Qu'est-ce que l'authentification à deux facteurs ? Guide simple
L'authentification à deux facteurs (2FA) est une connexion qui demande deux types de preuves différents que vous êtes bien la personne que vous prétendez être : en général quelque chose que vous savez, comme un mot de passe, plus quelque chose que vous possédez, comme votre téléphone ou une clé de sécurité. Si un malfaiteur vole ou devine votre mot de passe, il ne peut toujours pas entrer sans le second facteur. C'est l'un des moyens les plus simples de protéger les comptes qui comptent.
Pourquoi c'est important quand on crée avec l'IA
Quand vous demandez à un outil de création par IA une « connexion », vous obtenez en général un e-mail et un mot de passe. C'est un bon départ, mais les mots de passe sont réutilisés, hameçonnés et divulgués. Si votre application détient quoi que ce soit de précieux — des fiches clients, des factures, des commandes d'administration, des réglages de paiement —, un seul mot de passe volé peut tout exposer.
La 2FA influence aussi des décisions auxquelles vous ne penseriez peut-être pas d'abord :
- Qui doit l'utiliser. Facultative pour tous, obligatoire pour les administrateurs, ou obligatoire pour tout le monde ?
- Quelles méthodes vous prenez en charge. Codes d'une application, SMS, clés d'accès, clés de sécurité.
- Ce qui se passe quand quelqu'un est bloqué. La perte de téléphone est la demande d'assistance la plus fréquente pour toute application avec 2FA.
- Où elle est appliquée. La vérification doit se faire sur le serveur. Un écran 2FA qui se contente de masquer la page dans le navigateur peut être contourné.
Vous n'avez pas à construire vous-même la cryptographie : des bibliothèques éprouvées et des fournisseurs d'authentification s'en chargent. Mais vous devez savoir quoi demander.
Une analogie du quotidien
Pensez au coffre d'une banque. Pour l'ouvrir, il faut votre pièce d'identité (quelque chose que la banque vérifie que vous êtes ou que vous savez) et la clé physique (quelque chose que vous avez). Un voleur qui copie votre signature n'a toujours pas la clé. Un voleur qui subtilise la clé ne passe toujours pas le contrôle d'identité.
La 2FA fonctionne de la même manière. Le mot de passe est la signature ; le téléphone ou la clé de sécurité est la clé physique. Chacun seul ne suffit pas.
Les trois types de facteurs
Les normes de sécurité, comme les recommandations du National Institute of Standards and Technology américain sur l'identité numérique, regroupent les facteurs en trois types :
| Facteur | Exemples |
|---|---|
| Quelque chose que vous savez | Mot de passe, code PIN |
| Quelque chose que vous possédez | Téléphone avec une application d'authentification, une clé de sécurité, un appareil contenant une clé d'accès |
| Quelque chose que vous êtes | Empreinte digitale, visage — généralement utilisés pour déverrouiller un appareil qui effectue ensuite la vraie vérification |
Le mot clé est différent. Un mot de passe plus une question secrète, ce sont deux choses que vous savez : ce n'est donc pas une véritable authentification à deux facteurs. Si une seule fuite peut révéler les deux, cela ne compte que pour un.
Comparaison des méthodes 2FA courantes
| Méthode | Fonctionnement | Solidité | Remarques |
|---|---|---|---|
| Code SMS | Un code est envoyé par SMS sur votre numéro | La plus faible | Vulnérable à l'échange de carte SIM et à l'hameçonnage, mais bien mieux que pas de 2FA du tout |
| Code par e-mail | Un code vous est envoyé par e-mail | Faible | Aussi sûre que le compte e-mail lui-même |
| Application d'authentification (TOTP) | Une appli comme Google Authenticator génère un nouveau code à 6 chiffres, en général toutes les 30 secondes | Bonne | Fonctionne hors ligne ; reste hameçonnable si un faux site demande le code |
| Validation par notification | Une appli demande « C'est bien vous ? » et vous appuyez sur Approuver | Bonne | Attention à la « fatigue d'approbation », quand les utilisateurs acceptent pour faire cesser les demandes répétées |
| Clé d'accès ou clé de sécurité | Une clé cryptographique sur un appareil prouve que vous êtes sur le vrai site | La plus solide | Résistante à l'hameçonnage, car elle ne répond pas à un domaine trompeusement semblable |
Les recommandations du NIST considèrent que les méthodes où l'on saisit un code (SMS, e-mail, applications d'authentification) ne sont pas résistantes à l'hameçonnage, et classent l'envoi de codes par le réseau téléphonique comme « restreint ». Les clés d'accès et les clés de sécurité matérielles, fondées sur les normes WebAuthn et FIDO2, sont celles qu'il considère comme résistantes à l'hameçonnage.
