La plupart des comptes piratés ne le sont pas par un génie de l'informatique. Ils le sont parce qu'un mot de passe a fuité ailleurs et qu'il ouvrait aussi la messagerie, le compte Facebook ou la banque. La double authentification casse ce scénario : même avec votre mot de passe, l'attaquant reste dehors sans le second facteur.
Pourquoi éviter le SMS
Le code par SMS vaut mieux que rien, mais c'est le second facteur le plus faible : il peut être intercepté, et un escroc peut parfois obtenir un duplicata de votre carte SIM. Une application d'authentification génère les codes sur votre téléphone, sans passer par le réseau.
Les applications, une par une
Google Authenticator : simple et très répandue, sur iOS et Android. Pratique si vous voulez l'essentiel, sans réglage.
Microsoft Authenticator : sur iOS et Android, indispensable si vous utilisez des comptes Microsoft, car elle permet aussi de valider une connexion par notification.
2FAS : gratuite et open source, avec une sauvegarde dans le cloud ou manuelle, et une extension de navigateur pour remplir les codes.
Aegis : gratuite et open source, uniquement sur Android, avec un coffre chiffré, le déverrouillage biométrique et des sauvegardes automatiques. L'une des plus appréciées des utilisateurs avertis.
Ente Auth : gratuite et open source, disponible sur téléphone, ordinateur et web, avec une sauvegarde chiffrée de bout en bout dont la cryptographie a été auditée. Utilisable sans compte, hors ligne.
Bitwarden Authenticator : gratuite et open source, sur iOS et Android, utilisable sans compte. Sa sauvegarde passe par celle du téléphone.
Proton Pass : gestionnaire de mots de passe chiffré, basé en Suisse. Son générateur de codes intégré fait partie de l'offre payante Pass Plus.
Le niveau au-dessus : clés physiques et passkeys
Une clé de sécurité physique comme la YubiKey se branche en USB ou s'approche du téléphone (NFC) : une simple touche remplace le code. Elle est quasi impossible à hameçonner, mais elle se paie et il en faut deux, au cas où vous perdez la première.
Les passkeys remplacent le mot de passe lui-même par une clé cryptographique stockée sur vos appareils. Basées sur les standards FIDO, elles résistent à l'hameçonnage. Activez-les partout où c'est proposé (Google, Apple, Microsoft, WhatsApp, de plus en plus de banques).
Laquelle choisir ?
Vous voulez simple : Google ou Microsoft Authenticator.
Vous êtes sur Android et voulez la meilleure maîtrise : Aegis.
Vous voulez retrouver vos codes sur tous vos appareils, chiffrés : Ente Auth ou 2FAS.
Vous gérez une équipe ou des comptes sensibles : un gestionnaire de mots de passe avec authentificateur, et des clés physiques pour les comptes administrateurs.
Ne jamais perdre ses codes
C'est la vraie crainte, et elle est légitime. Trois réflexes suffisent :
Notez et rangez les codes de secours que chaque service vous donne à l'activation, sur papier.
Activez la sauvegarde chiffrée de votre application, ou exportez-la régulièrement.
Avant de changer de téléphone, transférez vos codes, et ne réinitialisez l'ancien qu'après avoir vérifié que tout fonctionne sur le nouveau.
Les comptes à protéger en premier
Votre e-mail principal (il permet de réinitialiser tout le reste), WhatsApp (activez la vérification en deux étapes), Facebook et Instagram, votre banque et vos applications de paiement, votre hébergeur web et votre nom de domaine, et vos comptes crypto. Si vous utilisez une plateforme comme Binance, lisez aussi mon guide pour débuter sans se faire piéger.
Activer la double authentification en 5 minutes
1. Installez l'application choisie.
2. Dans les paramètres de sécurité du compte (e-mail, réseau social, banque), cherchez « Validation en deux étapes » ou « Authentification à deux facteurs ».
3. Choisissez « Application d'authentification » et scannez le QR code affiché.
4. Saisissez le code à six chiffres pour confirmer.
5. Enregistrez les codes de secours, sur papier, et rangez-les.
Questions fréquentes
Que faire si je change de téléphone ?
Utilisez la fonction de transfert ou d'export de votre application avant de réinitialiser l'ancien téléphone. Si l'ancien est perdu, utilisez les codes de secours de chaque service, ou la sauvegarde chiffrée si vous l'aviez activée.
La double authentification est-elle infaillible ?
Non : un escroc peut vous convaincre de lui donner un code, ou vous piéger avec un faux site. Les clés physiques et les passkeys sont les méthodes qui résistent le mieux à ces pièges.
Comment protéger WhatsApp ?
Activez la vérification en deux étapes dans Paramètres, puis Compte : WhatsApp vous demandera un code PIN à six chiffres lors de l'enregistrement de votre numéro sur un nouveau téléphone. Ajoutez une adresse e-mail de récupération.
Dernier conseil : la double authentification ne protège pas d'une personne qui vous convainc de lui donner le code. Aucun service sérieux ne vous le demandera par téléphone ou par message. Lisez aussi mon article sur les arnaques à la voix clonée. Informations relevées sur les sites officiels des applications le 3 novembre 2026.
