L’authentification à deux facteurs expliquée : quelle méthode de 2FA est la plus sûre ?

Qu’est-ce que l’authentification à deux facteurs ?

L’authentification à deux facteurs (2FA) est une seconde vérification, après votre mot de passe, qui prouve que c’est bien vous qui vous connectez ^[4]. Le National Cyber Security Centre (NCSC) britannique note qu’on l’appelle aussi validation en deux étapes (2SV) ou authentification multifacteur (MFA) ^[4]. La seconde étape fait appel à quelque chose auquel vous seul avez accès, comme votre téléphone ou une clé de sécurité ^[4].

La MFA combine au moins deux types de facteurs différents : quelque chose que vous savez (un mot de passe ou un code PIN), quelque chose que vous possédez (un téléphone ou une clé) ou quelque chose que vous êtes (une empreinte digitale ou un visage) ^[1]. Si un criminel vole votre mot de passe, il ne peut toujours pas se connecter sans le second facteur ^[1].

La 2FA est-elle vraiment efficace ?

Oui. Une étude de Microsoft Research publiée en 2023 sur des comptes Azure Active Directory présentant une activité suspecte a montré que la MFA réduisait le risque de compromission de 99,22 % sur l’ensemble de la population. Pour les comptes dont les identifiants avaient déjà fuité, la réduction atteignait 98,56 % ^[8]. Plus de 99,99 % des comptes protégés par MFA sont restés sûrs pendant la période étudiée ^[8]. Le NCSC estime que n’importe quelle 2SV vaut mieux que rien, même par SMS ^[4].

L’ampleur des attaques contre les mots de passe l’explique. Microsoft a indiqué avoir observé environ 7.000 attaques de mots de passe par seconde en 2024, soit plus du double du rythme de 2023 ^[11].

Quelle méthode de 2FA est la plus sûre ?

Toutes les 2FA ne se valent pas. La CISA, l’agence américaine de cybersécurité, classe les méthodes de la plus robuste à la plus faible selon leur résistance aux attaques courantes ^[1] :

1. MFA résistante au phishing : FIDO/WebAuthn (clés de sécurité et passkeys) et cartes à puce fondées sur une PKI. La CISA en fait la référence absolue ^[1].
2. Codes d’application ou push avec correspondance de nombres : codes à usage unique issus d’une application d’authentification ou d’un jeton matériel, ou notifications push où vous saisissez un nombre affiché sur l’écran de connexion ^[1].
3. Push sans correspondance de nombres : une simple demande « Approuver ? », exposée au bombardement de notifications push ^[1].
4. Codes par SMS ou appel vocal : la CISA estime qu’ils ne devraient servir qu’en dernier recours ^[1].

La CISA affirme que FIDO/WebAuthn est la seule authentification résistante au phishing largement disponible ^[1]. Ses recommandations de 2025 sur la sécurité mobile le répètent : les codes d’authentification valent mieux que le SMS, mais restent vulnérables au phishing, et seule l’authentification FIDO y résiste ^[2]. Le NCSC est parvenu à la même conclusion en avril 2026. Il a jugé toutes les méthodes de MFA traditionnelles, y compris les codes SMS, les codes par e-mail, les codes d’application et les approbations push, intrinsèquement vulnérables au phishing ^[5].

Qu’est-ce qui rend une méthode résistante au phishing ?

Le NIST définit la résistance au phishing comme la capacité du protocole de connexion à empêcher la divulgation de secrets à un site imposteur sans dépendre de la vigilance de l’utilisateur ^[3]. Aucune méthode dans laquelle vous lisez un code pour le saisir ne peut y prétendre, car vous pourriez le taper sur un faux site ^[3]. Les méthodes FIDO sont liées au site authentique, si bien qu’un site d’imitation ne peut pas s’en servir ^[5].

Comment se comparent les principales méthodes de 2FA ?

