Méthodes de vérification en deux étapes : SMS, application ou passkey

La vérification en deux étapes signifie que la connexion exige une seconde preuve en plus de votre mot de passe. Mais la « vérification en deux étapes » n'est pas une méthode unique : les codes SMS, les applications d'authentification et les clés de sécurité ou passkeys offrent des niveaux de sécurité et de confort très différents. Dans cet article, nous comparons ces méthodes et expliquons laquelle convient à quel compte.

Pourquoi la vérification en deux étapes est-elle importante ?

Les mots de passe peuvent être exposés par des fuites de données, des pages d'hameçonnage ou la réutilisation d'un même mot de passe sur plusieurs sites. Une seconde étape rend plus difficile l'accès à votre compte avec un mot de passe volé seul. Toute vérification en deux étapes vaut donc mieux que rien. La vraie question n'est pas « faut-il l'activer ? », mais « quelle méthode choisir ? »

Lorsque vous évaluez une méthode, regardez trois choses : sa résistance à l'usurpation d'identité et à l'hameçonnage, sa facilité d'utilisation au quotidien, et la façon dont vous retrouvez l'accès à votre compte si vous perdez votre téléphone.

Méthode 1 : les codes SMS

Un code à six chiffres arrive sur votre numéro de téléphone et vous le saisissez. C'est la méthode la plus simple à mettre en place : elle ne demande aucune application supplémentaire, et tout le monde comprend son fonctionnement.

Avantages : très simple à configurer, disponible sur presque tous les services, aucune connaissance technique requise.

Inconvénients : la sécurité dépend de la personne qui contrôle votre numéro. Le transfert de votre numéro vers une autre carte chez l'opérateur (un échange de carte SIM), les messages d'hameçonnage qui cherchent à obtenir des codes et le fait de se laisser convaincre de lire un code à quelqu'un sont les principaux risques. Vous pouvez aussi ne pas recevoir de codes à l'étranger ou dans une zone sans couverture.

Le SMS vaut beaucoup mieux que rien, et il est parfois la seule option. Mais il ne devrait pas être votre premier choix pour les comptes importants.

Méthode 2 : les applications d'authentification (TOTP)

Une application sur votre téléphone génère des codes à courte durée de vie qui changent toutes les 30 secondes. Les codes sont produits sur votre appareil : aucun SMS ni connexion réseau n'est nécessaire.

Avantages : même si votre numéro de téléphone est pris en main, les codes ne sont pas envoyés à l'attaquant. La méthode fonctionne hors ligne, et de nombreux services la prennent en charge.

Inconvénients : si le téléphone est perdu ou réinitialisé, l'accès aux codes disparaît avec lui ; les codes de secours ou la fonction de sauvegarde de l'application deviennent donc indispensables. Si vous saisissez vous-même un code dans une fausse page de connexion, le risque existe encore : la méthode n'est donc pas totalement à l'abri de l'hameçonnage.

Pour la plupart des gens, c'est le meilleur équilibre entre sécurité et confort.

Méthode 3 : les clés de sécurité et les passkeys

Une clé de sécurité (un appareil physique qui fonctionne par USB ou NFC) et une passkey (un identifiant stocké sur votre téléphone, votre ordinateur ou votre gestionnaire de mots de passe, et déverrouillé par empreinte digitale ou reconnaissance faciale) appartiennent à la même famille. Vous ne saisissez aucun code : l'appareil communique avec l'adresse réelle du site sur lequel vous vous connectez.

Avantages : c'est la méthode la plus résistante à l'hameçonnage, car elle ne fonctionne pas sur un faux site. Sans code à saisir, elle est rapide et confortable.

Inconvénients : tous les services ne la prennent pas en charge. Si vous perdez la clé physique ou l'accès au compte où votre passkey est stockée, il faut un plan de récupération. Une clé physique a un coût, et il est recommandé d'en acheter une de rechange.

Tableau comparatif

| Méthode | Résistance à l'hameçonnage | Risque d'échange de SIM | Confort | En cas de perte de l'appareil |
|---|---|---|---|---|
| Code SMS | Faible | Oui | Très élevé | Récupérable en retrouvant le numéro |
| Application d'authentification | Moyenne | Non | Élevé | Nécessite des codes de secours ou une sauvegarde de l'application |
| Clé de sécurité | Très élevée | Non | Moyen à élevé | Une clé de rechange est indispensable |
| Passkey | Très élevée | Non | Très élevé | Dépend du compte avec lequel elle se synchronise |

Ces évaluations reflètent des tendances générales ; les détails de mise en œuvre peuvent varier d'un service à l'autre.

