Un mot de passe seul ne suffit plus à protéger un compte : il fuit lors d'un piratage de site, se devine ou se fait voler par un faux message. La double authentification ajoute une seconde vérification, si bien qu'un pirate qui connaît le mot de passe reste bloqué à la porte. L'activer prend quelques minutes par compte. Voici par où commencer et quelle méthode choisir. Les autres réflexes de sécurité au quotidien sont réunis dans la rubrique Numérique.
Ce que change la double authentification
Le principe est de combiner deux preuves de nature différente : quelque chose que vous savez, le mot de passe, et quelque chose que vous possédez, en général votre téléphone. À la connexion depuis un nouvel appareil, le service demande, après le mot de passe, un code à usage unique ou une validation sur le téléphone. Sans cet objet, le mot de passe ne sert à rien.
La plupart des grands services l'appellent validation en deux étapes ou vérification en deux étapes. Le réglage se trouve presque toujours dans les paramètres du compte, à la rubrique Sécurité ou Connexion.
Par quels comptes commencer
Inutile de tout faire le même soir. Mieux vaut traiter d'abord les comptes qui donnent accès aux autres :
- la messagerie principale, car c'est par elle qu'on réinitialise tous les autres mots de passe ;
- le compte du téléphone (Google ou Apple), qui contient les sauvegardes, les photos et souvent les mots de passe enregistrés ;
- les réseaux sociaux, très visés pour diffuser des arnaques au nom de leur propriétaire ;
- les sites marchands qui gardent une carte bancaire enregistrée.
Pour la banque, la question ne se pose plus : depuis la directive européenne sur les services de paiement, l'authentification forte est obligatoire pour se connecter et valider la plupart des paiements en ligne. Les conseils pour garder la main sur ses comptes bancaires et ses dépenses figurent dans la rubrique Budget.
Les méthodes de vérification, de la plus simple à la plus sûre
Le code reçu par SMS
C'est la méthode la plus répandue et la plus facile à mettre en place : un code à six chiffres arrive par SMS à chaque connexion sensible. Elle vaut beaucoup mieux que rien, mais reste la plus fragile, car un escroc peut tenter de faire transférer votre numéro sur une autre carte SIM ou vous demander le code au téléphone en se faisant passer pour un conseiller.
L'application d'authentification
Une application installée sur le téléphone génère un nouveau code toutes les trente secondes, même sans réseau. Les applications des grands éditeurs et plusieurs gestionnaires de mots de passe proposent cette fonction. À l'activation, le site affiche un code QR qu'on scanne avec l'application ; c'est tout.
La validation par notification
Certains services envoient simplement une notification sur le téléphone déjà connecté : on confirme d'un geste que c'est bien soi. Pratique, à une condition : ne jamais valider une demande qu'on n'a pas lancée soi-même.
La clé de sécurité et les clés d'accès
Une petite clé physique à brancher ou à approcher du téléphone offre le niveau le plus élevé, car elle ne se laisse pas tromper par un faux site. Les clés d'accès, de plus en plus proposées, reposent sur le même principe en utilisant le déverrouillage du téléphone par empreinte ou visage.
Activer la double authentification sans se bloquer
La crainte la plus fréquente est de perdre l'accès à son propre compte si le téléphone est perdu ou changé. Quelques précautions l'évitent :
- notez les codes de secours proposés à l'activation et rangez-les sur papier, à la maison, ou dans un gestionnaire de mots de passe ;
- ajoutez un second moyen de vérification quand le service le permet, par exemple un numéro de téléphone de secours ;
- avant de changer de téléphone, transférez les comptes de l'application d'authentification vers le nouvel appareil, puis vérifiez qu'ils fonctionnent avant d'effacer l'ancien.
Les pièges qui contournent la double authentification
Les escrocs le savent : faute de pouvoir passer la seconde étape, ils essaient de se la faire donner. Un faux conseiller bancaire qui demande de lui lire un code, un SMS qui invite à confirmer une connexion, une page qui imite à la perfection celle de la messagerie : dans tous les cas, le réflexe reste le même. Aucun service sérieux ne demande de communiquer un code de validation. Si un code arrive alors que vous n'avez rien demandé, c'est que quelqu'un possède votre mot de passe : changez-le aussitôt.
Un réglage à faire aussi pour toute la famille
Les comptes des enfants et des parents âgés sont souvent les moins protégés. Prendre un moment pour activer la double authentification sur leurs messageries, et leur expliquer qu'on ne transmet jamais un code, fait partie des gestes simples pour protéger les plus jeunes de la famille comme les plus anciens. Une fois en place, la seconde étape se fait oublier : elle n'apparaît qu'à la connexion depuis un nouvel appareil.