Le tableau ci-dessous résume la protection qu’offre chaque méthode contre les principales attaques, d’après le classement de la CISA et les lignes directrices du NIST. La CISA regroupe ces attaques en quatre types ^[1] :

• Phishing : une fausse page de connexion recueille votre mot de passe et votre code à usage unique ^[1].
• Bombardement de notifications push : un attaquant vous inonde de demandes d’approbation jusqu’à ce que vous en acceptiez une ^[1].
• Exploitation de SS7 : des failles du système de signalisation du réseau téléphonique permettent à des attaquants d’obtenir des codes envoyés par SMS ou par appel vocal ^[1].
• SIM swap : des criminels persuadent un opérateur mobile de transférer votre numéro sur leur carte SIM ^[1].

Pourquoi les codes SMS sont-ils considérés comme faibles ?

Les codes par SMS sont la forme de 2FA la plus répandue, et le NCSC note qu’ils sont l’option par défaut sur la plupart des services ^[4]. Ce sont aussi les plus faciles à voler.

• Les messages ne sont pas chiffrés. La CISA souligne que toute personne ayant accès au réseau d’un opérateur de télécommunications et interceptant des SMS peut les lire ^[2].
• Les numéros peuvent être détournés. Lors d’un SIM swap, les criminels se font passer pour la victime, soudoient un employé de l’opérateur ou piratent ses systèmes pour transférer un numéro sur leur carte SIM ^[6]. Ils reçoivent alors les SMS de la victime, y compris les codes 2FA et les messages de réinitialisation de mot de passe ^[6].
• Ils peuvent être hameçonnés. Comme tout code saisi à la main, un code SMS peut être entré sur un faux site ^[3].

Les pertes sont bien réelles. L’Internet Crime Complaint Center du FBI a reçu 320 plaintes pour SIM swap entre janvier 2018 et décembre 2020, pour des pertes ajustées d’environ 12 millions de dollars. Pour la seule année 2021, il a reçu 1.611 plaintes, avec plus de 68 millions de dollars de pertes ^[6].

Les lignes directrices du NIST de 2025 classent les codes SMS et vocaux parmi les authentificateurs restreints. Les services qui les utilisent doivent proposer au moins une alternative non restreinte et devraient surveiller les signaux de risque, comme un changement récent de carte SIM ou une portabilité du numéro ^[3]. Le NIST précise aussi que l’e-mail ne doit pas être utilisé pour l’authentification hors bande ^[3]. Le NCSC est plus souple pour les particuliers : il cite l’e-mail comme seconde étape possible s’il s’agit d’un compte différent de celui qui sert à réinitialiser votre mot de passe ^[4].

Faut-il quand même utiliser le SMS s’il est la seule option ?

Oui. Le NCSC indique que les SMS ne sont pas le type de 2SV le plus sûr, mais qu’ils représentent tout de même un net progrès par rapport à un mot de passe seul ^[4]. La CISA qualifie le SMS de dernier recours, mais admet qu’il peut servir de solution temporaire ^[1].

Comment fonctionnent les applications d’authentification et les notifications push ?

La plupart des applications d’authentification génèrent des mots de passe à usage unique basés sur le temps (TOTP), définis dans la norme Internet RFC 6238 ^[7]. Lors de la configuration, l’application et le service partagent une clé secrète. L’application combine ensuite cette clé avec l’heure courante pour produire un code court qui change à chaque intervalle de temps, 30 secondes par défaut ^[7]. Le code étant calculé sur le téléphone, les applications d’authentification n’ont pas besoin de réseau mobile ^[4]. Elles sont donc utiles là où la couverture mobile ou la réception des SMS est peu fiable.

Les applications d’authentification résistent au SIM swapping et aux attaques SS7 ^[1], et l’étude de Microsoft a montré que des applications dédiées comme Microsoft Authenticator faisaient mieux que le SMS ^[8]. Leur point faible est le phishing : un faux site peut demander le code et le relayer immédiatement ^[1][2].

Qu’est-ce que la correspondance de nombres ?

La 2FA par push envoie une demande d’approbation sur votre téléphone. Sans correspondance de nombres, il suffit d’appuyer sur Accepter, ce qui rend possible le bombardement de notifications. Avec la correspondance de nombres, vous devez saisir dans l’application un nombre affiché sur l’écran de connexion, ce qui ajoute une protection contre les approbations à l’aveugle ^[1]. La CISA recommande la correspondance de nombres aux organisations qui ne peuvent pas encore utiliser une MFA résistante au phishing ^[1].

