Empêcher quelqu'un d'entrer dans vos comptes avec votre mot de passe
Peut-être avez-vous reçu un message vous prévenant qu'une connexion à votre compte a eu lieu depuis un pays où vous n'avez jamais mis les pieds. Peut-être un proche vient-il de vous dire qu'il a reçu un message étrange de votre part. Ou peut-être n'est-il rien arrivé, et c'est simplement l'idée que quelqu'un puisse lire votre boîte mail qui vous empêche d'être tranquille.
Ce guide pose un second verrou sur vos comptes : même avec votre mot de passe entre les mains, quelqu'un d'autre reste dehors. À la fin, votre adresse de courrier principale sera protégée, et vos codes de secours rangés en lieu sûr. Comptez vingt minutes, dont cinq à écrire une feuille de papier qui compte plus que tout le reste.
Votre mot de passe peut être excellent et déjà volé
L'intuition courante est qu'un compte se fait forcer parce que son mot de passe était trop simple. C'est de moins en moins vrai, et c'est pour cela que « choisir un bon mot de passe » ne suffit plus.
Dans l'immense majorité des cas, votre mot de passe n'a pas été deviné : il a été récupéré ailleurs, tout fait.
- Un site quelconque où vous aviez un compte s'est fait voler sa base de données. Votre adresse et votre mot de passe circulent depuis, et sont essayés automatiquement partout ailleurs.
- Vous avez saisi votre mot de passe sur une fausse page de connexion, reçue par courriel ou par message. Elle ressemblait à la vraie, c'était son métier. C'est la situation décrite dans la fiche J'ai cliqué sur un lien de phishing.
- Un logiciel indésirable installé sur un ordinateur a lu ce que vous tapiez.
Dans les trois cas, la longueur du mot de passe ne change rien : il est déjà parti. Le danger ne vient pas de la faiblesse de votre secret, il vient du fait qu'un secret unique suffit à ouvrir la porte. Tout le principe du second verrou tient là : ajouter quelque chose qu'un voleur à l'autre bout du monde ne peut pas avoir volé en même temps.
Le second verrou, en une phrase
Au lieu de demander seulement ce que vous savez (le mot de passe), le service demande en plus une preuve que vous possédez un objet précis : votre téléphone, ou une petite clé. Concrètement, après le mot de passe, un écran réclame un code à six chiffres, ou une simple confirmation sur votre téléphone.
C'est le mécanisme de la carte bancaire : le numéro ne suffit pas, il faut la carte. Et on abandonne aussitôt l'analogie, parce que le reste ne se ressemble pas.
Ce dispositif porte plusieurs noms selon les sites : double authentification, vérification en deux étapes, validation en deux étapes, ou le sigle MFA (double authentification). Ce sont exactement la même chose, et c'est le réglage que vous chercherez tout à l'heure.
flowchart TD
A["Quelqu'un a votre mot de passe<br/>(fuite, fausse page, logiciel espion)"] --> B{"Le compte a-t-il<br/>un second verrou ?"}
B -- "Non" --> C["Il entre"]
C --> C1["Il lit votre courrier"]
C --> C2["Il réinitialise vos autres comptes<br/>depuis votre boîte mail"]
C --> C3["Il change le mot de passe :<br/>c'est vous qui êtes dehors"]
B -- "Oui" --> D["Un code est demandé<br/>sur un objet qu'il n'a pas"]
D --> E["Il est bloqué"]
E --> F["Vous recevez la demande de code<br/>sans l'avoir déclenchée :<br/>signal que le mot de passe a fuité"]
F --> G["Vous changez ce mot de passe,<br/>tranquillement"]
Remarquez la dernière branche : le second verrou ne se contente pas de bloquer, il vous prévient. Un code qui arrive alors que vous n'essayez pas de vous connecter est la seule alerte fiable que vous recevrez jamais.
« Et si je perds mon téléphone ? » : on règle ça maintenant
C'est la question qui fait renoncer, et il serait malhonnête de la repousser en bas de page. Elle est légitime : vous vous apprêtez à mettre entre votre compte et vous un objet qui tombe, se noie, se vole et se remplace.
Trois réponses, à lire avant d'activer quoi que ce soit.
1. Les codes de secours existent pour exactement ça. Chaque service vous remet, au moment de l'activation, une liste de codes à usage unique. Chacun remplace le téléphone une fois. Tant que cette liste est en lieu sûr, la perte du téléphone est un contretemps, pas une catastrophe. La section suivante ne parle que de cela.
2. Rien ne vous oblige à n'avoir qu'une seule méthode. La plupart des services acceptent d'enregistrer deux moyens : l'application sur le téléphone et un numéro de secours, par exemple. Si l'un tombe, l'autre répond.
