Pourquoi un mot de passe ne suffit pas
Même un mot de passe fort peut être volé. Une fausse page de connexion peut le capturer, et une fuite de données peut exposer un mot de passe que vous avez réutilisé ailleurs. Les attaquants peuvent ensuite essayer ce mot de passe sur d'autres comptes. L'authentification à deux facteurs interpose un contrôle supplémentaire entre un mot de passe volé et votre compte. Le Centre national de cybersécurité du Royaume-Uni (NCSC) recommande d'activer la vérification en deux étapes sur les comptes importants, même lorsqu'ils disposent de mots de passe forts.
Commencez par votre messagerie principale : elle reçoit souvent les liens de réinitialisation de mot de passe pour vos autres services. Protégez ensuite vos comptes financiers, vos outils professionnels, votre stockage cloud et vos comptes sur les réseaux sociaux. La compromission d'un compte peut exposer des documents privés, interrompre votre travail ou permettre à quelqu'un de contacter des amis et des clients en votre nom.
Comment fonctionnent les codes d'authentification à deux facteurs
L'authentification à deux facteurs combine deux types de preuves différents. Avec un mot de passe et un code d'authentification, il s'agit de quelque chose que vous connaissez (votre mot de passe) et de quelque chose que vous possédez (l'accès à l'application d'authentification qui conserve la clé secrète de votre compte). L'authentification multifacteur (MFA) est le terme plus large désignant l'utilisation de plusieurs facteurs.
Un mot de passe à usage unique basé sur le temps, ou TOTP, est un code à courte durée de vie calculé à partir d'une clé de configuration secrète et de l'heure actuelle. Lorsque vous activez la 2FA avec une application d'authentification, le service vous fournit cette clé, généralement sous la forme d'un code QR. Sign In l'utilise pour générer des codes localement ; le service utilise sa propre copie pour les vérifier. Les codes changent généralement toutes les 30 secondes, comme décrit dans la spécification TOTP, RFC 6238.
La clé de configuration est plus importante qu'un code isolé : quiconque la copie peut générer de futurs codes. Gardez les clés de configuration et les codes QR confidentiels. Ne les envoyez pas dans des messages de support, ne partagez pas de captures d'écran et ne les collez pas dans un chat.
Pourquoi choisir Sign In pour vos codes 2FA ?
Pour les personnes qui utilisent un iPhone au quotidien, nous pensons que l'approche la plus sécurisée pour stocker les clés secrètes d'authentification consiste à les garder sous votre contrôle. Nous avons conçu Sign In, notre application d'authentification, autour de ce principe : génération locale des codes, aucune clé secrète d'authentification sur nos serveurs et synchronisation sécurisée uniquement lorsque vous le décidez.
- Vos codes sont générés sur votre appareil. Une fois qu'un compte est configuré, Sign In peut générer ses codes sans connexion Internet.
- Nous ne conservons pas vos données d'authentification sur nos serveurs. Vos clés de configuration, libellés de comptes et codes générés ne sont ni envoyés ni stockés sur les serveurs de Sign In. Nous ne conservons sur nos serveurs aucun ensemble de vos clés secrètes d'authentification qu'un attaquant pourrait y dérober.
- Aucun compte Sign In n'est requis. Vous pouvez utiliser l'application sans créer de compte supplémentaire.
- La sauvegarde reste votre choix. Conservez vos comptes enregistrés dans l'application sur vos appareils ou activez la synchronisation via votre trousseau iCloud personnel.
L'avantage pour la sécurité est concret : vos clés secrètes d'authentification sont conservées à moins d'endroits. La sécurité de votre appareil et celle des services que vous utilisez comptent toujours. Chaque service conserve les informations nécessaires pour vérifier ses propres codes. Notre politique de confidentialité explique le stockage et le traitement des données de Sign In, y compris les demandes facultatives de logos des services.
Synchronisation sécurisée facultative avec le trousseau iCloud d'Apple
Si vous souhaitez que vos comptes enregistrés dans l'application soient disponibles sur plusieurs appareils, activez la sauvegarde facultative des comptes de Sign In. Elle utilise votre trousseau iCloud personnel, le système de synchronisation de trousseau sécurisé d'Apple, pour les maintenir synchronisés sur vos appareils iOS connectés au même compte Apple. Sign In n'envoie aucune copie vers nos propres serveurs.
Apple indique que les mots de passe et les données du trousseau sont chiffrés de bout en bout, y compris sous la protection standard des données iCloud. Vous n'avez pas besoin de la protection avancée des données pour bénéficier de cette protection du trousseau. Apple déclare également qu'elle ne peut pas lire votre trousseau iCloud.
La synchronisation transfère les clés secrètes d'authentification protégées nécessaires pour générer les codes ; chaque appareil calcule les codes en cours de validité. Vous pouvez ainsi utiliser plusieurs appareils sans confier vos clés secrètes aux serveurs de Sign In.
| Emplacement | Ce qui s'y passe |
|---|---|
| Vos appareils | Vos comptes enregistrés dans l'application y sont stockés et les codes y sont générés localement. |
| Votre trousseau iCloud | Lorsque vous activez la sauvegarde des comptes, vos comptes enregistrés dans l'application se synchronisent à l'aide du chiffrement de bout en bout d'Apple. |
| Les serveurs de Sign In | Nous ne stockons pas vos clés secrètes d'authentification, les libellés de vos comptes ni vos codes générés. |
Vous pouvez désactiver la sauvegarde des comptes à tout moment. La désactiver ne supprime pas nécessairement une copie synchronisée existante ; gérez les copies stockées séparément via l'application concernée et les réglages iCloud. La disponibilité de la synchronisation et la récupération dépendent des services d'Apple et des réglages de votre compte.