En pratique : une application d'authentification est une valeur par défaut solide et facile pour la plupart des applications, et les clés d'accès valent la peine d'être proposées si vos utilisateurs sont à l'aise avec elles.
Un exemple concret : la 2FA pour un portail client
Imaginons que vous ayez créé un portail où un petit cabinet comptable partage des documents fiscaux avec ses clients. Voici, étape par étape, comment fonctionne une configuration 2FA raisonnable.
Activation (inscription). Priya, une cliente, ouvre les Paramètres et clique sur « Activer l'authentification à deux facteurs ». L'application génère un secret et l'affiche sous forme de QR code. Elle le scanne avec son application d'authentification, qui commence à afficher des codes à six chiffres. Elle saisit le code en cours dans le portail pour prouver que la configuration fonctionne. L'application affiche dix codes de récupération et lui demande de les conserver en lieu sûr.
Connexions suivantes.
- Priya saisit son e-mail et son mot de passe. Le serveur les vérifie.
- Au lieu de la connecter directement, le serveur marque la session comme « mot de passe valide, second facteur en attente » et affiche l'écran du code.
- Elle saisit le code de son application. Le serveur le compare au secret enregistré, en tolérant un léger décalage d'horloge.
- Ce n'est qu'à ce moment que le serveur crée une session complète et lui permet de voir les documents.
Ce que voit un attaquant. Si le mot de passe de Priya a fuité depuis un autre site, l'attaquant est bloqué à l'étape 3. Chaque tentative de code erronée est comptée ; après plusieurs erreurs, le compte est temporairement verrouillé et Priya reçoit un e-mail.
Perte de téléphone. Priya utilise l'un de ses codes de récupération pour se connecter, désactive la 2FA puis la réactive avec son nouveau téléphone, et obtient de nouveaux codes de récupération. Le code utilisé ne pourra plus jamais servir.
Pour le personnel. Les comptables du cabinet peuvent voir les dossiers de chaque client ; le portail exige donc la 2FA pour les comptes du personnel : ils ne peuvent pas accéder au tableau de bord tant qu'ils ne l'ont pas activée.
Termes courants expliqués
| Terme | Signification |
|---|---|
| 2FA / MFA | Authentification à deux facteurs / multifacteur : se connecter avec plus d'un type de preuve. |
| Facteur | Un type de preuve : quelque chose que vous savez, possédez ou êtes. |
| TOTP | Mot de passe à usage unique basé sur le temps : les codes changeants des applications d'authentification. |
| Secret partagé | La valeur cachée, configurée par QR code, que l'application et votre téléphone utilisent pour générer des codes identiques. |
| Codes de récupération (de secours) | Codes à usage unique pour entrer lorsque vous avez perdu votre second facteur. |
| Clé d'accès (passkey) | Un identifiant de connexion stocké sur votre appareil, qui utilise la cryptographie à clé publique au lieu d'un mot de passe. |
| Clé de sécurité | Un petit appareil physique (USB ou NFC) qui remplit la même fonction qu'une clé d'accès. |
| Échange de carte SIM | Tromper un opérateur mobile pour transférer le numéro de quelqu'un sur une nouvelle carte SIM, afin que les SMS arrivent à l'attaquant. |
| Hameçonnage (phishing) | Un faux site ou message qui amène les gens à transmettre leurs mots de passe ou leurs codes. |
| Authentification renforcée | Redemander le second facteur avant une action sensible, comme modifier les coordonnées de versement. |
Erreurs courantes et idées fausses
- « La 2FA rend un compte inviolable. » Elle le rend beaucoup plus difficile à pirater. Les faux sites d'hameçonnage peuvent toujours capturer les codes saisis en temps réel, c'est pourquoi les clés d'accès existent.
- Vérifier le code uniquement dans le navigateur. Si le serveur ouvre une session complète après le mot de passe, l'écran du code n'est qu'un décor. Le serveur doit refuser l'accès tant que le second facteur n'est pas validé.
- Aucune limite aux tentatives de code. Un code à six chiffres a un million de combinaisons. Sans limitation du débit ni verrouillage, un attaquant peut simplement continuer à essayer.