Quelle place pour les clés de sécurité et les passkeys ?

Les clés de sécurité et les passkeys reposent toutes deux sur les normes FIDO et la cryptographie à clé publique ^[10]. Une clé de sécurité est un petit appareil physique qui se connecte en USB ou en NFC. Une passkey peut résider sur votre téléphone ou votre ordinateur et se déverrouille avec votre empreinte, votre visage ou votre code PIN ^[10].

Pour les personnes très exposées aux attaques ciblées, la CISA estime que les clés de sécurité FIDO matérielles sont l’option la plus efficace lorsque c’est possible, les passkeys FIDO constituant une alternative acceptable ^[2]. Le NCSC affirme que les passkeys sont aussi sûres, voire plus sûres, que la MFA traditionnelle face à toutes les attaques courantes contre les identifiants observées en conditions réelles ^[5]. Il les recommande comme premier choix partout où les services les proposent ^[12].

Une passkey peut aussi rendre inutile une seconde étape distincte. Pour un compte Google, la connexion par passkey contourne l’étape de validation en deux étapes (2-Step Verification) ^[9]. Le NCSC indique que lorsque l’appareil vérifie l’utilisateur, un identifiant FIDO2 constitue à lui seul une authentification multifacteur ^[5].

Comment configurer la 2FA en toute sécurité ?

1. Commencez par la messagerie. Le NCSC conseille d’activer la 2SV sur les comptes importants, en particulier la messagerie, car l’accès à votre boîte de réception peut permettre à des criminels de réinitialiser vos autres mots de passe ^[4].
2. Choisissez la méthode la plus robuste proposée. Privilégiez une passkey ou une clé de sécurité, puis une application d’authentification, et n’utilisez le SMS que si rien d’autre n’est disponible ^[1][2].
3. Supprimez la solution de repli la plus faible. La CISA note que l’inscription d’une application d’authentification ne retire pas automatiquement le SMS du compte, ce qui laisse une solution de repli faible. Désactivez le SMS dès qu’une méthode plus robuste fonctionne ^[2].
4. Conservez des codes de secours. Rangez les codes de secours à usage unique en lieu sûr, et générez-en de nouveaux une fois que vous les avez utilisés ^[4].
5. Ajoutez une seconde méthode. Le NCSC recommande une option de secours au cas où votre seconde étape principale serait indisponible ^[4].
6. Protégez votre numéro de téléphone. La CISA suggère de définir un code PIN auprès de votre opérateur mobile ^[2]. Le FBI conseille de ne jamais communiquer votre code PIN ou votre mot de passe à des interlocuteurs qui vous appellent sans y avoir été invités ^[6].
7. N’approuvez jamais une demande que vous n’avez pas initiée. Des demandes push inattendues peuvent signaler une tentative de bombardement de notifications ^[1].

Soyez attentif aux signaux d’alerte. Selon le FBI, une perte soudaine du réseau mobile ou du service SMS peut indiquer un SIM swap. Dans ce cas, contactez immédiatement votre opérateur et changez les mots de passe de vos comptes ^[6].

Qu’est-ce qui change dans la 2FA ?

Les recommandations officielles délaissent les codes au profit des méthodes résistantes au phishing. Les lignes directrices du NIST de 2025 imposent aux services de niveau d’assurance AAL2 de proposer au moins une option résistante au phishing ^[3]. Le NIST précise aussi qu’il pourrait revoir le statut restreint des codes transmis par le réseau téléphonique en fonction de l’évolution des menaces ^[3]. En avril 2026, le NCSC a déclaré qu’il recommanderait les passkeys partout où un service les prend en charge, et la 2SV ailleurs ^[5].

Pour la plupart des gens, la démarche pratique au 3 novembre 2026 comporte trois étapes. Activez la 2FA partout où elle est proposée. Remplacez le SMS par une application d’authentification lorsque c’est possible. Puis faites passer vos comptes les plus importants aux passkeys ou à une clé de sécurité. Chaque étape ferme une catégorie d’attaques que la méthode plus faible laisse ouverte ^[1][5].