Double authentification : tous les codes ne se valent pas

Vous vous connectez à votre banque. Mot de passe, puis l'écran d'attente : "saisissez le code reçu par SMS". Le téléphone vibre, six chiffres, vous recopiez, c'est ouvert. Ce petit rituel vous rassure : mon compte est doublement verrouillé, personne ne passera. Le réflexe est excellent. Mais on vous dit rarement que tous les seconds codes ne se valent pas, et que celui qui arrive par SMS est le moins solide de la famille.

Dans cet article, on remet un peu d'ordre : le code par SMS, l'application d'authentification, la clé physique et la clé d'accès. On explique pourquoi le SMS est le maillon faible, et surtout pourquoi il rend malgré tout de fiers services. Pas de panique donc, vous n'aurez rien à désactiver en urgence.

1. Deux preuves valent mieux qu'une

La double authentification (aussi appelée 2FA, ou validation en deux étapes) part d'une idée simple : un mot de passe peut être deviné, volé ou récupéré dans une fuite de données. Alors on demande une deuxième preuve. Le site officiel cybermalveillance.gouv.fr la décrit comme une confirmation par "un code provisoire reçu par SMS ou par message (mail), via une application ou une clé spécifique dont vous disposez, ou encore par reconnaissance biométrique".

Dit autrement, on combine quelque chose que vous savez (le mot de passe) avec quelque chose que vous possédez (votre téléphone, une clé) ou que vous êtes (votre empreinte). C'est le découpage que retient la CNIL dans sa recommandation de mars 2025 sur l'authentification multifacteur : connaissance, possession, inhérence.

Vous utilisez déjà ce mécanisme sans forcément l'avoir choisi. Progressivement depuis 2019, la DSP2 (la deuxième directive européenne sur les services de paiement) impose aux banques une authentification multifacteur pour la plupart des paiements en ligne, l'accès au compte et les opérations sensibles. Si votre application bancaire vous demande de valider vos achats, c'est ça.

2. Trois familles de seconds facteurs

Reste à savoir par quel canal arrive la deuxième preuve. C'est là que tout se joue. Trois grandes familles existent :

• Le code par SMS. Le service envoie un code à usage unique sur votre numéro. C'est sans doute la formule que vous utilisez déjà : elle fonctionne sur n'importe quel téléphone, même sans internet. C'est aussi la moins robuste, on y revient.

• L'application d'authentification. Une application gratuite sur votre téléphone génère elle-même des codes temporaires, renouvelés en continu. Rien ne circule sur le réseau : le code naît directement dans votre poche. L'ANSSI, l'agence nationale chargée de la cybersécurité, classe ces protocoles (dits TOTP, le code à usage unique horodaté) parmi les exemples d'authentification forte. Un bémol tout de même : ce code se saisit, donc il peut se faire soutirer par un faux site qui vous le réclame et s'en sert dans la foulée. C'est précisément ce que la famille suivante élimine.

• La clé physique et la clé d'accès. La clé physique ressemble à une petite clé USB qu'on branche ou qu'on approche du téléphone. La clé d'accès (ou passkey) applique le même principe sans objet supplémentaire : votre téléphone ou votre ordinateur joue le rôle de la clé, déverrouillé par votre empreinte ou votre code habituel. Les deux reposent sur les standards FIDO (pour Fast IDentity Online), qui utilisent la cryptographie pour offrir une authentification résistante au hameçonnage par conception. Comme le résume Google dans son aide en ligne, les clés d'accès "ne peuvent pas être écrites ni accidentellement communiquées à une personne malintentionnée".

C'est un peu comme confier un message important. Le code par SMS, c'est la carte postale : elle arrive presque toujours, mais elle voyage à découvert et passe entre beaucoup de mains. L'application d'authentification, c'est le message rédigé chez vous, au moment d'en avoir besoin : il ne voyage pas, personne ne peut le lire en route. La clé d'accès, c'est la remise en main propre contre pièce d'identité : la vérification se fait sur place, rien ne circule.

Le problème n'est jamais le code lui-même. C'est le chemin qu'il emprunte pour arriver jusqu'à vous.

3. Pourquoi le SMS est le maillon faible

Le SMS a un défaut de naissance : il circule sur le réseau téléphonique, conçu à une époque où personne n'imaginait qu'on y ferait transiter des codes de banque. L'ANSSI le dit sans détour : la majorité des SMS transitent par des protocoles anciens qui "présentent de nombreuses vulnérabilités intrinsèques et peuvent être aisément interceptés". Sa recommandation officielle tient en une ligne : "il est recommandé de ne pas utiliser le SMS comme moyen de réception d'un facteur d'authentification".

L'autre menace porte un nom qui commence à circuler : le SIM swapping. Le principe, sans entrer dans la recette : un escroc se fait passer pour vous auprès du service client de votre opérateur, en prétextant par exemple avoir perdu sa carte SIM, et obtient le transfert de votre numéro sur la sienne. À partir de là, c'est lui qui reçoit vos SMS, codes de connexion compris. Votre téléphone, lui, perd simplement le réseau, et le temps de comprendre le pépin, le mal peut être fait.