Codes d'authentification, clés d’accès ou SMS ?
Choisissez une méthode prise en charge par votre service et tenez compte de ses protections :
- Codes d'authentification : Sign In est notre choix recommandé lorsqu'un service prend en charge le TOTP. Les codes fonctionnent hors ligne et ne dépendent pas de la réception de SMS ni du contrôle de votre numéro de téléphone.
- Clés d’accès et clés de sécurité FIDO : Celles-ci offrent une connexion résistante au hameçonnage en liant l'authentification au véritable service. Utilisez-les là où elles sont prises en charge, en particulier pour les comptes sensibles. La FIDO Alliance explique le fonctionnement des clés d’accès.
- SMS ou messages texte : Une étape supplémentaire utile lorsque des options plus sûres ne sont pas disponibles, mais la prise de contrôle de numéros de téléphone et l'interception de messages créent des risques que les codes générés localement évitent.
La 2FA basée sur les codes peut toujours faire l'objet de hameçonnage : un faux site Web peut vous demander votre mot de passe et votre code actuel, puis utiliser les deux immédiatement. Les directives d'authentification du NIST distinguent les codes à usage unique des méthodes résistantes au hameçonnage et décrivent les risques liés au réseau téléphonique. Saisissez les codes uniquement sur le service authentique auquel vous aviez l'intention de vous connecter, et ne lisez jamais un code à une personne qui vous appelle à l'improviste.
Protégez votre premier compte avec Sign In
- Ouvrez les réglages de sécurité du service. Recherchez ses paramètres d'authentification à deux facteurs ou de vérification en deux étapes et choisissez l'option d'application d'authentification, si elle est proposée.
- Ajoutez sa clé de configuration à Sign In. Pour un code QR affiché sur un autre écran, utilisez Add → Scan QR Code. Sur le même téléphone, utilisez la clé manuelle du service avec Add → Enter Setup Key, puis Add Account.
- Terminez sur le site Web ou l'application du service. Saisissez un code en cours de validité affiché dans Sign In et confirmez que la 2FA est activée. Le simple fait d'ajouter un compte à Sign In ne suffit pas à terminer la configuration du service.
- Enregistrez les codes de récupération du service. Conservez-les dans un endroit sûr et accessible si votre téléphone n'est pas disponible.
Pour connaître les étapes propres à chaque service, commencez par notre guide 2FA Google, notre guide 2FA Instagram ou parcourez tous les guides de configuration. Si vous avez besoin d'une application d'authentification pour iPhone, téléchargez Sign In sur l'App Store.
Préparez-vous à la perte d'un téléphone avant qu'elle ne survienne
La synchronisation facultative via le trousseau iCloud peut vous aider à conserver l'accès sur vos appareils, mais elle ne remplace pas les méthodes de récupération fournies par chaque service. Conservez les codes de récupération séparément du compte qu'ils débloquent et vérifiez que vous pouvez y accéder sans le téléphone manquant.
Protégez vos appareils avec un code d'accès fort, maintenez leur logiciel à jour et gardez vos options de récupération de votre compte Apple à jour. Avant d'effacer un ancien téléphone, vérifiez que vos comptes et vos codes fonctionnent sur le nouveau. Comme nous ne conservons pas vos clés secrètes sur nos serveurs, nous ne pouvons pas les récupérer ni restaurer votre sauvegarde iCloud personnelle pour vous.
Questions fréquentes sur la 2FA et Sign In
Ai-je encore besoin de la 2FA avec un mot de passe fort et unique ?
Oui, lorsque vous vous connectez avec un mot de passe et que le service propose la 2FA. Un mot de passe différent pour chaque compte évite qu'une fuite compromette vos autres comptes, tandis que la 2FA ajoute un contrôle distinct si ce mot de passe est volé. Les clés d’accès offrent une autre façon de se connecter, résistante au hameçonnage, lorsque le service les prend en charge.
Est-ce que Sign In stocke mes codes 2FA ?
Sign In génère des codes localement à partir de clés secrètes d'authentification stockées sur vos appareils. Nous ne stockons pas ces clés, les libellés de vos comptes ni les codes générés sur nos serveurs. Si vous activez la sauvegarde des comptes, vos comptes enregistrés dans l'application se synchronisent également via votre trousseau iCloud personnel.
Puis-je utiliser Sign In sans la synchronisation iCloud ?
Oui. La sauvegarde des comptes enregistrés dans l'application est facultative. Vous pouvez générer des codes sur votre appareil sans l'activer. Enregistrez les codes de récupération des services afin d'avoir un autre moyen d'accès si cet appareil est perdu.
Les codes d'authentification fonctionnent-ils sans connexion Internet ?
Oui. Après la configuration, Sign In génère des codes TOTP à l'aide de la clé secrète stockée et de l'horloge de votre appareil. Le site Web ou le service auquel vous vous connectez a généralement encore besoin d'une connexion Internet. Veillez à ce que la date et l'heure de votre appareil soient exactes.
Sources et lectures complémentaires
Ce guide s'appuie sur les directives du NCSC sur la vérification en deux étapes, la RFC 6238 sur le TOTP, les directives d'authentification du NIST et l'aperçu des clés d’accès de la FIDO Alliance. Apple décrit son chiffrement dans l'aperçu de la sécurité des données iCloud et l'avis de confidentialité du trousseau iCloud. Les règles de traitement des données propres à Sign In sont décrites dans notre politique de confidentialité.