La double authentification (2FA) ajoute une protection à vos comptes : même si quelqu’un connaît votre mot de passe, il lui faut une autre preuve pour se connecter. On l’appelle aussi authentification à deux facteurs, ou A2F.
Pour l’activer, rendez-vous dans les paramètres de sécurité de votre compte. Vous pourrez généralement choisir entre un code SMS, une application d’authentification ou une clé de sécurité. Les clés d’accès (passkeys) permettent, elles, de remplacer le mot de passe sur les services compatibles.
Mais avant de choisir, pensez à une situation souvent oubliée : perdre votre téléphone et, avec lui, vos codes de connexion.
L’essentiel
- Le SMS reste préférable à un mot de passe seul, mais présente des faiblesses.
- Une application d’authentification constitue un bon compromis au quotidien.
- Les clés de sécurité et passkeys résistent à l’hameçonnage.
- Préparez toujours une méthode de récupération avant de changer de téléphone.
Sommaire 7 parties
- Pourquoi votre mot de passe ne suffit plus
- SMS, application, clé physique ou passkey : quelle double authentification choisir ?
- Comment activer la double authentification sur vos comptes
- La double authentification protège vos comptes, pas vos données déjà exposées
- Codes de secours : préparez la perte de votre téléphone
- Téléphone perdu ou remplacé : comment retrouver l’accès ?
- Questions fréquentes
Pourquoi votre mot de passe ne suffit plus
Imaginez : votre mot de passe Gmail figure dans une ancienne fuite de données. Un inconnu tente de se connecter depuis l’étranger. Vous recevez une alerte, et l’intrus reste bloqué devant la vérification supplémentaire exigée par Google. C’est l’intérêt de la 2FA. Elle ajoute un obstacle entre un mot de passe compromis et vos messages, photos ou documents personnels.
Une étude de Google publiée en 2019 a mesuré l’efficacité de vérifications supplémentaires déclenchées lors de connexions suspectes. Les codes SMS ont bloqué 96 % des tentatives d’hameçonnage de masse étudiées, contre 99 % pour les notifications sur téléphone. Ces chiffres concernent ce dispositif précis, pas toutes les cyberattaques.
La protection dépend surtout de la méthode choisie.
Un code recopié sur une fausse page part directement chez l’escroc. Une clé de sécurité utilisant FIDO/WebAuthn vérifie, elle, que vous vous connectez au bon service.
SMS, application, clé physique ou passkey : quelle double authentification choisir ?
Il existe plusieurs façons de sécuriser une connexion. Certaines demandent un code, d’autres une confirmation sur un appareil. Toutes n’offrent pas le même niveau de protection.
| Méthode | Résiste à l’hameçonnage ? | Principal point faible | Pour qui ? |
|---|---|---|---|
| Code par SMS | Non | Vol du numéro ou code saisi sur un faux site | Pour commencer simplement |
| Code par e-mail | Non | Dépend de la sécurité de la messagerie | Pour une vérification supplémentaire si proposée |
| Application d’authentification | Non | Code récupérable par hameçonnage | Pour un bon compromis quotidien |
| Notification à valider | Pas systématiquement | Validation accidentelle ou sous pression | Pour une connexion rapide |
| Clé de sécurité physique | Oui, avec FIDO/WebAuthn | Coût, perte ou indisponibilité de la clé | Pour les comptes particulièrement sensibles |
| Clé d’accès (passkey) | Oui, avec FIDO/WebAuthn | Récupération dépendante du stockage choisi | Pour une connexion simple et résistante au phishing |
SMS et e-mail : accessibles, mais limités
Recevoir un code par SMS ne demande aucune installation. Pourtant, un escroc peut détourner votre numéro grâce à un échange frauduleux de carte SIM. L’ANSSI déconseille donc le SMS comme facteur d’authentification. Si c’est votre seule possibilité, activez-le plutôt que de laisser votre compte protégé uniquement par un mot de passe.
Le code envoyé par e-mail dépend de la sécurité de votre messagerie. Selon la distinction retenue par la CNIL, mot de passe puis code e-mail constituent une vérification en deux étapes, sans nécessairement réunir deux facteurs indépendants.