La CNIL a tiré la même conclusion dans sa recommandation de mars 2025 : le code par SMS repose sur un canal "qu'il est difficile de considérer comme apportant une sécurité satisfaisante", raison pour laquelle il est "déconseillé par les autorités compétentes".

Les grands éditeurs en tirent d'ailleurs les conséquences. Microsoft a annoncé en juillet 2026 qu'Entra ID, son service de gestion des comptes en entreprise, cessera de fournir nativement le SMS et l'appel vocal en février 2027, clés d'accès en tête des remplaçants. La direction est claire : le SMS quitte peu à peu la scène.

4. Et pourtant, un SMS vaut infiniment mieux que rien

Arrivé ici, vous pourriez vous dire que votre double authentification par SMS ne sert à rien. Ce serait la mauvaise conclusion.

La CNIL elle-même, dans le document où elle déconseille le SMS, écrit noir sur blanc que l'authentification multifacteur mobilisant un code par SMS "permet d'assurer un niveau de sécurité supérieur à l'authentification simple". L'ANSSI, pourtant la plus stricte sur le sujet, reconnaît de son côté qu'en l'absence d'alternative, le code temporaire par SMS fait partie des "outils qui permettent de limiter ou détecter des tentatives d'authentification frauduleuses".

Les messages officiels, d'ailleurs, n'ont pas tous le même registre. Cybermalveillance.gouv.fr, qui s'adresse au grand public, conseille simplement d'activer la double authentification chaque fois que vous le pouvez, sans hiérarchiser les méthodes. La CNIL et l'ANSSI, qui parlent d'abord aux professionnels, poussent vers les mécanismes cryptographiques. Ce n'est pas une contradiction : le premier réflexe, c'est d'activer. Le second, c'est d'améliorer.

Il faut enfin remettre le risque à sa place. Quand la CNIL liste ce qui peut mettre en échec la double authentification, elle parle d'"attaques sophistiquées". Pas le tout-venant du piratage, donc. Sa conclusion est limpide : le mécanisme n'est pas infaillible, mais il "réduit significativement le risque de fuite ou de réutilisation de données personnelles" par rapport à une authentification simple, et elle recommande de l'activer chaque fois qu'un service le propose.

Un second facteur imparfait protège toujours mieux qu'un second facteur absent.

5. Par quoi commencer, sans tout chambouler

Bonne nouvelle : inutile de tout migrer en une soirée. Voici un ordre de marche raisonnable :

• Activez la double authentification partout où elle existe. Même par SMS si c'est la seule option. C'est le geste qui change le plus la donne, et il ne coûte rien.

• Repérez vos comptes vraiment sensibles. Votre adresse mail principale d'abord : c'est elle qui permet de réinitialiser tous les autres mots de passe. Qui tient votre boîte mail tient tout le reste. Puis la banque, les impôts, et les réseaux sociaux où votre vie est documentée.

• Passez ces comptes-là à l'application d'authentification. Comptez dix minutes par compte, une seule application suffit pour tous (Google Authenticator, Microsoft Authenticator ou 2FAS, toutes gratuites), et c'est le genre de corvée qu'on ne fait qu'une fois. Le SMS peut rester en solution de secours sur les services qui le permettent, idéalement remplacé à terme par les codes de récupération.

• Essayez la clé d'accès quand on vous la propose. Ouvrez les réglages de sécurité de vos comptes et cherchez la mention "clé d'accès" ou "passkey". Une fois créée, la connexion devient même plus agréable qu'avant : un coup d'empreinte et c'est ouvert.

• Gardez une porte de secours. Si le service vous remet des codes de récupération à l'activation, imprimez-les et rangez-les à l'abri. C'est eux qui vous sauveront le jour où votre téléphone tombe en panne ou disparaît.

La sécurité parfaite n'existe pas. La sécurité progressive, si.

Conclusion

La double authentification n'est pas un gadget pour paranoïaques : c'est ce qui fait qu'un mot de passe volé, à lui seul, n'ouvre plus rien. Le code par SMS en est la version de base, très nettement mieux que rien, mais dépassée par l'application d'authentification et la clé d'accès, plus sûres et souvent plus confortables. Le bon mouvement n'est pas de tout désactiver : c'est de monter d'un cran, compte par compte, en commençant par ceux qui comptent vraiment.

Chez iatko, nous accompagnons particuliers et petits professionnels dans la sécurisation de leurs comptes du quotidien : choisir la méthode adaptée à vos usages, mettre en place la double authentification sur vos comptes sensibles, prévoir les portes de secours pour ne jamais rester enfermé dehors. Si vous voulez passer vos comptes au niveau supérieur sans craindre de mal faire, n'hésitez pas à nous contacter.