Quelle méthode pour quel compte ?

• E-mail, banque, crypto-monnaies, gestionnaire de mots de passe : une passkey ou une clé de sécurité si possible, sinon une application d'authentification. Votre e-mail est la clé de récupération de tout le reste : il doit donc être votre compte le mieux protégé.
• Réseaux sociaux et messagerie : une application d'authentification ou une passkey. Le SMS uniquement lorsque rien d'autre n'est proposé.
• Achats, abonnements, jeux : une application d'authentification suffit ; utilisez une passkey si elle est proposée.
• Comptes jetables et ponctuels : le SMS est acceptable, à condition de ne pas réutiliser le même mot de passe ailleurs.

Si un compte vous permet d'enregistrer plusieurs méthodes, définissez-en une comme méthode principale et une autre comme méthode de secours.

Numéros virtuels et vérification en deux étapes

Les numéros virtuels à usage unique utilisés pour recevoir des codes de vérification ne vous donnent pas de propriété permanente. Ils ne conviennent donc pas comme base d'une vérification en deux étapes par SMS, puisque vous ne pourrez pas les réutiliser plus tard. Si vous avez ouvert un compte avec un numéro virtuel, ajoutez immédiatement une application d'authentification ou une passkey après la configuration, et définissez une adresse e-mail de récupération.

Certaines plateformes peuvent ne pas accepter les numéros virtuels ; dans ce cas, vous devez respecter les conditions du service. Si un code n'arrive pas, lisez pourquoi votre code SMS n'arrive pas. Pour les services et pays disponibles, consultez la page tarifaire.

Une courte liste de configuration

1. Activez d'abord la méthode la plus forte sur votre compte e-mail.
2. Activez-la ensuite sur votre banque, vos réseaux sociaux et votre gestionnaire de mots de passe.
3. Enregistrez au moins une méthode de secours pour chaque compte.
4. Conservez les codes de secours hors ligne, dans un endroit sûr ; ne les laissez pas en capture d'écran dans le cloud.
5. Lors d'un changement de téléphone, ne réinitialisez pas l'ancien tant que vous n'êtes pas certain que l'application d'authentification a été transférée sur le nouvel appareil.
6. Vérifiez de temps en temps les listes « appareils de confiance » et « sessions actives » dans les paramètres de votre compte.

Erreurs courantes

Même une bonne méthode peut être affaiblie par certaines habitudes :

• Ne pas avoir de plan de secours : se retrouver définitivement bloqué hors de son compte après avoir perdu son téléphone est le problème le plus courant.
• Garder les codes de secours en capture d'écran dans le cloud : si le compte est piraté, les codes disparaissent avec lui.
• Communiquer un code à quelqu'un d'autre : quelle que soit la méthode, partager un code supprime la protection.
• Utiliser le même mot de passe partout : la seconde étape aide, mais elle ne remplace pas de bonnes habitudes de mot de passe.
• Dire « oui » aux demandes d'approbation par habitude : n'acceptez jamais une notification d'approbation qui arrive alors que vous ne vous êtes pas connecté.

Questions fréquemment posées

Ne faut-il jamais utiliser la vérification en deux étapes par SMS ?

Non. Le SMS est beaucoup plus sûr que l'absence de seconde étape. Activez-le lorsqu'il est la seule option, et passez à une méthode plus forte dès qu'elle est disponible.

Une passkey remplace-t-elle le mot de passe ?

Sur de nombreux services, une passkey permet de se connecter à la place d'un mot de passe et sert aussi de seconde étape. Selon le service, le mot de passe peut rester en parallèle ; vérifiez donc les paramètres.

Comment accéder à mon compte si je perds mon téléphone ?

Avec les codes de secours enregistrés précédemment, un second appareil de confiance ou une clé de sécurité de rechange. Préparer ces éléments lors de la configuration est l'étape la plus importante.

Peut-on garder une application d'authentification et le SMS activés ensemble ?

Sur la plupart des services, oui. Mais tant que l'option SMS reste active, les attaquants peuvent tenter cette voie ; si vous le pouvez, ne gardez le SMS qu'en dernier recours.