Double authentification : pourquoi le SMS ne suffit plus
Le code par SMS vaut mieux que rien, mais il se contourne. Application, clé physique, passkey : ce qui protège vraiment, et pour qui.
· 1 min de lecture
Activer une double authentification est le geste de sécurité au meilleur rapport effort / bénéfice. Encore faut-il choisir le bon second facteur.
Le SMS : mieux que rien, mais fragile
Deux failles connues. Le SIM swapping : un attaquant convainc l'opérateur de transférer votre numéro sur sa carte. Et l'hameçonnage en temps réel : un faux site vous demande le code et le rejoue immédiatement sur le vrai.
Gardez le SMS si c'est la seule option proposée. Ne vous arrêtez pas là si vous pouvez faire mieux.
L'application d'authentification : le bon défaut
Un code à six chiffres généré localement, sans réseau. Immunisé au SIM swapping, toujours vulnérable à l'hameçonnage en temps réel, mais nettement plus difficile à contourner.
C'est le choix par défaut recommandé, y compris chez les particuliers.
La clé physique et les passkeys : le niveau au-dessus
Une clé matérielle, ou une passkey stockée dans votre téléphone, vérifie cryptographiquement l'adresse du site. Un faux site ne peut pas obtenir la signature, même si vous êtes convaincu. C'est la seule méthode qui résiste réellement à l'hameçonnage.
À réserver en priorité aux comptes qui ouvrent tous les autres : messagerie principale, banque, administration du site, hébergeur.
L'ordre d'activation
- La messagerie principale, parce qu'elle permet de réinitialiser tout le reste
- La banque et les outils de paiement
- L'hébergeur et le registrar du domaine
- Les réseaux sociaux professionnels
En entreprise
La mise en place du MFA sur Microsoft 365 ou Google Workspace, avec déploiement utilisateurs et procédure de secours, est un forfait à 260 €. La procédure de secours n'est pas un détail : sans elle, un téléphone perdu bloque un salarié pendant deux jours.