Sommaire de l'article
À quoi sert la double authentification ?
Sans double authentification
Votre mot de passe a fuité d'un site
Le pirate le saisit sur votre compte
Il est dans votre compte
Avec double authentification
Votre mot de passe a fuité d'un site
Le site demande un code envoyé sur votre téléphone
Le pirate est bloqué
C'est le principe de la carte bancaire : la carte seule ne suffit pas, il faut aussi le code.
Un mot de passe peut être volé sans que vous vous en aperceviez : fuite de données d'un site, faux site qui imite le vrai pour récupérer vos identifiants (c'est l'hameçonnage), ou mot de passe réutilisé ailleurs. Avec le seul mot de passe, la personne qui l'a obtenu se connecte comme si elle était vous.
La double authentification, aussi appelée « validation en deux étapes », ajoute un second élément au moment de la connexion. Le mot de passe est le premier verrou, et le second élément est le deuxième. Quelqu'un qui a volé votre mot de passe, mais n'a pas votre téléphone, a beaucoup plus de mal à entrer.
Ce second élément prend plusieurs formes :
- Recommandé
Clé d'accès (passkey)
Vous confirmez avec l'empreinte ou le code de déverrouillage de votre téléphone ou ordinateur. Google la propose en premier.
- Recommandé
Application d'authentification
Une application sur votre téléphone affiche un code qui change régulièrement, à saisir après le mot de passe.
- Le plus résistant
Clé de sécurité
Un petit boîtier à brancher ou à approcher de l'appareil. La méthode qui a le mieux résisté dans l'étude Google de 2019.
- À défaut
Code reçu par SMS
Le plus répandu, mais le moins sûr : Google indique que cette méthode peut être piratée. Mieux que rien.
En règle générale : clé d'accès ou application d'authentification d'abord, SMS à défaut.
Ses avantages
Un mot de passe volé ne suffit plus
Un mot de passe peut fuiter d'un site ou être saisi sur un faux site. Avec la double authentification, le voleur doit aussi posséder votre téléphone ou votre clé.
Des chiffres d'éditeurs, de 2019 et de 2023
Dans une étude publiée par Google en 2019, un SMS envoyé sur le téléphone de récupération a bloqué 100 % des robots automatiques, 96 % des attaques d'hameçonnage de masse et 76 % des attaques ciblées. Une invite affichée sur l'appareil a fait mieux : 100 %, 99 % et 90 %. Dans une étude Microsoft de 2023, l'authentification multifacteur réduit de 99,22 % le risque de compromission d'un compte, et de 98,56 % quand les identifiants avaient déjà fuité. Ce sont des chiffres d'éditeurs, anciens : ils donnent un ordre de grandeur, pas une garantie. Je n'en ai pas retenu de plus récent.
Les clés de sécurité résistent le mieux
Dans l'étude Google de 2019, aucune victime d'hameçonnage ciblé parmi les comptes protégés par une clé de sécurité seule.
Protéger sa messagerie protège les autres comptes
Votre adresse e-mail sert généralement à réinitialiser les mots de passe de vos autres comptes. C'est pourquoi je conseille de commencer par elle.
Les cinq comptes, un par un
Commencez par la messagerie, puis suivez l'ordre ci-dessous. Pour Google, Microsoft, Apple et les impôts, les étapes viennent des pages d'aide officielles, lues le 20 octobre 2026 ; pour la banque et les réseaux sociaux, je donne des repères généraux. Les écrans évoluent : les intitulés peuvent différer légèrement chez vous.
Votre messagerie (Google ou Microsoft)
Compte Google (Gmail, Drive). Allez sur myaccount.google.com, ouvrez « Sécurité et connexion », puis « Comment vous connecter à Google », et choisissez « Activer la validation en deux étapes ». Suivez les écrans : Google propose plusieurs méthodes, la clé d'accès en premier.
Compte Microsoft (Outlook, OneDrive). Allez sur account.microsoft.com/security, puis « Manage how I sign in », « Additional security », « Two-step verification » et « Turn on » (intitulés en anglais sur la page d'aide de Microsoft ; en français, ils peuvent varier). Un QR code permet de lier l'application Authenticator. Microsoft annonce qu'elle va abandonner le SMS pour les comptes personnels.
Autre messagerie (fournisseur d'accès, hébergeur) : cherchez l'option dans les paramètres de sécurité ; je n'ai pas consulté leurs pages d'aide. Messagerie professionnelle : l'administrateur décide, voir plus bas.
Votre banque
Je n'ai consulté la page d'aucune banque et je n'en cite aucune : les écrans varient. Ouvrez l'application de votre banque, repérez la rubrique consacrée à la sécurité ou aux paramètres, et regardez quels moyens de confirmation sont actifs. Si vous avez le choix, préférez la confirmation dans l'application au SMS.
Une règle, rappelée par Cybermalveillance.gouv.fr : valider une opération ou donner un code reçu n'est jamais un moyen d'« annuler » ou de « sécuriser » quoi que ce soit. Si un faux conseiller vous le demande, raccrochez et vérifiez vous-même dans l'application de votre banque.
Vos impôts (impots.gouv.fr)
Ici, il n'y a rien à activer : d'après la foire aux questions de la DGFiP, un code à usage unique est envoyé à votre adresse e-mail lors de la connexion. Il est valable 30 minutes ; ne fermez pas la page de connexion pendant que vous le cherchez.
Une « mémoire de connexion » de 6 mois est possible, si vous utilisez le même navigateur et le même appareil, hors navigation privée. Si vous n'avez plus accès à l'adresse e-mail, passez par FranceConnect, puis changez l'adresse.
