Qu'est-ce que l'authentification à deux facteurs ? Guide en langage simple
L'authentification à deux facteurs (2FA) est une connexion qui demande deux types de preuves différents que vous êtes bien la personne que vous prétendez être : généralement quelque chose que vous savez, comme un mot de passe, plus quelque chose que vous possédez, comme votre téléphone ou une clé de sécurité. Si un malfaiteur vole ou devine votre mot de passe, il ne peut toujours pas entrer sans le second facteur. C'est l'une des façons les plus simples de protéger les comptes importants.
Pourquoi c'est important quand on construit avec l'IA
Lorsque vous demandez à un outil de création IA une « connexion », vous obtenez généralement un courriel et un mot de passe. C'est un bon point de départ, mais les mots de passe sont réutilisés, soutirés par hameçonnage ou fuient. Si votre application contient quelque chose de précieux, comme des dossiers clients, des factures, des commandes d'administration ou des paramètres de paiement, un seul mot de passe volé peut tout exposer.
La 2FA influence aussi des décisions auxquelles vous ne pensez peut-être pas au départ :
- Qui doit l'utiliser. Facultative pour tous, obligatoire pour les administrateurs, ou obligatoire pour tout le monde ?
- Quelles méthodes vous prenez en charge. Codes d'une application, messages texte, clés d'accès, clés de sécurité.
- Ce qui se passe lorsqu'une personne est verrouillée à l'extérieur. Les téléphones perdus sont la demande de soutien la plus courante pour toute application qui utilise la 2FA.
- Où elle est imposée. La vérification doit se faire sur le serveur. Un écran 2FA qui ne fait que masquer la page dans le navigateur peut être contourné.
Vous n'avez pas à construire la cryptographie vous-même : des bibliothèques éprouvées et des fournisseurs d'authentification s'en chargent. Mais vous devez savoir quoi demander.
Une analogie du quotidien
Pensez à un coffret de dépôt de banque. Pour l'ouvrir, il faut votre pièce d'identité (quelque chose que la banque vérifie que vous êtes ou connaissez) et la clé physique (quelque chose que vous possédez). Un voleur qui copie votre signature n'a toujours pas la clé. Un voleur qui vous subtilise la clé ne passe toujours pas la vérification d'identité.
La 2FA fonctionne de la même façon. Le mot de passe correspond à la signature ; le téléphone ou la clé de sécurité, à la clé physique. Chacun seul ne suffit pas.
Les trois types de facteurs
Les normes de sécurité, comme les lignes directrices sur l'identité numérique du National Institute of Standards and Technology des États-Unis, regroupent les facteurs en trois types :
| Facteur | Exemples |
|---|---|
| Quelque chose que vous savez | Mot de passe, NIP |
| Quelque chose que vous possédez | Téléphone avec une application d'authentification, clé de sécurité, appareil contenant une clé d'accès |
| Quelque chose que vous êtes | Empreinte digitale, visage ; utilisé habituellement pour déverrouiller un appareil qui effectue ensuite la vraie vérification |
Le mot clé est différent. Un mot de passe plus une question de sécurité sont deux choses que vous connaissez : ce n'est donc pas une véritable authentification à deux facteurs. Si une seule fuite peut révéler les deux, cela ne compte que comme un seul facteur.
Les méthodes 2FA courantes comparées
| Méthode | Fonctionnement | Solidité | Remarques |
|---|---|---|---|
| Code par SMS | Un code est envoyé par message texte à votre téléphone | La plus faible | Vulnérable à l'échange de carte SIM et à l'hameçonnage, mais bien meilleure que l'absence de 2FA |
| Code par courriel | Un code vous est envoyé par courriel | Faible | N'est aussi sûre que le compte courriel lui-même |
| Application d'authentification (TOTP) | Une application comme Google Authenticator génère un nouveau code à 6 chiffres, habituellement toutes les 30 secondes | Bonne | Fonctionne hors ligne ; reste vulnérable à l'hameçonnage si un faux site demande le code |
| Approbation par notification | Une application demande « Est-ce vous ? » et vous touchez à Approuver | Bonne | Attention à la « fatigue d'approbation » : les utilisateurs acceptent pour faire cesser les demandes répétées |
| Clé d'accès ou clé de sécurité | Une clé cryptographique sur un appareil prouve que vous êtes sur le vrai site | La plus solide | Résiste à l'hameçonnage, car elle ne répond pas à un domaine qui lui ressemble |
Les lignes directrices du NIST considèrent les méthodes où vous saisissez un code (SMS, courriel, applications d'authentification) comme non résistantes à l'hameçonnage, et classent l'envoi de codes par le réseau téléphonique comme « restreint ». Les clés d'accès et les clés de sécurité matérielles, fondées sur les normes WebAuthn et FIDO2, sont celles qu'il considère comme résistantes à l'hameçonnage.