Application d’authentification : le choix pratique
Google Authenticator, Microsoft Authenticator, 2FAS, Aegis ou Ente Auth peuvent générer des codes temporaires, généralement composés de six chiffres et renouvelés toutes les trente secondes.
Le code est calculé sur votre appareil : pas besoin de recevoir un SMS. En revanche, ne le saisissez jamais sur une page de connexion suspecte. Un faux site récupère alors le mot de passe et le code dans la même opération.
Notification, clé physique et passkey : trois fonctionnements différents
Une notification vous demande d’approuver une connexion. Refusez toute demande que vous n’avez pas déclenchée. Les attaques par « fatigue MFA » consistent justement à multiplier ces demandes jusqu’à obtenir une validation. La correspondance de numéros apporte une vérification supplémentaire.
Une clé physique, comme une YubiKey 5 ou une Titan de Google, se branche ou s’approche de l’appareil. Avec FIDO/WebAuthn, elle protège contre les faux sites de connexion.
La clé d’accès (passkey) fonctionne autrement : elle remplace le mot de passe et la seconde étape classique à la connexion, sur les services compatibles. Vous utilisez votre empreinte, votre visage ou le code de déverrouillage de votre appareil. Elle est enregistrée sur un téléphone, un ordinateur ou une clé physique.
Comment activer la double authentification sur vos comptes
Les intitulés et l’emplacement des menus changent régulièrement. Voici les chemins indiqués par les aides officielles en octobre 2026.
Google et Gmail
Ouvrez votre compte Google, puis Sécurité et connexion > « Comment vous connecter à Google » > « Activer la validation en deux étapes ». Suivez les instructions de la page d’aide Google. Google recommande ses invites sur téléphone lorsque vous n’utilisez pas de passkey.
Compte Apple
Sur iPhone ou iPad : Réglages > votre nom > « Connexion et sécurité » > activer l’identification à deux facteurs. Vous pouvez également passer par account.apple.com. La plupart des comptes Apple disposent déjà de cette protection.
Microsoft et Outlook
Accédez à account.microsoft.com/security > « Gérer la façon dont je me connecte » > « Sécurité supplémentaire » > « Vérification en deux étapes » > « Activer ». Microsoft conseille d’associer trois informations de sécurité au compte.
Ouvrez Paramètres (menu ⋮ sur Android, onglet « Vous » sur iPhone) > « Compte » > « Vérification en deux étapes » > « Activer ». Créez le mot de passe demandé et ajoutez une adresse e-mail de récupération. D’après l’aide de WhatsApp, ce mot de passe remplace l’ancien code PIN à six chiffres. Il est propre à WhatsApp : ce n’est pas un code tournant généré par une application.
Facebook et Instagram
Sur Facebook : photo de profil > « Paramètres et confidentialité » > « Paramètres » > « Espace Comptes » > « Mot de passe et sécurité » > « Authentification à deux facteurs ». Choisissez le compte et la méthode.
Sur Instagram : « Plus » > « Paramètres » > « En voir plus » dans l’Espace Comptes > « Mot de passe et sécurité » > « Authentification à deux facteurs ». L’activation par application d’authentification se fait depuis l’application Instagram sur téléphone.
Amazon
Ouvrez « Votre compte » > « Connexion et sécurité » > « Activer » à côté de la vérification en deux étapes. Choisissez le SMS ou une application d’authentification.
Discord
Dans les paramètres utilisateur (roue dentée), ouvrez « Mon compte » > « Mot de passe et authentification » > « Activer l’application d’authentification ». Scannez le QR code, puis saisissez le code à six chiffres. Discord recommande également les clés de sécurité et les passkeys.
Pour un autre service, recherchez son nom suivi de « authentification à deux facteurs », puis vérifiez que les instructions proviennent bien de son site officiel.
La double authentification protège vos comptes, pas vos données déjà exposées
Une fois vos connexions sécurisées, une autre question demeure : que deviennent les informations personnelles déjà publiées ailleurs ? Votre adresse e-mail, votre numéro de téléphone, votre adresse postale ou d’anciennes photos peuvent continuer de circuler sur des annuaires et des plateformes.