3. Un changement de téléphone se prépare en cinq minutes. Avant de vous séparer de l'ancien, vous transférez vos comptes d'authentification vers le nouveau, exactement comme vous transférez vos photos. Le sujet est traité dans le guide Changer de téléphone sans rien perdre.
Et si l'accident a déjà eu lieu, ce n'est pas perdu non plus : la fiche MFA perdu, téléphone changé donne la procédure de récupération, y compris sans codes de secours. Elle est simplement plus longue et plus désagréable.
Les codes de secours : le vrai sujet de ce guide
Tout le dispositif tient à cette liste. C'est elle qui vous rouvre la porte quand le téléphone n'est plus là, et personne ne peut la régénérer à votre place sans que vous soyez déjà connecté. Cette section mérite plus d'attention que la procédure elle-même.
À quoi cela ressemble : huit à dix suites de chiffres ou de lettres, affichées une seule fois, au moment de l'activation. Chacune fonctionne une fois puis meurt. L'écran propose en général de les télécharger, de les imprimer ou de les copier.
Où les écrire
Sur papier, à la main ou imprimés. Ce n'est pas un pis-aller, c'est la bonne méthode : le papier ne se fait pas voler à distance et ne dépend d'aucun appareil en état de marche.
- Une feuille, les codes en toutes lettres, et le nom du compte concerné.
- Rangée avec vos papiers importants : classeur familial, coffret, enveloppe fermée. Un tiroir chez vous est exposé à une seule menace, quelqu'un qui entre physiquement dans la pièce, ce qui est infiniment moins probable qu'une fuite de base de données.
- Un second exemplaire ailleurs si vous le pouvez, chez un proche de confiance, en cas d'incendie ou de cambriolage.
- Cochez un code au crayon chaque fois que vous en utilisez un. Quand il en reste deux, retournez sur le compte en régénérer une liste neuve : l'ancienne est alors annulée d'office.
Où surtout pas
Jamais dans le téléphone qui porte l'application d'authentification. C'est l'erreur la plus fréquente, et elle vide le dispositif de son sens : le seul scénario où vous aurez besoin de ces codes est précisément celui où ce téléphone a disparu. Une capture d'écran dans la galerie photo, une note dans l'application Notes, un message que vous vous envoyez à vous-même : les trois partent avec l'appareil.
Trois autres mauvais endroits, pour la même raison :
| Endroit | Pourquoi c'est un piège |
|---|---|
| Un courriel que vous vous envoyez | Les codes qui protègent votre boîte mail seraient rangés dans cette boîte mail. Celui qui entre trouve tout d'un coup |
| Un fichier texte sur le bureau de l'ordinateur | C'est exactement le genre de fichier qu'un logiciel malveillant cherche en premier |
| Un espace de stockage en ligne, en clair | Ce compte de stockage se réinitialise, lui aussi, depuis votre messagerie. La boucle est fermée et vous êtes dedans |
La bonne exception
Si vous utilisez un coffre-fort à mots de passe, y ranger les codes de secours est légitime, à une condition : que ce coffre s'ouvre autrement que depuis le téléphone perdu, donc avec un mot de passe maître que vous connaissez par cœur et une copie papier de son propre secours. Le guide En finir avec les mots de passe oubliés détaille cette mise en place. Le papier reste néanmoins la ceinture de sécurité de la ceinture de sécurité.
Les trois méthodes, et ce qu'elles valent vraiment
| Code reçu par message texte | Application d'authentification | Clé physique | |
|---|---|---|---|
| Ce que vous faites | Vous recevez un code sur votre ligne et vous le recopiez | Une application affiche un code qui change toutes les trente secondes | Vous branchez ou approchez un petit objet, et vous appuyez dessus |
| Ce qu'il faut | Du réseau téléphonique | Un téléphone, même sans réseau ni forfait | La clé, et un port ou du sans contact sur l'appareil |
| Coût | 0 € | 0 € | 25 à 60 € |
| Effort | Aucun, c'est souvent déjà proposé par défaut | Dix minutes une fois | Vingt minutes, et il en faut deux |
| Sa faiblesse | Votre ligne peut être détournée par quelqu'un qui se fait passer pour vous auprès de l'opérateur. Le code peut aussi être réclamé par une fausse page qui le renvoie aussitôt au vrai site | Le code peut être réclamé par une fausse page, comme ci-dessus | Aucune connue à ce jour pour un usage personnel |
| Ce qu'elle arrête | La quasi-totalité des attaques automatisées | Idem, plus le détournement de ligne | Tout ce qui précède, plus les fausses pages de connexion |
Ce qu'il faut retenir de ce tableau
Le code par message texte n'est pas à mépriser. C'est la méthode la moins sûre des trois, et c'est aussi celle qui protège le plus de gens dans le monde, parce qu'elle ne demande rien à personne. Face à un mot de passe volé dans une fuite et essayé automatiquement sur dix mille comptes, elle bloque l'attaque aussi bien que les deux autres. Entre l'activer aujourd'hui en trois clics et attendre le week-end où vous installerez l'application parfaite, choisissez aujourd'hui.