Conclusion pratique : une application d'authentification est une valeur par défaut solide et facile pour la plupart des applications, et les clés d'accès valent la peine si vos utilisateurs sont à l'aise avec elles.
Exemple concret : la 2FA pour un portail client
Supposons que vous ayez créé un portail où un petit cabinet comptable partage des documents fiscaux avec ses clients. Voici comment fonctionne une configuration 2FA raisonnable, étape par étape.
Activation (inscription). Priya, une cliente, ouvre les Paramètres et clique sur « Activer l'authentification à deux facteurs ». L'application génère un secret et l'affiche sous forme de code QR. Elle le numérise avec son application d'authentification, qui commence à afficher des codes à six chiffres. Elle saisit le code actuel dans le portail pour prouver que la configuration fonctionne. L'application affiche dix codes de récupération et lui demande de les conserver en lieu sûr.
Connexions suivantes.
- Priya saisit son courriel et son mot de passe. Le serveur les vérifie.
- Au lieu de la connecter directement, le serveur marque la session comme « mot de passe valide, second facteur en attente » et affiche l'écran du code.
- Elle saisit le code de son application. Le serveur le compare au secret enregistré, en tolérant un léger décalage d'horloge.
- Ce n'est qu'à ce moment que le serveur crée une session complète et lui permet de voir ses documents.
Ce que voit un attaquant. Si le mot de passe de Priya a fuité d'un autre site, l'attaquant reste bloqué à l'étape 3. Chaque tentative de code erronée est comptée, et après plusieurs mauvais essais le compte est temporairement verrouillé et Priya reçoit un courriel.
Perte de son téléphone. Priya utilise un de ses codes de récupération pour se connecter, désactive la 2FA puis la réactive avec son nouveau téléphone, et obtient de nouveaux codes de récupération. Un code déjà utilisé ne peut plus jamais servir.
Pour le personnel. Les comptables du cabinet peuvent voir les fichiers de tous les clients ; le portail exige donc la 2FA pour les comptes du personnel : ils ne peuvent pas accéder au tableau de bord tant qu'ils ne se sont pas inscrits.
Termes courants expliqués
| Terme | Signification |
|---|---|
| 2FA / AMF | Authentification à deux facteurs / multifactorielle : se connecter avec plus d'un type de preuve. |
| Facteur | Un type de preuve : quelque chose que l'on sait, possède ou est. |
| TOTP | Mot de passe à usage unique basé sur le temps : les codes changeants des applications d'authentification. |
| Secret partagé | La valeur cachée, configurée par code QR, que l'application et votre téléphone utilisent pour générer des codes identiques. |
| Codes de récupération (de secours) | Codes à usage unique pour entrer lorsque vous avez perdu votre second facteur. |
| Clé d'accès (passkey) | Un identifiant de connexion stocké sur votre appareil, qui utilise la cryptographie à clé publique au lieu d'un mot de passe. |
| Clé de sécurité | Un petit appareil physique (USB ou NFC) qui remplit le même rôle qu'une clé d'accès. |
| Échange de carte SIM | Tromper un opérateur mobile pour transférer le numéro d'une personne sur une nouvelle carte SIM, afin que les messages aillent à l'attaquant. |
| Hameçonnage | Un faux site ou message qui amène les gens à remettre leurs mots de passe ou leurs codes. |
| Authentification renforcée (step-up) | Redemander le second facteur avant une action sensible, comme modifier les coordonnées de versement. |
Erreurs courantes et idées reçues
- « La 2FA rend un compte inviolable. » Elle le rend beaucoup plus difficile à pirater. Les faux sites d'hameçonnage peuvent encore capter les codes saisis en temps réel, ce qui explique l'existence des clés d'accès.
- Vérifier le code seulement dans le navigateur. Si le serveur accorde une session complète après le mot de passe, l'écran du code n'est que décoratif. Le serveur doit refuser l'accès tant que le second facteur n'est pas validé.
- Aucune limite aux essais de code. Un code à six chiffres compte un million de possibilités. Sans limitation du débit et sans verrouillage, un attaquant peut simplement continuer à deviner.
