Double authentification : définition et fonctionnement

La double authentification, aussi appelée authentification à deux facteurs ou 2FA, demande deux preuves distinctes avant d’ouvrir un compte. Un mot de passe seul ne suffit plus : la connexion doit aussi être confirmée avec un appareil, un code temporaire, une clé de sécurité ou une caractéristique biométrique.

Cette deuxième étape limite les dégâts d’un mot de passe volé. Elle ne rend pas un compte invulnérable, et son efficacité dépend beaucoup de la méthode choisie. Un code reçu par SMS, un code produit par une application et une clé de sécurité ne résistent pas aux mêmes attaques.

Pourquoi ajouter une deuxième vérification ?

Un mot de passe peut être réutilisé sur plusieurs sites, découvert dans une fuite, saisi sur une fausse page de connexion ou deviné lorsqu’il est trop simple. Dans chacun de ces cas, une personne qui connaît le mot de passe peut normalement se faire passer pour son propriétaire.

La double authentification ajoute une condition indépendante. Connaître le mot de passe ne suffit pas : il faut également posséder le téléphone enregistré, produire un code valide ou présenter une clé physique. C’est particulièrement utile contre le bourrage d’identifiants, qui consiste à essayer sur de nombreux services des couples adresse et mot de passe déjà divulgués ailleurs.

Le mot important est indépendante. Demander deux fois une information que l’utilisateur connaît ne crée pas deux facteurs. Un mot de passe suivi d’une question secrète reste deux secrets mémorisés, donc deux preuves de même nature.

Quels sont les facteurs d’authentification ?

Les méthodes courantes appartiennent à trois familles.

Ce que vous savez : mot de passe, code PIN ou phrase secrète. Cette preuve peut être copiée, communiquée ou capturée pendant sa saisie.

Ce que vous possédez : téléphone, carte à puce, application d’authentification ou clé de sécurité. La connexion dépend d’un objet ou d’un secret conservé par cet objet.

Ce que vous êtes : empreinte digitale, visage ou autre mesure biométrique. Sur un appareil moderne, la biométrie sert souvent à déverrouiller localement une clé cryptographique plutôt qu’à envoyer une empreinte au service distant.

Une vraie 2FA combine deux familles. Par exemple, un mot de passe, que vous connaissez, avec une clé de sécurité, que vous possédez. La définition de l’authentification multifacteur publiée par le MDN repose sur cette distinction entre types de preuves.

Comment fonctionne une connexion avec 2FA ?

Le déroulement le plus visible comporte deux écrans, mais la sécurité ne vient pas du nombre d’écrans.

1. Vous saisissez votre identifiant et votre mot de passe.
2. Le service vérifie cette première preuve.
3. Il demande une deuxième preuve associée au compte.
4. Vous confirmez depuis l’appareil enregistré ou fournissez un code.
5. Le service crée une session et peut mémoriser l’appareil pour une durée limitée.

Cette dernière étape explique pourquoi la 2FA n’apparaît pas nécessairement à chaque connexion. Un service peut la redemander sur un nouvel appareil, après une période définie ou lors d’une action sensible. L’absence de demande pendant quelques jours ne signifie donc pas forcément qu’elle a été désactivée.

La recommandation française de Cybermalveillance.gouv.fr sur la double authentification la présente justement comme une protection supplémentaire lorsque le mot de passe a été compromis.

SMS, application, notification ou clé : quelles différences ?

Toutes ces méthodes peuvent constituer un second facteur, mais elles ne donnent pas le même niveau de protection.

Le code reçu par SMS

Le service crée un code à usage unique et l’envoie au numéro enregistré. La méthode est simple et fonctionne sans installer d’application spécifique.

Elle dépend toutefois de l’opérateur téléphonique et du contrôle du numéro. Un détournement de carte SIM, une interception ou une procédure de récupération mal protégée peut transférer les messages à quelqu’un d’autre. Le code peut aussi être demandé par une fausse page puis relayé immédiatement vers le vrai service.

Le code d’une application d’authentification

Une application comme Google Authenticator ou Microsoft Authenticator peut produire un code TOTP, généralement six chiffres valables trente secondes. Le service et l’application détiennent le même secret et calculent le même résultat à partir de l’heure. Aucun SMS n’est envoyé et l’application fonctionne hors ligne.

Cette méthode évite la dépendance au réseau téléphonique, mais le code reste lisible et donc hameçonnable. Sa sécurité dépend aussi de la garde du secret : une copie du QR code de configuration permet de produire tous les codes futurs.