L'application d'authentification est le bon choix pour la plupart des gens : gratuite, sans réseau, insensible au détournement de ligne. Toutes fonctionnent sur le même principe, un code calculé à partir d'un secret partagé une fois avec le site et de l'heure courante. Elles sont donc interchangeables : un compte configuré avec l'une fonctionne avec n'importe quelle autre, et vous pouvez changer d'avis plus tard sans tout refaire.
Quelle application installer
Voici les plus répandues, avec ce qui les distingue réellement. Toutes sont gratuites et disponibles sur la boutique officielle de votre téléphone.
| Application | Ce qui la distingue | À savoir |
|---|---|---|
| Google Authenticator | La plus connue, la plus simple. Sauvegarde vers votre compte Google | Il faut un compte Google. Longtemps sans sauvegarde du tout, ce qui lui a valu une mauvaise réputation aujourd'hui dépassée |
| Microsoft Authenticator | Sauvegarde dans le nuage, et connexion sans mot de passe pour les comptes Microsoft | Le plus confortable si votre messagerie professionnelle est chez Microsoft |
| Proton Authenticator | Éditeur suisse, sauvegarde chiffrée de bout en bout, fonctionne aussi sur ordinateur | Demande un compte Proton pour la synchronisation |
| 2FAS | Gratuite, sans compte obligatoire, code source ouvert | Sauvegarde à déclencher soi-même vers son propre espace de stockage |
| Aegis (Android) · Raivo (iPhone) | Code source ouvert, aucun compte, sauvegarde sur votre appareil | Vous êtes seul responsable de la sauvegarde : à réserver à qui accepte cette charge |
Si vous hésitez, prenez celle de l'écosystème que vous utilisez déjà, Google ou Microsoft : la sauvegarde y est automatique, et une sauvegarde automatique vaut mieux qu'une sauvegarde parfaite que vous ne ferez jamais.
Le critère qui compte vraiment est celui-là : que se passe-t-il le jour où vous changez de téléphone. Une application sans sauvegarde vous oblige à refaire la configuration de chaque compte, un par un, et c'est exactement la situation que décrit la fiche MFA perdu, téléphone changé. Vérifiez ce point avant d'installer, pas après.
Deux réflexes quelle que soit votre application : installez-la depuis la boutique officielle et non depuis un lien reçu, car les fausses applications d'authentification existent. Et méfiez-vous de celles qui demandent un abonnement pour restaurer vos propres codes.
La clé physique est la seule qui refuse de répondre à une fausse page, parce qu'elle vérifie elle-même l'adresse du site. Elle se justifie pour un compte dont la perte serait grave. Si vous en prenez une, prenez-en deux : une sur le trousseau, une rangée chez vous.
La procédure, sur le compte qui compte le plus
Ne commencez pas par le compte le plus facile. Commencez par votre adresse de courrier principale, parce que c'est par elle que se réinitialisent tous vos autres comptes. Protéger votre réseau social avant votre messagerie revient à verrouiller une fenêtre en laissant la porte ouverte.
Les écrans diffèrent d'un fournisseur à l'autre et changent souvent. Ce qui ne change pas, c'est l'endroit où chercher et l'intention de chaque étape.
- Ouvrez les paramètres de votre compte de messagerie, depuis un ordinateur plutôt qu'un téléphone : l'écran est plus lisible et l'impression des codes plus simple. Cherchez la rubrique Sécurité ou Connexion et sécurité. Le réglage s'appelle validation en deux étapes, vérification en deux étapes ou double authentification.
- Vérifiez d'abord votre adresse et votre numéro de secours, souvent listés juste à côté. Ce sont eux que le service utilisera pour vous reconnaître en cas de problème. Une adresse de secours que vous ne consultez plus depuis six ans ne vous servira à rien.
- Lancez l'activation et choisissez votre méthode, parmi celles décidées plus haut. Si le service propose un choix et que vous hésitez, prenez l'application.
- Associez l'appareil. Pour une application, le site affiche un carré noir et blanc à photographier depuis l'application : c'est le secret partagé qui passe du site à votre téléphone. Pour un code par message, vous recevez un premier code à recopier pour prouver que la ligne est la vôtre.
- Confirmez avec un premier code. Tant que cette confirmation n'est pas faite, rien n'est actif.
- Récupérez les codes de secours et rangez-les tout de suite, selon la section plus haut. Maintenant, pas ce soir. Cet écran ne reviendra pas, et « plus tard » n'arrive jamais. Si le service ne les propose pas spontanément, cherchez codes de secours, codes de récupération ou backup codes dans la même page.
