Comment activer la double authentification sur ses comptes
Pour activer la double authentification, rendez-vous dans les paramètres de sécurité de chaque compte, choisissez une seconde preuve (application, clé ou, à défaut, SMS) et enregistrez vos codes de secours. Dix minutes suffisent pour verrouiller les comptes les plus sensibles.
La double authentification, c’est quoi exactement ?
Le principe est simple : après votre mot de passe, le service vous demande une seconde preuve. La CNIL le décrit ainsi : à « ce que vous savez » (le mot de passe) s’ajoute « ce que vous possédez », par exemple un code reçu par mail ou par SMS, un jeton USB ou une carte à puce.
L’intérêt est concret. Selon la CNIL, même avec votre mot de passe compromis, le pirate est bloqué au moment de la seconde vérification. Google Workspace avance de son côté que la validation en deux étapes peut réduire de 50 % le risque de piratage de compte.
Le même mécanisme porte plusieurs noms : double authentification, 2FA, MFA (authentification multifacteur) ou, chez Google, « validation en deux étapes ». Dans les menus, cherchez l’un de ces termes.
Par quels comptes commencer ?
Inutile de tout faire en une soirée. La CNIL recommande de l’activer dès que possible, en particulier pour les boîtes de courriel, les comptes d’administrateur et les services en ligne. La boîte mail passe en premier : c’est elle qui permet de réinitialiser tous les autres mots de passe.
Ordre conseillé :
- Votre messagerie principale (Gmail, Outlook, boîte de votre fournisseur d’accès).
- Vos comptes financiers : banque, assurance, courtier, plateformes de paiement.
- Vos comptes administratifs : impôts, assurance maladie, retraite. Voyez par exemple l’accès à votre compte ensap.
- Vos achats en ligne : Amazon et autres boutiques où votre carte est enregistrée.
- Réseaux sociaux et cloud : Instagram, Facebook, stockage de photos.
Comment activer la validation en deux étapes pas à pas ?
Le chemin varie d’un service à l’autre, mais la logique reste la même. Prenez Google, le cas le mieux documenté.
Sur un compte Google
- Ouvrez la page de votre compte Google, onglet Sécurité.
- Sous « Comment vous connecter à Google », sélectionnez Validation en deux étapes.
- Suivez les consignes : Google associe votre smartphone, peut envoyer un code pour confirmer un numéro de secours, puis vous demande de cliquer sur Activer.
Par défaut, la validation en deux étapes n’est pas activée : c’est à vous de la déclencher. Ensuite, si vous vous connectez avec un mot de passe, une seconde étape est exigée. Si vous préférez ne pas utiliser de clé d’accès, Google recommande les invites Google (une notification sur le téléphone) comme seconde étape.
Sur les autres services
Ouvrez les paramètres du compte, puis la rubrique « Sécurité », « Connexion et sécurité » ou « Mot de passe et sécurité ». Cherchez « Double authentification », « Authentification à deux facteurs » ou « Vérification en deux étapes ». Choisissez la méthode, scannez le QR code avec votre application, saisissez le code affiché pour confirmer, puis téléchargez les codes de secours.
Les banques fournissent souvent leurs propres guides pas à pas, signalés dans votre espace client. La CNIL note d’ailleurs que de plus en plus de services, bancaires notamment, en proposent.
SMS, application ou clé de sécurité : quelle méthode choisir ?
