# La double authentification expliquée simplement

> Ce qu'est la double authentification (2FA), les différentes méthodes (SMS, application, clé de sécurité, passkey), comment l'activer et ne pas perdre l'accès à ses comptes.

- Source : https://rescueforce.fr/guides/double-authentification/
- Thème : Cybersécurité au quotidien
- Dernière relecture : 2026-10-01
- Auteur : RescueForce, association loi 1901 d'inclusion numérique (Lille, Hauts-de-France)

La double authentification, aussi appelée **authentification à deux facteurs** ou **validation en deux étapes**, est l'une des mesures les plus efficaces pour protéger ses comptes. Même si votre mot de passe est volé, l'attaquant ne pourra pas se connecter sans le second facteur.

## Le principe

Pour se connecter, il faut fournir deux éléments de natures différentes :

- quelque chose que **vous savez** : votre mot de passe ;
- quelque chose que **vous possédez** : votre téléphone, une clé de sécurité ;
- ou quelque chose que **vous êtes** : votre empreinte digitale, votre visage.

C'est le même principe qu'au distributeur de billets : la carte (ce que vous possédez) et le code (ce que vous savez).

## Les différentes méthodes

| Méthode | Fonctionnement | Niveau de sécurité |
|---|---|---|
| Code par SMS | Un code est envoyé par SMS à chaque connexion | Bon, nettement mieux que rien |
| Application d'authentification | Une application génère un code à six chiffres qui change toutes les 30 secondes | Très bon |
| Notification sur le téléphone | Vous validez la connexion d'un simple toucher | Très bon, si vous ne validez que vos propres connexions |
| Clé de sécurité physique | Une petite clé USB ou NFC à brancher ou approcher | Excellent, résiste à l'hameçonnage |
| Clé d'accès (passkey) | Connexion par empreinte ou code de l'appareil | Excellent, résiste à l'hameçonnage |

Le SMS reste vulnérable à certaines attaques (détournement de ligne, hameçonnage en temps réel), mais il protège déjà contre la grande majorité des piratages par réutilisation de mot de passe.

## Où l'activer en priorité ?

1. **Votre messagerie** : c'est la clé de tous vos autres comptes.
2. **Vos réseaux sociaux** : leur piratage sert souvent à arnaquer vos contacts.
3. **Vos comptes Apple, Google ou Microsoft**.
4. **Votre gestionnaire de mots de passe**.
5. **Vos boutiques en ligne** qui conservent votre carte bancaire.

Pour la banque, l'authentification forte est généralement déjà imposée, notamment pour les paiements en ligne et l'ajout de bénéficiaires.

## Comment l'activer ?

Le chemin varie selon les services, mais on le trouve presque toujours dans les **paramètres de sécurité** ou **de connexion** du compte, sous un intitulé comme « Validation en deux étapes », « Authentification à deux facteurs » ou « 2FA ».

Pour une application d'authentification :

1. Installez une application d'authentification sur votre smartphone.
2. Dans les paramètres de sécurité du compte, choisissez « Application d'authentification ».
3. Scannez le **QR code** affiché avec l'application.
4. Saisissez le code à six chiffres généré pour confirmer.
5. **Enregistrez les codes de secours** proposés.

## Les codes de secours : ne les négligez pas

Si vous perdez ou changez de téléphone, vous risquez de ne plus pouvoir vous connecter. Les **codes de secours** permettent de récupérer l'accès. Imprimez-les ou notez-les, et rangez-les en lieu sûr, séparément de votre téléphone.

Avant de changer de téléphone, pensez à **transférer** votre application d'authentification : la plupart proposent une fonction d'export ou de sauvegarde.

## Le piège à éviter

Un code de double authentification ne doit **jamais** être communiqué à qui que ce soit. Les escrocs se font passer pour votre banque, un service client ou même un proche, et vous demandent de leur lire le code que vous venez de recevoir « pour vérifier votre identité » ou « annuler une opération ». C'est en réalité le code qui leur permet de se connecter ou de valider un paiement.

De même, si votre téléphone vous demande de valider une connexion que vous n'êtes pas en train de faire, **refusez**, puis changez votre mot de passe : quelqu'un le connaît.

## À retenir

La double authentification transforme un mot de passe volé en clé inutile. Activez-la sur vos comptes essentiels, conservez vos codes de secours et ne communiquez jamais un code reçu.