Un mot de passe se rejoue. Le jour où il fuite (chez nous, chez un autre service où vous l'avez réutilisé, ou par une page contrefaite) la double authentification est la seule barrière qui reste debout. Activer prend deux minutes, et cela ne dépend de personne : le réglage vit sur votre profil, aucun droit n'est requis, aucun administrateur n'a à l'autoriser.
Cette page dit ce que chaque méthode protège vraiment, pourquoi le SMS n'est pas proposé, et surtout ce qu'il faut faire des codes de secours. Ce dernier point est celui qui sépare une perte de téléphone d'un compte perdu.
Ce qu'il faut avant de commencer
- Votre accès habituel, rien de plus : le profil ne demande aucun droit particulier, quel que soit votre rôle.
- Au choix, un appareil avec empreinte ou reconnaissance faciale, une clé physique de type YubiKey, ou une application d'authentification déjà installée.
- Un endroit pour ranger dix codes de secours : un gestionnaire de mots de passe, une impression, un fichier. Ailleurs que sur l'appareil qui portera le facteur.
- Une connexion en HTTPS pour les clés : le navigateur refuse d'en enregistrer une hors connexion sécurisée.
Le chemin, depuis le tableau de bord
1. Repérer l'étape dans « Premiers pas »
Le tableau de bord affiche une liste de démarrage. La première ligne est Activez la double authentification, et elle apparaît pour tout le monde : chacun a un compte à protéger. Cliquer dessus mène directement au bon écran.
2. Ouvrir votre profil
Sans passer par la liste : en bas de la barre latérale, cliquez sur votre nom, puis Profil. C'est la page de votre compte, distincte des Paramètres, qui portent la société.
3. Lire l'état affiché
Le bloc Double authentification porte une pastille : Activée ou Inactive. Tant qu'elle est inactive, un bandeau le dit franchement : votre compte n'est protégé que par un mot de passe.
4. Choisir la méthode
Trois cartes, dans l'ordre du plus solide au plus commode : Clé d'accès (marquée « Recommandé »), Clé de sécurité (marquée « Le plus strict »), Application d'authentification. La section suivante détaille ce que chacune vaut.
5. Confirmer l'enrôlement
Pour une clé, Ajouter déclenche l'invite du navigateur : empreinte, visage, ou clé branchée. Pour l'application, Configurer affiche un QR code à scanner, puis vous demande un premier code à six chiffres.
6. Mettre vos codes de secours à l'abri
Dix codes s'affichent aussitôt, sans que vous ayez à les demander. La fenêtre ne se ferme pas sans que vous cochiez « J'ai conservé mes codes en lieu sûr ». Copiez, téléchargez ou imprimez : c'est le seul moment où ils existent en clair.
Les trois méthodes, de la plus solide à la plus commode
L'ordre des cartes n'est pas alphabétique : c'est celui de la résistance au hameçonnage, décroissante. La plupart des gens prennent la première option proposée, autant que ce soit la meilleure.
- Clé d'accès, empreinte ou visage sur votre appareil : Touch ID, Windows Hello. La signature est liée à notre nom de domaine, donc une page contrefaite n'en tire rien d'exploitable. C'est la seule famille de facteurs réellement résistante au hameçonnage.
- Clé de sécurité : un objet physique, YubiKey ou Titan, qu'on branche ou qu'on approche. Même solidité cryptographique, et jamais synchronisée : aucun compte cloud ne peut l'exposer. En revanche sa perte est définitive.
- Application d'authentification, un code à six chiffres renouvelé toutes les trente secondes : Google Authenticator, 1Password, Authy, Bitwarden, Microsoft Authenticator. Elle résiste au rejeu, pas au hameçonnage en temps réel : un site contrefait vous demande le code et le relaie dans la seconde.
Une clé d'accès synchronisée porte la mention « synchronisée » dans la liste. L'information n'est pas décorative : cette clé survit à la perte de l'appareil, mais sa sécurité devient celle de votre trousseau iCloud ou Google. Ce n'est plus une sécurité matérielle.
