Double authentification (MFA)

Le mot de passe est devenu le maillon faible

Aujourd'hui, un mot de passe se vole. Par un faux mail qui imite ta banque, par une fuite de données chez un site où tu étais inscrit, ou simplement parce que tu réutilises le même partout. Le jour où il fuite, la personne en face entre chez toi comme si elle avait la clé.

La double authentification, en une phrase

La double authentification (on dit aussi MFA, pour authentification multi-facteurs) ajoute une deuxième preuve, en plus du mot de passe. Même si quelqu'un connaît ton mot de passe, il lui manque cette deuxième preuve. Et cette preuve, elle est sur toi.

Les trois familles de preuves

• Ce que tu sais : ton mot de passe, un code secret. Ça se vole et ça se devine.
• Ce que tu as : ton téléphone, une application, une clé physique. Il faut te le prendre physiquement.
• Ce que tu es : ton empreinte, ton visage. Difficile à copier.

La double authentification, c'est simplement en combiner au moins deux. Le plus courant et le plus simple : ton mot de passe (ce que tu sais) plus une validation sur ton téléphone (ce que tu as).

Pourquoi une application plutôt qu'un SMS

Recevoir un code par SMS, c'est mieux que rien. Mais le SMS reste le maillon le plus fragile de la double authentification : il peut être détourné. Une application dédiée installée sur ton téléphone est nettement plus sûre, et souvent plus pratique : tu valides d'un seul geste.

Microsoft Authenticator, gratuite et standard

On prend Microsoft Authenticator comme application de référence : elle est gratuite, elle marche aussi bien pour un compte Microsoft que pour Google, ta banque ou les réseaux sociaux, et c'est celle que tu retrouveras dans la plupart des entreprises.

1. Sur iPhone : ouvre l'App Store, cherche "Microsoft Authenticator".
2. Sur Android : ouvre le Google Play Store, cherche "Microsoft Authenticator".
3. Vérifie bien que l'éditeur est Microsoft Corporation, puis installe.
4. Ouvre l'application et accepte les conditions. Tu n'as encore rien à configurer : on le fera au module suivant.

Le principe est toujours le même

Quel que soit le compte (Microsoft, Google, ta banque, Instagram), la mécanique ne change pas : tu vas dans les réglages de sécurité du compte, tu demandes à activer la double authentification, le site affiche un QR code, et tu le scannes avec Microsoft Authenticator. C'est tout. On le fait ici sur un compte Microsoft ; tu sauras refaire le geste partout.

Les étapes

1. Sur ton ordinateur, va dans les réglages de sécurité de ton compte, et choisis ajouter une méthode de connexion ou vérification en deux étapes.
2. Le site affiche un QR code : un petit carré noir et blanc.
3. Sur ton téléphone, ouvre Microsoft Authenticator, appuie sur + puis Ajouter un compte.
4. Choisis le type de compte, puis Scanner un QR code. Vise le carré affiché à l'écran.
5. L'application ajoute le compte. À la prochaine connexion, elle te demandera de valider d'un geste, ou d'entrer un code à 6 chiffres qui change toutes les 30 secondes.

Une fois activée, la double authentification ne te ralentit presque pas au quotidien : la plupart du temps, un seul geste de validation suffit, et certains appareils de confiance ne te la redemandent qu'occasionnellement.

Le piège numéro un : valider sans réfléchir

Une fois la double authentification active, ton téléphone affichera parfois une demande de validation. Le réflexe à garder : ne valide JAMAIS une demande que tu n'as pas déclenchée toi-même.

Les questions que tout le monde se pose

• Je change de téléphone ? Microsoft Authenticator propose une sauvegarde et une restauration : tu retrouves tes comptes sur le nouveau. Garde l'ancien jusqu'à ce que tout soit bien transféré.
• Je perds mon téléphone ? C'est exactement à ça que servent tes codes de secours : ils te laissent te reconnecter et reconfigurer l'application sur un nouvel appareil.
• J'ai plein de comptes ? Une seule application les gère tous. Active la double authentification d'abord sur les plus sensibles (mail, banque, travail), puis étends petit à petit.

Le bonus : les clés d'accès (passkeys)

De plus en plus de sites proposent les clés d'accès, ou passkeys. L'idée : se connecter sans mot de passe du tout, juste avec le déverrouillage de ton téléphone (empreinte ou visage). C'est encore plus simple et encore plus résistant aux faux sites. Quand un service te le propose, dis oui. En attendant, la double authentification reste ta meilleure protection.