Qu’est-ce qu’une application d’authentification ?

Une application d’authentification génère les codes à six chiffres que vous tapez après votre mot de passe quand la double authentification (2FA) est activée. À la configuration, le service affiche un QR code qui contient une clé secrète. L’app enregistre la clé et calcule, à partir d’elle et de l’heure, un nouveau code toutes les 30 secondes. Elle fonctionne hors ligne, et chaque code ne sert plus à rien un instant plus tard.

Comment les codes sont créés

Le QR code contient une clé secrète que seuls le service et votre téléphone connaissent. Toutes les 30 secondes, l’app combine la clé avec l’heure et transforme le résultat en un nombre à six chiffres. Le service fait le même calcul ; si les nombres correspondent, vous êtes connecté. La méthode est une norme ouverte appelée TOTP (RFC 6238) : c’est pourquoi n’importe quelle app d’authentification fonctionne avec n’importe quel service qui propose « application d’authentification ».

Rien n’est envoyé au téléphone, donc l’app fonctionne aussi en mode avion. C’est aussi pour cela que l’horloge du téléphone compte : si elle a une minute ou plus de décalage, les codes sont en général refusés (comment corriger).

Pourquoi c’est plus sûr que les codes par SMS

• Un SMS passe par le réseau téléphonique. Quelqu’un qui prend le contrôle de votre numéro – par exemple en convainquant votre opérateur d’émettre une nouvelle carte SIM, le « SIM swapping » – reçoit aussi vos codes. La clé d’une app d’authentification reste sur votre téléphone.
• Elle fonctionne à l’étranger, sans réseau et sans numéro de téléphone.
• Après la configuration, la clé ne quitte jamais le téléphone : il n’y a rien à intercepter en chemin.

Ce n’est pas parfait : une fausse page de connexion convaincante peut vous demander votre code et l’utiliser aussitôt. Vérifiez l’adresse avant de taper un code. Les clés d’accès (passkeys) ne peuvent pas être hameçonnées ainsi, quand le service les prend en charge.

Comment la configurer

1. Installez une app d’authentification.
2. Dans les réglages de sécurité du service, cherchez la validation ou la connexion en deux étapes, et choisissez application d’authentification (pas SMS).
3. Scannez le QR code avec l’app. Impossible de scanner ? La plupart des services affichent aussi la clé en texte, à saisir à la main.
4. Tapez le code affiché dans l’app pour confirmer.
5. Gardez les codes de secours que le service affiche – ailleurs que sur votre téléphone. Ils vous permettent d’entrer si vous perdez le téléphone.

Quelle app choisir ?

Elles génèrent toutes les mêmes codes ; la différence, c’est où vos clés sont gardées et comment elles passent sur un nouveau téléphone :

• Google Authenticator peut enregistrer les codes dans votre compte Google, ou fonctionner sans compte. Changer de téléphone.
• Microsoft Authenticator gère aussi les approbations de connexion des comptes Microsoft et professionnels, et sauvegarde dans iCloud ou votre compte Microsoft. Changer de téléphone.
• Les gestionnaires de mots de passe – l’app Mots de passe d’Apple sur iPhone, 1Password, Bitwarden – peuvent garder le code à côté du mot de passe.
• Les apps dédiées comme 2FAS, Ente Auth et Kode gardent les codes à part des mots de passe : une fuite ne livre pas les deux.

Quelques services utilisent leur propre app – Steam Guard, par exemple. Et les approbations d’un geste (« Est-ce bien vous ? Oui ») sont une fonction de l’app de ce service, pas des apps d’authentification en général.

Si vous perdez votre téléphone

La clé n’existe que là où l’app la garde. Si elle était synchronisée ou sauvegardée, vous la retrouvez sur le nouveau téléphone. Sinon, elle est perdue : connectez-vous avec un code de secours ou la récupération de compte du service, puis réactivez la connexion en deux étapes. D’où l’importance des codes de secours.

Kode

Kode est une app iPhone de Peter Theill (1,99 € une seule fois) qui génère ces codes, sans compte, sans publicité et sans connexion réseau. Vos clés sont dans le trousseau de l’iPhone et vous suivent sur un nouvel iPhone grâce au trousseau iCloud, chiffré de bout en bout. Kode peut reprendre vos codes depuis Google Authenticator et d’autres apps : Transférer vos codes vers Kode.