1.2La double authentification (2FA / MFA)
L'essentiel en 30 secondes
- Meilleur rapport effort/protection : la 2FA bloque la quasi-totalité des piratages même quand le mot de passe a fuité.
- Hiérarchie des facteurs : application d'authentification > SMS, et clé physique / passkey au-dessus de tout.
- Messagerie d'abord + codes de secours : sauvegardés À L'ACTIVATION — après la perte du téléphone, c'est trop tard.
Mini-cas filé — Karim blinde ses comptes à Alger
Karim apprend que son ancien mot de passe de messagerie a circulé après une fuite. Heureusement, il vient d'activer la double authentification : l'attaquant, muni du seul mot de passe, reste bloqué au code. Karim installe une application d'authentification sur son téléphone, active la 2FA sur sa messagerie puis sur sa banque, son compte pro et son gestionnaire, et range ses codes de secours dans un lieu sûr.
Suite du cas 1.1 — Karim protège les comptes nettoyés avec un second facteur.
1. Une deuxième preuve d'identité
La double authentification (2FA / MFA) est la mesure de sécurité au meilleur rapport effort/protection. Activée, elle bloque la quasi-totalité des piratages de compte, même si votre mot de passe a été dérobé.
Karim le vérifie : son mot de passe volé ne suffit plus — sans le second facteur, l'attaquant reste à la porte.
2. Tous les facteurs ne se valent pas
Le SMS est acceptable mais imparfait (SIM swapping, interception). L'application d'authentification est recommandée. La clé physique FIDO2 / passkey est le niveau le plus fort, insensible au phishing.
Karim choisit l'application d'authentification pour sa messagerie et garde le SMS uniquement quand il n'a pas d'alternative.
3. Priorité et codes de secours
Priorité absolue : messagerie, banque, comptes pro, gestionnaire de mots de passe lui-même. Sauvegardez les codes de secours À L'ACTIVATION — après la perte du téléphone, c'est trop tard.
Karim imprime ses codes et les range en lieu sûr dès l'activation : son téléphone perdu un jour ne le bloquera pas dehors.
🔎 Exemple concret — 🔎 Exemple concret — Le meilleur rapport effort/protection
Quelques secondes contre un piratage évité.
2FA sur la MESSAGERIE (paramètres de sécurité) → scanner le QR.
Sauvegarder les codes de secours (impression ou gestionnaire).
Enchaîner : banque, compte pro, réseaux sociaux, gestionnaire.
→ les comptes survivent au vol du mot de passeLecture : la messagerie d'abord, car tout s'y réinitialise.
Leçon : appareils de confiance mémorisés = friction minimale.
Vocabulaire de la section
- 2FA / MFA
- Deuxième preuve d'identité après le mot de passe : code, application, clé physique — ce qui sauve quand le mot de passe fuite.
Exemple simple : Le code que Karim doit fournir après son mot de passe pour ouvrir sa messagerie.
Ce que ce n'est pas : un mot de passe seul, même long, sans second facteur.
Réflexe : activée sur la messagerie avant tout le reste.
- Application d'authentification
- Application générant des codes temporaires hors réseau : plus sûre que le SMS.
Exemple simple : L'application installée sur le téléphone de Karim pour valider ses connexions.
Ce que ce n'est pas : un code reçu par SMS interceptable.
Réflexe : le choix recommandé quand la clé physique n'est pas disponible.
- Code SMS
- Code reçu par SMS : mieux que rien, mais vulnérable (SIM swapping, interception).
Exemple simple : Le code par SMS que Karim n'utilise qu'en dernier recours.
Ce que ce n'est pas : une clé physique insensible au phishing.
Réflexe : SMS seulement s'il n'y a pas d'alternative.
- Clé de sécurité (FIDO2 / passkey)
- Clé physique ou passkey : le niveau le plus fort d'authentification, insensible au phishing.
Exemple simple : La clé que l'entreprise de Karim pourra fournir aux comptes les plus sensibles.
Ce que ce n'est pas : une question secrète devinable sur les réseaux sociaux.
Réflexe : le niveau à demander pour les comptes critiques.