- Oublier la récupération. Sans codes de récupération, chaque téléphone perdu devient une demande de soutien ou un client verrouillé à l'extérieur.
- Stocker le secret TOTP sans précaution. Le secret partagé doit être chiffré dans la base de données et ne jamais être réaffiché après la configuration.
- Permettre de désactiver la 2FA sans nouvelle vérification. Désactiver la 2FA ou changer le courriel du compte doit exiger le mot de passe et un code valide.
- Un mot de passe plus une question de sécurité, c'est de la 2FA. Ce n'en est pas : les deux sont des choses que l'on connaît.
Quoi demander à votre outil IA
- « Ajoute une authentification à deux facteurs facultative avec une application d'authentification (TOTP), avec un code QR pour la configuration et un code de confirmation avant de l'activer. »
- « Affiche dix codes de récupération à usage unique lorsque la 2FA est activée. Enregistre-les sous forme de hachage, comme les mots de passe. »
- « Impose la 2FA côté serveur : aucune session complète tant que le second facteur n'est pas validé. »
- « Limite les essais de code et verrouille la connexion pendant 15 minutes après plusieurs échecs. Envoie un courriel à l'utilisateur lorsque cela se produit. »
- « Exige la 2FA pour les comptes administrateurs. »
- « Demande le mot de passe et un code valide avant de désactiver la 2FA ou de modifier le courriel du compte. »
- « Utilise une bibliothèque reconnue ou la fonction 2FA intégrée de notre fournisseur d'authentification, n'écris pas la cryptographie toi-même. »
- « Explique quelle méthode tu as utilisée et où les secrets sont stockés. »
Si vous utilisez un fournisseur d'authentification hébergé, vérifiez s'il offre déjà la 2FA ou les clés d'accès ; activer une fonction intégrée est habituellement plus sûr qu'un code sur mesure. La version pas à pas se trouve dans comment ajouter l'authentification à deux facteurs, et ce qu'est l'authentification explique les bases de la connexion sous-jacente.
L'authentification à deux facteurs dans Mythex
Mythex ne fournit pas de système de connexion intégré pour les utilisateurs de votre application ; la 2FA fait donc partie de l'approche d'authentification que vous choisissez : votre propre connexion par courriel et mot de passe reposant sur la base de données du projet, ou un fournisseur hébergé qui propose la 2FA. Vous demandez à l'agent de l'ajouter dans le clavardage, et les clés du fournisseur vont dans les secrets du projet plutôt que dans la conversation. La recette de la documentation sur l'ajout d'une connexion à votre application contient une demande de départ à adapter, et la sécurité des applications que vous créez couvre les bonnes pratiques entourant les clés. Avant le lancement, parcourez la liste de vérification de sécurité pour les applications créées avec l'IA.
Questions
Qu'est-ce que l'authentification à deux facteurs, en termes simples ?
L'authentification à deux facteurs (2FA) signifie que la connexion exige deux types de preuves différents, généralement votre mot de passe plus un code de votre téléphone ou une clé de sécurité. Une personne qui vole seulement votre mot de passe ne peut toujours pas entrer.
La 2FA est-elle la même chose que l'AMF ?
Presque. L'authentification multifactorielle (AMF) désigne deux facteurs ou plus ; l'authentification à deux facteurs est le cas le plus courant, avec exactement deux facteurs. Dans l'usage quotidien, les deux expressions sont utilisées l'une pour l'autre.
L'authentification à deux facteurs par SMS est-elle sûre ?
Elle est bien meilleure qu'un mot de passe seul, mais c'est l'option courante la plus faible. Les messages texte peuvent être interceptés ou détournés par échange de carte SIM, et une fausse page de connexion peut amener les gens à saisir le code. Les applications d'authentification sont plus solides, et les clés d'accès ou les clés de sécurité le sont encore davantage.
Mon application a-t-elle besoin de l'authentification à deux facteurs ?
Si les comptes détiennent de l'argent, des données privées ou un pouvoir d'administration sur d'autres utilisateurs, offrir la 2FA est une bonne idée, et l'exiger pour les administrateurs est courant. Pour une petite application personnelle, elle peut être facultative ou reportée.
Que se passe-t-il si un utilisateur perd son téléphone ?
C'est à cela que servent les codes de récupération : une courte liste de codes de secours à usage unique, affichée lorsque la 2FA est activée. Sans eux, la récupération passe habituellement par une vérification d'identité manuelle effectuée par le propriétaire de l'application ; prévoyez-la donc avant le lancement.