- Oublier la récupération. Sans codes de récupération, chaque téléphone perdu devient une demande d'assistance, ou un client bloqué.
- Stocker le secret TOTP sans précaution. Le secret partagé doit être chiffré dans la base de données, et n'être plus jamais affiché après la configuration.
- Laisser les utilisateurs désactiver la 2FA sans nouvelle vérification. Désactiver la 2FA ou modifier l'e-mail du compte doit exiger le mot de passe et un code en cours.
- Mot de passe plus question secrète, considéré comme de la 2FA. Ce n'est pas le cas : ce sont deux choses que vous savez.
Quoi demander à votre outil de création par IA
- « Ajoute une authentification à deux facteurs facultative avec une application d'authentification (TOTP), avec un QR code pour la configuration et un code de confirmation avant son activation. »
- « Affiche dix codes de récupération à usage unique lorsque la 2FA est activée. Stocke-les hachés, comme les mots de passe. »
- « Applique la 2FA côté serveur : aucune session complète tant que le second facteur n'est pas validé. »
- « Limite les tentatives de code et verrouille la connexion pendant 15 minutes après plusieurs échecs. Envoie un e-mail à l'utilisateur dans ce cas. »
- « Exige la 2FA pour les comptes administrateurs. »
- « Demande le mot de passe et un code en cours avant de désactiver la 2FA ou de modifier l'e-mail du compte. »
- « Utilise une bibliothèque reconnue ou la 2FA intégrée de notre fournisseur d'authentification — n'écris pas la cryptographie toi-même. »
- « Explique quelle méthode tu as utilisée et où les secrets sont stockés. »
Si vous utilisez un fournisseur d'authentification hébergé, vérifiez s'il propose déjà la 2FA ou les clés d'accès : activer une fonctionnalité intégrée est en général plus sûr qu'un code sur mesure. La version pas à pas se trouve dans comment ajouter l'authentification à deux facteurs, et qu'est-ce que l'authentification présente les bases de la connexion qui la sous-tend.
L'authentification à deux facteurs dans Mythex
Mythex n'inclut pas de système de connexion intégré pour les utilisateurs de votre application : la 2FA fait donc partie de l'approche d'authentification que vous choisissez — votre propre connexion par e-mail et mot de passe adossée à la base de données du projet, ou un fournisseur hébergé qui propose la 2FA. Vous demandez à l'agent de l'ajouter dans le chat, et les clés de tout fournisseur vont dans les secrets du projet plutôt que dans le chat lui-même. La recette de la documentation sur l'ajout d'une connexion à votre application contient un prompt de départ à adapter, et la sécurité des applications que vous créez couvre les bonnes pratiques autour des clés. Avant le lancement, parcourez la liste de contrôle de sécurité pour les applications créées avec l'IA.
Questions
Qu'est-ce que l'authentification à deux facteurs, en termes simples ?
L'authentification à deux facteurs (2FA) signifie que la connexion exige deux types de preuves différents, en général votre mot de passe plus un code envoyé sur votre téléphone ou une clé de sécurité. Une personne qui ne vole que votre mot de passe ne peut toujours pas entrer.
La 2FA est-elle la même chose que la MFA ?
Presque. L'authentification multifacteur (MFA) désigne deux facteurs ou plus ; l'authentification à deux facteurs en est le cas le plus courant, avec exactement deux facteurs. Dans l'usage courant, les deux termes sont utilisés l'un pour l'autre.
L'authentification à deux facteurs par SMS est-elle sûre ?
Elle est bien meilleure qu'un mot de passe seul, mais c'est l'option courante la plus faible. Les SMS peuvent être interceptés ou détournés par échange de carte SIM, et une fausse page de connexion peut amener les gens à saisir le code. Les applications d'authentification sont plus solides, et les clés d'accès ou les clés de sécurité encore davantage.
Mon application a-t-elle besoin de l'authentification à deux facteurs ?
Si les comptes détiennent de l'argent, des données privées ou un pouvoir d'administration sur d'autres utilisateurs, proposer la 2FA est une bonne idée, et l'exiger pour les administrateurs est courant. Pour une petite application de loisir, elle peut rester facultative ou être ajoutée plus tard.
Que se passe-t-il si un utilisateur perd son téléphone ?
C'est à cela que servent les codes de récupération : une courte liste de codes de secours à usage unique, affichée lorsque la 2FA est activée. Sans eux, la récupération passe en général par une vérification d'identité manuelle effectuée par le propriétaire de l'application ; prévoyez-la avant le lancement.