Conséquence : la sécurité de votre compte impôts dépend de celle de votre messagerie. Voilà une raison de plus de protéger celle-ci en premier.
Vos réseaux sociaux (Facebook, Instagram, LinkedIn)
Les étapes diffèrent d'un réseau à l'autre et changent souvent. Dans les paramètres de votre compte, cherchez la rubrique consacrée à la sécurité ou à la connexion, puis l'option « authentification à deux facteurs » ou « vérification en deux étapes » ; l'intitulé exact varie.
Pour Facebook, la page d'aide officielle indique (je n'en ai lu que le sommaire) trois méthodes (application d'authentification, SMS, clé de sécurité) et des codes de récupération. Choisissez l'application plutôt que le SMS, et conservez les codes de récupération (voir les contraintes plus bas).
Votre stockage en ligne (iCloud, OneDrive, Google Drive)
iCloud. Sur un iPhone, ouvrez « Réglages », touchez votre nom, puis « Connexion et sécurité », et activez l'identification à deux facteurs. Apple envoie ensuite un code à six chiffres sur un appareil ou un numéro de confiance. Apple limite les possibilités de revenir en arrière : lisez sa page d'aide avant d'activer.
OneDrive dépend de votre compte Microsoft, et Google Drive de votre compte Google : ils sont protégés par les étapes de la messagerie ci-dessus.
Attention : les contraintes
Avant de commencer
La double authentification a des contraintes. Elles se préparent en quelques gestes, au calme.
- Une seconde méthode enregistrée
- Les codes de secours imprimés
- Un moment tranquille devant vous
Perdre ou changer de téléphoneDans l'étude Google de 2019, 38 % des utilisateurs n'avaient pas leur téléphone sous la main au moment d'une vérification.
La parade : Transférer l'application avant le changement (ou garder l'ancien appareil le temps de tout basculer) et enregistrer une seconde méthode.
Se bloquer hors du compteChez Microsoft, sans le moyen de contact lié au compte, le mot de passe seul ne suffit pas : la récupération peut prendre jusqu'à 30 jours, et le compte peut être perdu.
La parade : Associer trois éléments de sécurité au compte, comme Microsoft le recommande.
Perdre ses codes de secoursGoogle fournit des codes de secours à 8 chiffres, à imprimer ou à télécharger. Ils ne servent que si on les retrouve.
La parade : Un papier rangé en lieu sûr ou un gestionnaire de mots de passe, pas seulement le téléphone. Ne les donner à personne.
Le SMS piratéGoogle signale que le SMS peut être piraté. Exemple connu : l'échange de carte SIM, où le fraudeur obtient une carte qui reprend votre numéro.
La parade : Quand le choix existe, préférer une application d'authentification ou une clé d'accès.
Un compte professionnelPour un compte de travail, c'est l'administrateur qui impose ou gère la règle, et le parcours Microsoft 365 diffère de celui du compte personnel.
La parade : Lui demander la marche à suivre, sans chercher à contourner la règle.
Un faux message de validationUne notification ou un code reçu sans rien avoir demandé, c'est une tentative. Un « conseiller » qui demande un code ou de « valider » une opération est un escroc (Cybermalveillance.gouv.fr).
La parade : Refuser, puis changer le mot de passe. N'accepter que ce que l'on vient de demander soi-même.
Un faux siteUn faux site peut relayer en direct votre mot de passe et votre code, selon un constat courant des guides de sécurité.
La parade : Taper l'adresse du site soi-même, jamais depuis un lien reçu par message.
Ce n'est pas une protection absolue : dans l'étude Google de 2019, le SMS arrêtait 76 % des attaques ciblées, pas toutes.
En résumé
- Un mot de passe seul ne suffit plus : le voleur a besoin d'un second élément qu'il n'a pas, en principe.
- Commencez par votre messagerie, puis la banque, les impôts, les réseaux sociaux et le stockage en ligne.
- Préparez un plan B : une seconde méthode et des codes de secours rangés hors du téléphone.
Je peux vous aider à la mettre en place
Je vous aide à distance, partout en France ; sur place, je me déplace dans toute l'Île-de-France depuis Magnanville, et ailleurs sur devis. Nous activons ensemble la double authentification sur vos comptes importants, nous choisissons la méthode adaptée, et je vous explique où ranger vos codes de secours.
Le prix est annoncé avant d'intervenir. Le devis est gratuit, sans engagement et valable 30 jours, pour les particuliers comme pour les entreprises.
Vos comptes importants, sécurisés avec vous.
Sources
- Google, « Activer la validation en deux étapes » (page d'aide non datée, lue le 20/10/2026). Lire la page
- Microsoft, page d'aide sur la vérification en deux étapes, en anglais (non datée, lue le 20/10/2026). Lire la page
- Apple, page d'aide sur l'identification à deux facteurs (non datée, lue le 20/10/2026). Lire la page
- DGFiP, foire aux questions « Réussir l'authentification en deux étapes » (document non daté, lu le 20/10/2026).
- Cybermalveillance.gouv.fr, « L'hameçonnage au faux numéro d'opposition bancaire », publié le 03/12/2025, mis à jour le 20/10/2026 (lu le 20/10/2026). Lire la fiche
- Google, « New research: How effective is basic account hygiene at preventing hijacking », 17/05/2019 (lu le 20/10/2026). Lire l'étude
- Microsoft Research, « How effective is multifactor authentication at deterring cyberattacks? », mai 2023 (lu le 20/10/2026). Lire la publication
- Meta, page d'aide Facebook sur l'authentification à deux facteurs, sommaire seul lu le 20/10/2026. Lire la page