Vous recevez un SMS avec un code à six chiffres après avoir tapé votre mot de passe. Ce geste, devenu banal sur les sites bancaires, porte un nom : la double authentification. Elle ajoute une deuxième preuve d’identité pour vérifier que c’est bien vous qui tentez de vous connecter. Longtemps perçue comme une option réservée aux profils techniques, la double authentification s’impose désormais sur la majorité des services en ligne, des réseaux sociaux aux messageries professionnelles.
Attaques ciblant la double authentification : ce que les guides classiques omettent
La plupart des articles sur la 2FA s’arrêtent au même constat : activer un deuxième facteur bloque la grande majorité des tentatives de piratage. C’est vrai, mais incomplet.
Cisco Talos rapporte que la moitié de ses interventions en 2025 impliquent un contournement de MFA. Les attaquants ne cherchent plus à deviner votre mot de passe. Ils ciblent directement le deuxième facteur, parce qu’ils savent qu’il existe.
Deux techniques reviennent souvent. La première, appelée « reverse proxy », consiste à glisser un faux site entre vous et le vrai service. Vous entrez votre code, le site pirate le transmet en temps réel au serveur légitime et récupère votre session. La seconde, baptisée « MFA fatigue », bombarde votre téléphone de notifications d’approbation jusqu’à ce que vous en validiez une par lassitude ou par erreur.
Ces méthodes fonctionnent surtout contre les SMS et les notifications push classiques. Elles échouent face à des mécanismes plus récents, liés cryptographiquement au site sur lequel vous vous connectez.
Passkeys et FIDO2 : la prochaine génération d’authentification résistante au phishing
Avez-vous déjà déverrouillé votre téléphone pour valider une connexion sur un site, sans taper le moindre code ? C’est le principe des passkeys. Au lieu d’un code temporaire, votre appareil utilise une clé cryptographique unique, stockée localement. Elle ne quitte jamais votre téléphone ou votre ordinateur.
Le protocole derrière cette technologie s’appelle FIDO2 (ou WebAuthn). Son fonctionnement repose sur une idée simple : la clé de sécurité vérifie automatiquement le domaine du site. Si un site frauduleux tente de se faire passer pour votre banque, la clé refuse de s’activer. Le reverse proxy décrit plus haut devient inefficace.
Adoption encore limitée mais en forte progression
Selon le rapport Secure Sign-in Trends 2025 d’Okta, la part d’utilisateurs disposant d’authentificateurs résistants au phishing a augmenté de 63 % en un an, passant d’environ 8,6 % à 14 % entre 2024 et 2025. La tendance est nette, même si ces méthodes restent minoritaires dans les organisations.
Les passkeys ne remplacent pas encore le SMS partout. Leur déploiement dépend du service utilisé. Google, Apple et Microsoft les proposent déjà. Beaucoup de banques et d’administrations n’ont pas encore franchi le pas.
Choisir sa méthode de double authentification : comparatif pratique
Toutes les formes de 2FA ne se valent pas. Voici un aperçu des principales options, classées par niveau de protection croissant.
| Méthode | Principe | Résistance au phishing |
|---|---|---|
| SMS | Code envoyé par message texte | Faible (interception possible, vulnérable au reverse proxy) |
| Application d’authentification (TOTP) | Code temporaire généré par une app (Google Authenticator, Authy) | Moyenne (vulnérable au reverse proxy, mais pas à l’interception SMS) |
| Notification push | Approbation sur l’écran du téléphone | Moyenne (vulnérable à la MFA fatigue) |
| Passkey / FIDO2 | Clé cryptographique liée au domaine | Élevée (le phishing classique échoue) |
| Clé physique (YubiKey) | Dispositif USB ou NFC dédié | Élevée |
Un code SMS reste bien meilleur qu’un simple mot de passe. Si votre service ne propose que cette option, activez-la sans hésiter. Passer du SMS à une application TOTP élimine le risque d’interception du message, ce qui représente déjà un gain concret.
Critères pour choisir
- Vérifiez d’abord ce que propose le service concerné : tous n’offrent pas les passkeys ni les clés physiques
- Privilégiez une application d’authentification plutôt que le SMS dès que le choix existe, surtout pour la messagerie et les réseaux sociaux
- Pour les comptes à haut risque (banque, cloud professionnel, administration), une clé FIDO2 ou une passkey offre la meilleure protection disponible
Réglementation européenne et double authentification obligatoire
La directive européenne sur les services de paiement (DSP2) impose déjà l’authentification forte pour les opérations bancaires sensibles : virements, ajouts de bénéficiaires, paiements en ligne au-delà d’un certain seuil. Concrètement, votre banque n’a pas le choix : elle doit vous demander au moins deux facteurs distincts.
Le règlement eIDAS 2.0 prévoit un portefeuille d’identité numérique européen (EUDI Wallet), dont le déploiement est attendu d’ici 2027. Ce portefeuille reposera sur des mécanismes d’authentification forte intégrés, ce qui devrait généraliser l’usage de facteurs résistants au phishing bien au-delà du secteur bancaire.
Pour les entreprises, la directive NIS 2 renforce les obligations en matière de cybersécurité. L’activation de la MFA y est explicitement mentionnée comme mesure de base pour protéger les accès aux systèmes d’information critiques.
Activer la 2FA sur ses comptes en cinq minutes
La démarche est presque identique d’un service à l’autre. Rendez-vous dans les paramètres de sécurité de votre compte. Cherchez la rubrique « connexion », « sécurité » ou « vérification en deux étapes ».
- Sélectionnez la méthode proposée (SMS, application, passkey) et suivez les étapes de configuration
- Enregistrez les codes de récupération fournis par le service : ils permettent de retrouver l’accès si vous perdez votre téléphone
- Testez la connexion depuis un autre appareil pour vérifier que tout fonctionne avant de refermer les paramètres
- Répétez l’opération sur vos comptes principaux : messagerie, réseaux sociaux, services cloud
Commencez toujours par la messagerie email, car c’est elle qui sert à réinitialiser les mots de passe de tous vos autres comptes. Si un attaquant accède à votre boîte mail, il peut prendre le contrôle de l’ensemble de vos services.
La double authentification par SMS reste un filet de sécurité utile, même si des méthodes plus robustes existent. L’adoption des passkeys et du protocole FIDO2 progresse rapidement, portée par les grandes plateformes et la réglementation européenne. Le geste le plus efficace reste le plus simple : activer la 2FA sur sa messagerie principale, puis élargir progressivement à chaque compte qui le propose.