Vous pouvez demander vous-même leur retrait, mais cela implique d’identifier les sites concernés, de retrouver leurs procédures et de suivre les réponses. Pour déléguer ces démarches, Les Nouveaux Dissidents vous accompagnent afin de faire supprimer vos données personnelles auprès des sites et plateformes concernés.
Codes de secours : préparez la perte de votre téléphone
Vous changez de téléphone, installez votre application d’authentification et découvrez que vos anciens codes n’y figurent plus. Impossible de vous connecter à certains comptes. Cette situation se prépare avant de réinitialiser l’ancien appareil.
Mikaël, de la chaîne YouTube Tech2Tech, l’a vécu en perdant un téléphone qui portait des dizaines de comptes protégés : passage par le support de chaque site, et une demi-journée pour tout refaire.
« C’est vite la galère », résume-t-il.
Google propose dix codes de secours de huit chiffres, utilisables une seule fois. Ils se trouvent dans « Sécurité et connexion » > « Validation en deux étapes » > « Codes de secours ». Un nouveau jeu annule le précédent.
Microsoft propose un code de récupération de 25 caractères. Il faut le conserver séparément de l’appareil utilisé pour se connecter. Sans autre moyen de vérification, la récupération peut prendre trente jours, voire échouer.
Apple permet de créer une clé de secours facultative de 28 caractères ou de désigner des contacts de récupération. Attention : activer cette clé remplace la procédure classique de récupération, et Apple ne pourra pas vous la restituer si vous la perdez.
Facebook, Instagram et Discord proposent également des codes de secours. Discord avertit qu’il ne peut pas désactiver la protection pour quelqu’un qui a perdu tous ses moyens d’accès. Conservez vos codes dans un endroit sûr, indépendant de votre téléphone. Ne les communiquez jamais à une personne qui prétend vérifier votre identité.
Téléphone perdu ou remplacé : comment retrouver l’accès ?
Si vous possédez encore votre ancien téléphone, transférez vos comptes d’authentification avant de l’effacer. Google Authenticator synchronise les codes avec votre compte Google si vous y êtes connecté dans l’application ; sans cette synchronisation, un transfert par QR code est possible depuis l’ancien appareil.
Si le téléphone a disparu, commencez par chercher une autre méthode de connexion : code de secours, clé physique, appareil déjà reconnu ou procédure de récupération officielle. En cas de vol, sécurisez aussi les sessions ouvertes et les accès associés au téléphone. Ne validez aucune notification inattendue.
Si vous n’avez conservé aucun moyen de récupération, contactez le service concerné par ses canaux officiels. Les délais et possibilités varient. Pour un compte Apple, l’attente dure plusieurs jours, voire plus, et l’assistance ne peut pas la raccourcir.
Le meilleur moment pour préparer ces secours reste celui où vous avez encore accès à tous vos appareils.
Questions fréquentes
Quelle différence entre 2FA, A2F, MFA et validation en deux étapes ?
2FA et A2F désignent l’authentification à deux facteurs : deux preuves appartenant à deux catégories différentes. La MFA, ou authentification multifacteur, en combine au moins deux. La validation ou vérification en deux étapes désigne deux contrôles successifs, qui ne correspondent pas toujours à deux facteurs indépendants.
Où trouver son code 2FA ?
Selon la méthode activée, le code arrive par SMS, par e-mail ou apparaît dans une application d’authentification comme Google Authenticator. Si vous utilisez une clé de sécurité ou une passkey, aucun code temporaire à recopier n’est nécessaire pour cette méthode.
Peut-on activer plusieurs méthodes sur un même compte ?
Oui, lorsque le service le permet. Vous pouvez, par exemple, associer une application d’authentification et une clé de sécurité, puis conserver des codes de secours. Vérifiez que les méthodes de récupération sont bien configurées avant de désactiver l’une d’elles.
Protéger vos accès est une première démarche pour reprendre la main sur votre vie numérique. Pour savoir quelles informations vous concernant restent visibles en ligne et envisager leur retrait, vous pouvez demander un diagnostic gratuit auprès des Nouveaux Dissidents.