Double authentification (2FA) : le guide complet 2026
Toutes les méthodes ne se valent pas, et la plus pratique d'entre elles annule discrètement le bénéfice du second facteur. Voici comment activer la 2FA correctement, dans le bon ordre.
Ce que la 2FA protège réellement
Un mot de passe, aussi long soit il, peut fuir sans que vous fassiez la moindre erreur : le site où vous êtes inscrit se fait pirater, un logiciel espion traîne sur une machine, un site contrefait vous le fait saisir. La double authentification ajoute une seconde preuve, indépendante de la première, pour que la perte du mot de passe ne suffise plus à ouvrir le compte.
Elle ne remplace pas un bon mot de passe, elle limite les dégâts du jour où celui ci circule. Les deux mesures sont complémentaires, et notre guide comment créer un mot de passe fort couvre la première.
Les cinq méthodes, classées
SMS
Faible✓ Disponible partout, aucune installation, compris de tous.
⚠︎ SIM swapping, interception, dépendance au réseau et à l'opérateur.
✓ Simple, sans matériel supplémentaire.
⚠︎ Si la boîte mail tombe, tout tombe avec elle. Ce n'est pas un vrai second facteur.
Application TOTP
Solide✓ Hors ligne, gratuit, standardisé (RFC 6238), accepté par la quasi totalité des services.
⚠︎ Reste hameçonnable : un site contrefait peut vous demander le code et le rejouer aussitôt.
Clé physique FIDO2
Très solide✓ Résiste au hameçonnage par conception : la clé vérifie le domaine avant de répondre.
⚠︎ Achat de matériel, et il en faut deux (une de secours) pour éviter le blocage définitif.
Passkey
Très solide✓ Remplace le mot de passe et le second facteur en une étape, résistant au hameçonnage.
⚠︎ Couverture encore partielle des sites, récupération souvent liée à un compte Apple ou Google.
Pour la plupart des gens, la bonne réponse en 2026 est une application TOTP sur les comptes courants, et une clé physique ou une passkey sur les deux ou trois comptes qui font vraiment mal. Le sujet des passkeys est détaillé dans passkeys : ce qu'elles ne remplacent pas.
L'erreur qui annule votre second facteur
Mot de passe et code TOTP dans le même coffre = un seul facteur
La majorité des gestionnaires proposent aujourd'hui de générer vos codes à six chiffres directement à côté du mot de passe. C'est confortable, et cela réunit dans un même contenant les deux éléments censés être séparés. Un coffre ouvert sur une machine compromise, un mot de passe maître deviné, une session laissée déverrouillée : dans chacun de ces cas l'attaquant obtient les deux facteurs d'un coup. Le principe même de la 2FA est que les deux preuves ne tombent pas ensemble.
C'est la raison pour laquelle Kyber ne stocke pas vos codes TOTP et n'a pas prévu de le faire. Ce n'est pas une fonctionnalité manquante, c'est un choix : le coffre garde les mots de passe, une application dédiée garde les seconds facteurs. Utilisez une application d'authentification indépendante, de préférence libre et fonctionnant hors ligne, sur votre téléphone.
Les codes de récupération, le point aveugle
Quand vous activez la 2FA, le service vous affiche une liste de codes de secours à usage unique. Ils permettent de reprendre la main si vous perdez votre téléphone / autrement dit, ils contournent entièrement la double authentification. Ils méritent donc le même soin que le mot de passe maître.
Pour la seconde option, notre chiffreur de fichiers en ligne fait le travail sans rien envoyer nulle part : le fichier obtenu est illisible sans le mot de passe, y compris pour nous.
Par où commencer, concrètement
Votre boîte mail
Elle réinitialise tous les autres comptes. Activez y une application TOTP, ou une clé physique si le service le permet.
Banque et impôts
Souvent imposé par SMS sans alternative. Acceptez le SMS faute de mieux, mais vérifiez si une application dédiée est proposée.
Comptes professionnels
Messagerie d'entreprise, accès distants, outils d'administration. Ce sont les cibles à valeur pour les attaquants.
Réseaux sociaux et boutiques
Moins critiques, mais liés à votre identité et à vos moyens de paiement enregistrés.
Si vous découvrez au passage qu'un de vos comptes figure dans une fuite connue, suivez le plan de que faire après une fuite de données.
Questions fréquentes
La double authentification par SMS est-elle vraiment dangereuse ?↓
Elle vaut infiniment mieux que pas de second facteur du tout, mais c'est la méthode la plus faible. Un attaquant peut obtenir un duplicata de votre carte SIM auprès de l'opérateur en se faisant passer pour vous, technique connue sous le nom de SIM swapping, ou intercepter le message. Activez le SMS si c'est la seule option proposée, remplacez le par une application TOTP dès que le service le permet.
Faut-il stocker ses codes 2FA dans son gestionnaire de mots de passe ?↓
C'est très pratique et cela réduit réellement votre sécurité. Si le même coffre contient le mot de passe et le générateur de code, quiconque ouvre ce coffre détient les deux facteurs : vous êtes revenu à une authentification simple avec une étape supplémentaire. Gardez vos codes TOTP dans une application séparée, sur un appareil distinct si possible.
Où conserver les codes de récupération ?↓
Hors ligne et chiffrés. Imprimez les et rangez les avec vos papiers importants, ou chiffrez le fichier de codes avec un outil comme notre chiffreur de fichiers et conservez le sur une clé USB. Ne les laissez ni dans un email, ni dans un fichier texte sur le bureau, ni dans le même coffre que le reste : ce sont des clés de contournement complet de la 2FA.
Les passkeys remplacent elles la double authentification ?↓
Une passkey combine en une seule étape la possession de l'appareil et son déverrouillage biométrique, donc elle joue le rôle des deux facteurs. Sur les sites qui la proposent, c'est la meilleure option disponible. Elle ne couvre encore qu'une minorité de services, et pose ses propres questions de récupération et de dépendance à un écosystème.
Sur quels comptes activer la 2FA en priorité ?↓
Sur votre boîte mail avant tout : elle sert à réinitialiser les mots de passe de tous les autres services, elle est donc la clé de voûte. Ensuite la banque, les impôts, le gestionnaire de mots de passe s'il en propose, puis les comptes professionnels et les réseaux sociaux liés à votre identité.
Conclusion
La double authentification est la mesure au meilleur rapport effort sur bénéfice de toute l'hygiène numérique : une dizaine de minutes par compte, une fois pour toutes. Retenez deux règles. Une application TOTP plutôt qu'un SMS partout où c'est possible. Et surtout, ne rangez pas les deux facteurs au même endroit / sinon il n'en reste qu'un.
Le premier facteur, lui, mérite un vrai coffre
Kyber garde vos mots de passe chiffrés sur votre disque, sans compte ni cloud. Gratuit jusqu'à 10 mots de passe.