Bitwarden, Proton Pass, 1Password…) génèrent des codes TOTP. C’est pratique, mais mot de passe et second facteur se retrouvent au même endroit : si le coffre est compromis, les deux le sont. Pour les comptes critiques (messagerie, banque, gestionnaire lui-même), gardez le second facteur ailleurs.

La double authentification protège-t-elle contre l’hameçonnage ?

Partiellement. Un faux site peut vous demander le code SMS ou TOTP et l’utiliser dans la minute. Seules les clés de sécurité FIDO2 et les passkeys sont liées au véritable nom de domaine et résistent réellement à l’hameçonnage.

Combien de temps reste valable un code d’une appli 2FA ?

En général 30 secondes. Le code est calculé à partir d’un secret partagé et de l’heure : si l’horloge de votre téléphone est décalée, les codes sont refusés. Activez la mise à l’heure automatique.