Le fonctionnement détaillé est présenté dans le guide du TOTP.

La notification de validation

Le téléphone reçoit une demande que l’utilisateur accepte ou refuse. C’est plus rapide qu’une saisie manuelle, mais une succession de notifications peut pousser quelqu’un à accepter par fatigue ou par erreur. Une bonne implémentation affiche du contexte, exige un nombre montré sur l’écran de connexion et limite les demandes répétées.

La clé de sécurité et les passkeys

Une clé FIDO2 ou une passkey utilise la cryptographie à clé publique. Le service conserve une clé publique ; la clé privée reste sur l’appareil. La preuve est liée au véritable domaine, ce qui la rend beaucoup plus résistante aux fausses pages de connexion que les codes à recopier.

Lorsque le service le permet, cette famille est généralement le meilleur choix pour les comptes administrateurs et les accès les plus sensibles.

Double authentification, MFA et vérification en deux étapes

Ces expressions sont proches, sans être parfaitement interchangeables.

La 2FA combine exactement deux facteurs de nature différente. La MFA, pour authentification multifacteur, en combine au moins deux et peut en demander trois. La page de référence de Microsoft sur la MFA décrit ainsi la 2FA comme un sous-ensemble de la MFA.

La vérification en deux étapes décrit surtout un parcours en deux temps. Ces étapes peuvent appartenir à la même famille et ne constituent alors pas, au sens strict, deux facteurs. Dans les interfaces grand public, le terme est néanmoins souvent utilisé pour parler de 2FA.

Cette nuance aide à évaluer un dispositif : il faut regarder les preuves réellement vérifiées, pas seulement le nom donné au réglage.

Ce que la double authentification n’arrête pas

La 2FA réduit fortement le risque lié au vol d’un mot de passe isolé. Elle ne répare pas tous les autres problèmes de sécurité.

• Une fausse page peut relayer en temps réel un mot de passe et un code TOTP.
• Un logiciel malveillant peut voler une session déjà ouverte.
• Une procédure de récupération faible peut contourner le second facteur.
• Un secret TOTP copié permet de produire les mêmes codes sur un autre appareil.
• Une personne déjà autorisée peut abuser de son accès.

Il faut donc protéger les appareils, vérifier les demandes inattendues, conserver les codes de récupération dans un endroit distinct et contrôler les sessions actives. Pour les entreprises, la 2FA complète les accès nominatifs et les rôles ; elle ne justifie pas de partager un identifiant lorsque le service permet de créer un compte par personne.

Comment choisir une méthode 2FA ?

Commencez par la méthode la plus résistante proposée par le service.

1. Préférez une passkey ou une clé de sécurité pour les comptes critiques.
2. À défaut, utilisez une application d’authentification plutôt que le SMS.
3. Gardez le SMS lorsqu’il est la seule option, car il reste préférable à un mot de passe seul.
4. Générez et stockez les codes de récupération hors du compte protégé.
5. Enregistrez deux moyens de récupération administratifs lorsque le service le permet, puis testez-les.

Pour un compte utilisé par plusieurs personnes, vérifiez d’abord si le service propose des membres, des rôles ou une délégation. C’est presque toujours préférable à un compte partagé.

Comment gérer la 2FA d’un compte partagé ?

Certains comptes n’offrent toujours qu’un identifiant alors qu’une équipe doit y accéder. La mauvaise réponse consiste à envoyer le QR code TOTP à tout le monde : chaque copie devient permanente, invisible et impossible à révoquer individuellement.

Une organisation plus saine conserve le secret dans un seul système et donne aux personnes autorisées accès aux codes courants. Les droits sont attribués par personne et par compte, chaque consultation est enregistrée, et le départ d’un collaborateur ne force pas toute l’équipe à réenrôler la 2FA.

Les différentes approches sont comparées dans les meilleures façons de gérer la 2FA d’un compte partagé. Pour le besoin le plus direct, consultez aussi comment partager des codes 2FA en équipe.

La règle à retenir

Activez la double authentification dès qu’un compte important la propose, puis choisissez la méthode en fonction du risque. Le SMS améliore un mot de passe seul, une application TOTP retire la dépendance au réseau téléphonique, et une clé FIDO2 ou une passkey protège mieux contre l’hameçonnage.

Dans une équipe, ne confondez pas partager un accès et multiplier les copies du second facteur. La première opération doit être autorisable et révocable ; la seconde crée une dette de sécurité que le service ne peut même pas mesurer.