- Codes de secours
- Codes de récupération fournis à l'activation : l'issue de secours si le téléphone est perdu.
Exemple simple : Les codes que Karim imprime et range en lieu sûr dès l'activation.
Ce que ce n'est pas : des codes jamais sauvegardés, introuvables après la perte du téléphone.
Réflexe : sauvegardés À L'ACTIVATION, pas après.
En pratique — En pratique — Activer la 2FA là où ça compte
- Installez une application d'authentification sur votre téléphone.
- Activez la 2FA sur votre MESSAGERIE d'abord (paramètres de sécurité du compte) : scannez le QR code avec l'application.
- Sauvegardez les codes de secours proposés (impression ou gestionnaire de mots de passe).
- Enchaînez sur les comptes critiques : banque, compte pro, réseaux sociaux, gestionnaire de mots de passe lui-même.
Script prêt à dire — expliquer la 2FA à un collègue (30 s)
« Active la double authentification sur ta messagerie d'abord : tu installes l'application, tu scannes le QR code, et tu ranges les codes de secours tout de suite. Quelques secondes à chaque nouvelle connexion, et ton mot de passe volé ne suffit plus à te pirater. »
À dire en binôme ; montrer l'écran des paramètres de sécurité du compte.
Modèle copier-coller — plan d'activation 2FA
APPLI INSTALLÉE : _______________
MESSAGERIE 2FA [ ] le _______________ | CODES SECOURS rangés [ ] où _______________
BANQUE [ ] | COMPTE PRO [ ] | GESTIONNAIRE [ ] | RÉSEAUX SOCIAUX [ ]
FACTEUR : appli [ ] | SMS (défaut) [ ] | clé / passkey [ ]Téléphone unique
Vous n'avez qu'un téléphone : installez l'application dessus ET sauvegardez les codes de secours sur papier en lieu sûr — sans eux, la perte du téléphone vous enferme dehors.
Bureau à Alger
Karim active la 2FA sur ses comptes pro avec l'accord de son IT : certains outils d'entreprise imposent déjà leur second facteur, on ne le contourne jamais.
Réticent à la friction
Les services sérieux mémorisent les appareils de confiance : le code n'est demandé qu'aux nouvelles connexions — quelques secondes contre un piratage évité.
Compte partagé de service
Si un compte est partagé : demander à l'IT une vraie solution (comptes nominatifs + clé) plutôt que de faire circuler les codes — le partage annule la protection.
✓ Bonnes pratiques
- Messagerie en premier.
- Appli plutôt que SMS.
- Codes sauvés à l'activation.
✗ Pièges fréquents
- SMS quand l'appli existe.
- Codes jamais sauvegardés.
- 2FA oubliée sur le gestionnaire.
Points clés à retenir
- La 2FA bloque la quasi-totalité des piratages de comptes par mot de passe volé.
- Priorité absolue : messagerie, banque, comptes pro, gestionnaire de mots de passe.
- Application d'authentification > SMS ; clé physique/passkey > tout le reste.
- Sauvegardez les codes de secours À L'ACTIVATION — après la perte du téléphone, c'est trop tard.
Défi 48h — appliquez demain
Activez la 2FA sur votre messagerie (modèle ci-dessus) avec une application d'authentification et rangez vos codes de secours. 15 minutes suffisent.
- Je peux citer la hiérarchie (appli > SMS, clé au-dessus).
- Je sais pourquoi la messagerie passe en premier.
- J'ai activé la 2FA + rangé mes codes de secours.
Questions fréquentes
La 2FA est pénible au quotidien, non ?
Les services sérieux mémorisent les appareils de confiance : le code n'est demandé qu'aux nouvelles connexions. Quelques secondes de friction contre un piratage évité — le calcul est vite fait.
Un attaquant peut-il contourner la 2FA ?
Les kits de phishing modernes savent relayer les codes en temps réel — d'où la supériorité des passkeys/clés FIDO2, insensibles à ce détournement. Même relative, la 2FA reste un progrès massif par rapport au mot de passe seul.
Karim peut activer un second facteur. Lequel choisir en priorité ?