Toutes valent mieux que rien. Mais elles ne se valent pas.
| Méthode | Niveau de protection | À retenir |
|---|---|---|
| Clé de sécurité physique (Yubikey, Titan Key) ou clé d’accès | Le plus élevé | Compatible FIDO2 pour créer une clé d’accès ; une clé FIDO1 ou FIDO2 sert de seconde étape chez Google |
| Application d’authentification (Google Authenticator, Microsoft Authenticator, FreeOTP, Authy) | Élevé | Code temporaire généré sur le téléphone, sans réseau mobile |
| Notification sur le téléphone (invite) | Bon | Pratique, à valider avec attention |
| Code par SMS | Correct | Exposé à l’interception et au « SIM swapping » |
Les avis divergent légèrement selon les organismes. La CNIL, côté professionnels, déconseille le SMS et pousse vers les mécanismes cryptographiques, dont les applications TOTP. Cybermalveillance.gouv.fr, qui s’adresse au grand public, conseille d’activer la double authentification chaque fois que c’est possible, sans hiérarchiser les méthodes. La CNIL reconnaît elle-même que le SMS offre un niveau de sécurité supérieur à un simple mot de passe.
Le plus simple : une application d’authentification pour les comptes importants, le SMS seulement quand le service ne propose rien d’autre. À éviter : désactiver la protection parce que la saisie du code agace.
Que faire si vous perdez votre téléphone ?
C’est la peur numéro un, et elle se règle avant l’incident.
- Codes de secours : téléchargez-les à l’activation, imprimez-les ou stockez-les dans un gestionnaire de mots de passe. Pas dans une capture d’écran sur le même téléphone.
- Deuxième méthode : ajoutez un numéro de secours ou une seconde clé de sécurité. En cas de perte d’une clé, Google demande de supprimer la clé perdue du compte, puis d’ajouter la nouvelle.
- Appli multi-appareils : si votre application d’authentification propose une sauvegarde chiffrée, activez-la avant de changer de téléphone.
- Transfert : lors d’un changement de téléphone, migrez vos codes d’abord, réinitialisez l’ancien ensuite.
Un compte sans plan de secours finit souvent en procédure de récupération longue. Cinq minutes de préparation évitent ce scénario.
Ce que la double authentification ne bloque pas
Elle reste vulnérable au hameçonnage en temps réel, à l’interception des SMS et au « SIM swapping », rappelle la CNIL. Le piège classique : un faux conseiller vous demande de « valider » une notification ou de lui lire un code. Un code à usage unique ne se communique jamais, à personne. Si cela vous est arrivé, lisez ce qu’il faut faire après une validation sous la pression d’un faux conseiller.
Même vigilance face aux liens frauduleux : un SMS de livraison qui renvoie vers une fausse page de connexion peut capter votre mot de passe et votre code. Repérez les signes dans notre article sur les faux SMS de colis. Pour plus de repères, la rubrique avis et arnaques les rassemble.
Notre avis
Activez la double authentification aujourd’hui sur trois comptes : messagerie, banque, compte administratif. Choisissez une application d’authentification, rangez les codes de secours hors du téléphone, et ajoutez une seconde méthode. Les autres comptes suivront au rythme d’un par semaine.
Le SMS reste acceptable en dernier recours : mieux vaut un SMS que rien. Mais dès qu’une clé d’accès ou une application est proposée, prenez-la. Pour d’autres modes d’emploi de comptes et d’applis, consultez la rubrique comptes, applis et services en ligne.
Vos questions sur la double authentification
La double authentification est-elle obligatoire pour les particuliers ?
Non, pas pour un compte personnel : c’est à vous de l’activer, car elle n’est pas active par défaut chez Google, par exemple. Les recommandations de la CNIL visent surtout les organisations qui traitent des données sensibles, mais elle conseille aux internautes de l’activer chaque fois qu’un service la propose.
Quelle est la meilleure méthode de double authentification ?
Les clés de sécurité physiques et les clés d’accès offrent le niveau le plus élevé, suivies des applications d’authentification comme Google Authenticator ou Microsoft Authenticator. Le code par SMS est le maillon le plus faible, mais il protège mieux qu’un mot de passe seul.
Comment se connecter si on a perdu son téléphone avec la double authentification ?
Utilisez un code de secours téléchargé à l’avance, un numéro de secours ou une seconde clé de sécurité enregistrée sur le compte. Sans ces éléments, il faut passer par la procédure de récupération du service, plus longue.