L'authentification à deux facteurs (2FA) demande autre chose que votre mot de passe à la connexion — un code, une pression ou une clé physique — pour qu'un mot de passe volé seul ne suffise pas à entrer dans votre compte. Mais toutes les 2FA ne se valent pas. Voici comment les trois méthodes courantes se comparent vraiment.
Codes par SMS
Un code envoyé par SMS sur votre téléphone. Mieux que pas de 2FA du tout, mais c'est l'option la plus faible : le SIM-swapping (un attaquant convainc votre opérateur de transférer votre numéro sur sa carte SIM) et l'interception réseau SS7 peuvent tous deux la contourner sans toucher à votre appareil. À utiliser seulement quand un service n'offre rien de mieux.
Applications d'authentification (TOTP)
Des applis comme Google Authenticator, Authy ou celles intégrées à Proton Pass, Bitwarden et 1Password génèrent un code à 6 chiffres qui change toutes les 30 secondes, calculé localement sur votre appareil à partir d'un secret partagé — rien n'est transmis pour le recevoir, ce qui élimine déjà le SIM-swapping. Son point faible est le phishing : une fausse page de connexion peut encore vous piéger pour que vous tapiez le code sur le site de l'attaquant en temps réel.
Clés de sécurité physiques (FIDO2 / WebAuthn)
Une clé physique (YubiKey, Google Titan et autres) que vous touchez ou insérez pour confirmer la connexion. Contrairement à un code, elle vérifie cryptographiquement que vous êtes sur le vrai site avant de répondre — une fausse page n'obtient tout simplement pas de réponse valide, ce qui en fait la seule méthode courante réellement résistante au phishing. Le coût : acheter une clé et la garder sur soi.
Passkeys — la nouvelle alternative
Les passkeys utilisent la même technologie FIDO2 que les clés physiques mais stockent l'identifiant sur votre téléphone ou ordinateur plutôt que sur un appareil séparé, déverrouillé par empreinte, visage ou code PIN. Elles résistent au phishing comme les clés physiques et ne nécessitent aucun achat, mais leur prise en charge varie selon les sites et selon la façon dont vous les sauvegardez entre appareils — voir notre entrée du glossaire pour les détails.
Laquelle utiliser vraiment ?
Par ordre de priorité : une clé physique ou un passkey pour vos comptes les plus importants (e-mail principal, votre gestionnaire de mots de passe, banque, travail) ; une appli d'authentification pour le reste ; le SMS seulement quand un service n'offre vraiment rien de mieux. La plupart des gestionnaires de mots de passe — y compris ceux de notre comparatif de gestionnaires — peuvent désormais stocker et générer eux-mêmes des codes d'authentification, donc vous n'avez pas besoin d'une appli séparée.
Termes liés: Authentification à deux facteurs (2FA) · Passkey (FIDO2) · Mot de passe maître