- Ajoutez une seconde méthode si le service l'accepte : l'application plus un numéro de secours. C'est la différence entre un contretemps et un blocage.
- Faites le test qui compte. Déconnectez-vous complètement, puis reconnectez-vous. Vous devez voir l'écran du code. Tant que vous n'avez pas vu cet écran de vos yeux, vous ne savez pas si c'est activé.
Une note sur les appareils de confiance : le service proposera souvent de ne plus demander de code sur cet ordinateur. Acceptez chez vous, jamais sur un poste partagé ou public.
Dans quel ordre couvrir le reste
Un compte par jour, pas tous en une soirée. La fatigue vous ferait abandonner au quatrième, avec une liste de codes de secours à moitié écrite.
| Rang | Comptes | Pourquoi ceux-là d'abord |
|---|---|---|
| 1 | Votre messagerie principale | Elle réinitialise tout le reste : la perdre, c'est tout perdre d'un coup |
| 2 | Banque, impôts, assurance, santé | Conséquence financière ou administrative immédiate. La banque impose en général déjà une confirmation, vérifiez qu'elle arrive sur le bon numéro |
| 3 | Coffre-fort à mots de passe, espaces de stockage en ligne | Ils contiennent tout le reste de votre vie numérique |
| 4 | Réseaux sociaux et messageries instantanées | Usurpation auprès de vos proches : c'est le scénario de la fiche Mon compte Facebook ou Instagram est piraté |
| 5 | Boutiques en ligne avec carte enregistrée | Achats frauduleux directs |
| 6 | Le reste | Au fil de l'eau, quand un site vous le propose |
Chaque compte activé produit sa propre liste de codes de secours. Rangez-les tous au même endroit, chacun étiqueté avec le nom du service : c'est la seule façon de ne pas chercher pendant une heure le jour où vous en aurez besoin.
Erreurs fréquentes
- Garder les codes de secours dans le téléphone qui porte l'application. Le seul jour où vous en aurez besoin, ils seront partis avec lui.
- Sauter la sixième étape parce que l'écran des codes arrive après le soulagement d'avoir fini. Le dispositif est alors actif et vous êtes sans filet.
- Commencer par un compte secondaire pour s'entraîner, et ne jamais arriver à la messagerie. C'est elle qui compte.
- Ne pas tester la déconnexion. Une activation qui n'a pas été vue en fonctionnement n'est pas une activation, c'est une intention.
- Donner son code à quelqu'un au téléphone. Aucun service, aucune banque, aucun support ne vous demandera jamais de lire un code de vérification à voix haute. Cette demande est, à elle seule, la preuve d'une arnaque.
- Renoncer parce que la seule méthode proposée est le message texte. Elle vaut infiniment mieux que rien, et vous pourrez changer plus tard.
À retenir
- Le danger ne vient pas d'un mot de passe trop simple, mais du fait qu'un seul secret suffise.
- Le second verrou bloque l'intrus et vous signale que votre mot de passe a fuité.
- Les codes de secours sont le point unique de défaillance : sur papier, avec vos documents importants, et jamais dans le téléphone qui porte l'application.
- La peur de perdre son téléphone se traite avant l'activation : codes de secours, seconde méthode, transfert préparé.
- Le code par message texte est la méthode la plus faible et elle arrête pourtant la quasi-totalité des attaques réelles. Mieux vaut l'activer que remettre à plus tard.
- On commence par l'adresse de courrier principale, parce que tout le reste s'y réinitialise.
Ce que ça change pour vous
Le jour même, une fuite de base de données chez un commerçant cesse d'être une menace pour votre boîte mail : votre mot de passe y circule peut-être, il ne suffit plus. Dans les mois qui viennent, si un code arrive sur votre téléphone sans que vous ayez rien demandé, vous saurez immédiatement que ce mot de passe est à changer, et vous le ferez avant qu'il serve. Et le jour où votre téléphone tombe dans l'eau, vous ouvrirez un tiroir, prendrez une feuille, et vous reconnecterez.
Mini-exercice
Sans rien activer pour l'instant, ouvrez les paramètres de sécurité de votre adresse de courrier principale et répondez à deux questions. La double authentification y est-elle déjà active, et si oui par quelle méthode ? L'adresse ou le numéro de secours enregistrés sont-ils encore à vous ?
Beaucoup de gens découvrent à ce moment-là qu'un numéro abandonné depuis trois ans est toujours la voie de récupération de leur compte principal. Corriger cela prend deux minutes et vaut déjà le détour.
Pour comprendre ce qui se joue derrière ces mécanismes, le cours Cybersécurité : les bases reprend le sujet au calme.