Vous pouvez enregistrer jusqu'à dix clés. Attention toutefois à ce que compte la plateforme : trois clés de sécurité ne font qu'un seul facteur, parce qu'elles se perdent ensemble dans le même sac. C'est le nombre de méthodes distinctes qui décide.
Pourquoi il n'y a pas de SMS
Ce n'est pas un oubli ni une question de coût. Un numéro de téléphone n'appartient pas à celui qui l'utilise mais à son opérateur, et une demande de portabilité frauduleuse le transfère à quelqu'un d'autre sans que la victime puisse s'y opposer, c'est l'attaque connue sous le nom de « SIM swap ». Le réseau de signalisation qui achemine les SMS permet par ailleurs leur interception. Un facteur qu'un tiers peut se faire remettre par un appel bien mené n'est pas un facteur, et l'organisme américain de normalisation le déconseille depuis 2016.
Le code envoyé par e-mail n'est pas proposé non plus. Le seul code à six chiffres que vous recevez par courriel est celui qui vérifie votre adresse à l'inscription : il ne compte jamais comme second facteur, et aucun compte ne peut avoir l'e-mail comme facteur enrôlé.
Les codes de secours
Dix codes, de la forme A3F9-KM2P-XQ7T. Ils sont votre unique porte de sortie le jour où l'appareil disparaît, et ils sont conçus pour être recopiés à la main sous stress : l'alphabet exclut les caractères qui se confondent, pas de I, L, O, U, ni de zéro ni de un.
- Chacun ne fonctionne qu'une seule fois. Le code employé est retiré du jeu, il ne resservira pas.
- Ils n'apparaissent qu'une fois. Seules leurs empreintes sont conservées : ni le support, ni un administrateur, ni une fuite de notre base ne permettent de les retrouver.
- Ils arrivent tout seuls avec la confirmation de votre premier facteur. Aucun second clic à chercher.
- Renouveler remplace. Le nouveau jeu périme l'ancien : un papier oublié dans un tiroir depuis un an cesse de fonctionner, ce qui est précisément l'intérêt du geste.
- Le compteur est affiché en permanence sous le bloc, et un avertissement s'affiche dès qu'il en reste peu : renouvelez à ce moment-là, pas quand il n'en reste aucun.
Un point de méthode qui vaut tout le reste : rangez-les hors de l'appareil qui porte le facteur. Un code enregistré dans le gestionnaire de mots de passe du téléphone perdu ne secourt rien. C'est pour cela que l'écran propose la copie, le fichier et l'impression.
Si vous perdez votre second facteur
Sur l'écran de vérification, le lien Utiliser un code de secours remplace la saisie du code à six chiffres. Vous saisissez l'un des codes non consommés, et vous êtes connecté. Une fois entré, retournez sur votre profil pour renouveler le jeu et enrôler un nouveau facteur.
Si vous n'avez plus aucun code, sachez exactement où vous en êtes : aucun écran de la plateforme ne permet à un administrateur ni au support de retirer votre second facteur. Ce n'est pas une rigidité gratuite : un support capable de désactiver une protection sur simple demande téléphonique devient le maillon faible de toute l'authentification, et c'est celui que l'ingénierie sociale visera. Passer par le support reste alors la seule voie, et elle est lente et exigeante en vérifications.
Deux précisions qui évitent de fausses pistes :
- Réinitialiser votre mot de passe ne contourne pas la double authentification. L'accès à votre boîte mail ne vaut pas second facteur, délibérément.
- Le nombre de tentatives est plafonné : dix essais par tranche de dix minutes, codes de secours compris. Au-delà, il faut patienter : un code à six chiffres se balaierait en quelques heures sans cette limite.
Voir aussi la réponse courte : J'ai perdu mon second facteur, comment me reconnecter ?.
Retirer un facteur, et ce qui l'en empêche
La règle est asymétrique, et c'est voulu : ajouter de la sécurité ne demande rien de plus que votre session ouverte ; en retirer exige de confirmer votre identité à nouveau.
Une boîte de dialogue vous demande alors votre mot de passe, un code de votre application, ou votre clé. La confirmation vaut dix minutes, le temps d'enchaîner plusieurs réglages sans ressaisir. La raison est concrète : un poste laissé déverrouillé pendant une pause suffirait sinon à retirer votre facteur, changer votre adresse, puis réinitialiser le mot de passe vers cette nouvelle adresse.
Vous ne pouvez pas retirer votre dernier facteur. La plateforme refuse, et vous oriente vers Désactiver la double authentification : un geste distinct, explicite, ré-authentifié et notifié. La différence est celle de l'intention : une corbeille cliquée par mégarde ne doit pas pouvoir éteindre votre protection.
Ce que voit un administrateur
L'écran Sécurité de la société (accessible depuis Paramètres, à qui détient le droit correspondant) porte un bloc Double authentification avec deux chiffres, et non un seul.
- Comptes protégés, sur le total. Il dit combien de mots de passe volés ne suffiraient pas.
- Dont résistants au hameçonnage, sur le total. Il dit combien de pages contrefaites échoueraient.
Une société entièrement équipée en applications d'authentification est excellente sur le premier chiffre et faible sur le second, or c'est le hameçonnage qui aboutit en pratique. Chaque méthode en service est donc étiquetée en clair : Résistant au hameçonnage ou Vulnérable au hameçonnage.
Le bloc Membres liste ensuite chaque personne, les comptes demandant une action en premier, avec l'étiquette exacte de ce qui manque : « Aucun second facteur », « Aucun code de secours ». Ce sont des faits, pas des jugements : de sorte que chacun sache quoi demander. Qui voit cet écran se règle depuis Rôles et droits.
L'obligation à l'échelle de la société
Le compte porte un réglage « double authentification imposée », activé à la création de la société, et il apparaît parmi les constats de la page Sécurité. Soyez précis sur ce qu'il fait aujourd'hui : il déclare une intention et la mesure, il ne bloque aucune connexion. Personne ne se voit refuser l'accès ni forcer un enrôlement à cause de lui, et aucun écran ne le règle pour l'instant.
Autrement dit, la couverture de votre société repose sur l'adhésion de chacun. Le levier réel est ailleurs : le constat de la page Sécurité nomme les comptes découverts, et le bloc Membres donne leur nom et leur adresse. Commencez par les comptes d'administration : un compte qui administre la société sans second facteur suffit à la perdre entièrement.
Ce qui vous est notifié
Chaque changement de sécurité déclenche un courriel au titulaire du compte, et ce n'est pas optionnel. Un intrus qui prend une session cherche à s'installer : ajouter sa propre clé, retirer la vôtre, détourner votre adresse. Chacune de ces actions est silencieuse : sauf par cet e-mail, qui est souvent le seul signal que reçoit la victime et le seul moment où elle peut encore réagir.
L'historique de la société trace en parallèle la mise sous protection, chaque facteur ajouté ou retiré, la désactivation, la génération de codes, et l'usage d'un code de secours. Ce dernier est tracé à part : il signale presque toujours une perte d'appareil.
Si ça ne se passe pas comme prévu
- « Code invalide. Vérifiez l'heure de votre téléphone. » Le TOTP dépend de l'horloge. Une tolérance de trente secondes est admise, pas plus. Activez la mise à l'heure automatique sur l'appareil.
- « La configuration a expiré. Recommencez. » Un QR code affiché reste valable un quart d'heure. Passé ce délai, relancez la configuration.
- « Les clés exigent une connexion sécurisée (HTTPS). » Le navigateur refuse d'enregistrer une clé hors origine sûre.
- « Cette clé est déjà enregistrée. » L'appareil que vous présentez porte déjà une clé pour ce compte. C'est un garde-fou : sans lui, vous croiriez doubler votre facteur alors que vous remplacez le premier.
- « Ce navigateur refuse la clé : l'adresse du site ne correspond pas à celle attendue. » C'est une erreur de configuration de notre côté, pas chez vous. Réessayer n'y changera rien : signalez-le.
- « C'est votre dernier facteur. » Utilisez « Désactiver la double authentification » si c'est bien ce que vous voulez faire.
- « Trop de tentatives. » Patientez quelques minutes : le plafond est de dix essais par dix minutes.
Enfin, si vous voyez une connexion que vous ne reconnaissez pas, coupez-la avant tout le reste : Comment voir et révoquer mes sessions ouvertes ?.