Au­then­ti­fi­ca­tion à deux facteurs : voici comment sécuriser vos comptes

L’au­then­ti­fi­ca­tion à deux facteurs (2FA) est une procédure de sécurité qui renforce l’accès à un compte en exigeant, en plus du mot de passe, une deuxième preuve d’identité, par exemple un code sur le smart­phone. Cela renforce con­si­dé­ra­ble­ment la pro­tec­tion contre les accès non autorisés, même si votre mot de passe tombe entre de mauvaises mains.

Qu’est-ce que l’au­then­ti­fi­ca­tion à deux facteurs ?

L’iden­ti­fi­ca­tion à deux facteurs combine deux com­po­sants dif­fé­rents et in­dé­pen­dants pour valider l’identité d’un uti­li­sa­teur. Retirer de l’argent ou payer au su­per­mar­ché en sont des exemples du quotidien : en plus de présenter la carte bancaire, le code con­fi­den­tiel est demandé. La tran­sac­tion n’est autorisée que si ces deux éléments sont combinés. Le même principe peut aussi être utilisé pour sécuriser les comptes emails, les comptes sur les boutiques en ligne ou sur bien d’autres portails Web.

Mal­heu­reu­se­ment, une grande majorité des comptes est aujourd’hui encore protégée par un seul mot de passe. Une fois qu’ils l’ont obtenu, les hackers peuvent ra­pi­de­ment accéder à des emails sensibles, à des données de compte ou à des fichiers per­son­nels. Pour éviter cela, de plus en plus de four­nis­seurs tels que Dropbox, Google ou Amazon proposent l’au­then­ti­fi­ca­tion à deux facteurs comme mesure de sécurité sup­plé­men­taire. Cette procédure peut varier con­si­dé­ra­ble­ment, car les éléments d’au­then­ti­fi­ca­tion varient selon le service utilisé.

Comment fonc­tionne l’iden­ti­fi­ca­tion à deux facteurs ?

Les com­po­sants et facteurs requis pour l’accès peuvent être nombreux et variés. Les facteurs les plus im­por­tants et les plus répandus pour la double au­then­ti­fi­ca­tion sont les suivants :

• Token (un iden­ti­fiant) ou carte d’accès
• PIN (Personal Iden­ti­fi­ca­tion Number)
• TAN (numéro de tran­sac­tion)
• Mot de passe
• Ca­rac­té­ris­tiques bio­mé­triques (par ex. : les em­preintes digitales, le visage, la voix ou l’iris).

Tous ces facteurs reposent sur la pos­ses­sion ou la con­nais­sance d’un élément per­met­tant l’iden­ti­fi­ca­tion. L’exemple du dis­tri­bu­teur au­to­ma­tique de billets en est une bonne il­lus­tra­tion. L’in­con­vé­nient, cependant, est que la personne autorisée doit toujours avoir sur elle un iden­ti­fiant ou une carte. Dans le cas contraire, l’accès peut être bloqué (par exemple, si le code PIN est saisi plusieurs fois de manière erronée ou en cas de perte de la carte).

Pour cette raison, l’au­then­ti­fi­ca­tion à deux facteurs sur le Web utilise de plus en plus des méthodes d’iden­ti­fi­ca­tion ne né­ces­si­tant pas les iden­ti­fiants clas­siques ou qui mi­ni­mi­sent au moins le risque de perte : en général, le système génère un code au­to­ma­tique (OTP) en plus du mot de passe. Celui-ci est envoyé à l’uti­li­sa­teur sur son smart­phone, soit par SMS, email ou via une ap­pli­ca­tion d’au­then­ti­fi­ca­tion spé­ci­fique. Cette étape permet de s’assurer que seule la personne en pos­ses­sion de ce code de sécurité sup­plé­men­taire puisse accéder au compte. De plus, il n’est valide qu’une seule fois et perd sa validité après un certain laps de temps, ga­ran­tis­sant la sécurité du compte.

L’au­then­ti­fi­ca­tion à deux facteurs sans token ou carte d’accès offre aussi la pos­si­bi­lité de définir des méthodes se­con­daires pour recevoir le code de sécurité : si par exemple, l’accès à l’ap­pli­ca­tion n’est pas possible, on peut spécifier qu’un SMS soit envoyé ou que l’uti­li­sa­teur autorisé puisse recevoir un appel avec l’annonce au­to­ma­tique du code.

Pourquoi l’au­then­ti­fi­ca­tion à deux facteurs est-elle im­por­tante ?

Le risque zéro n’existe pas lorsque l’on parle de la sé­cu­ri­sa­tion d’un compte ; alors pourquoi mettre en place une double au­then­ti­fi­ca­tion ? La réponse est évidente : cette méthode ajoute un niveau sup­plé­men­taire au processus d’iden­ti­fi­ca­tion. C’est un second obstacle que les personnes non au­to­ri­sées doivent surmonter. De plus, la plupart des attaques de phishing échouent face à l’iden­ti­fi­ca­tion à deux facteurs.

Les sta­tis­tiques de la cy­ber­cri­mi­na­lité restent préoc­cu­pantes. Les attaques de phishing, mais aussi l’usur­pa­tion d’identité et le piratage de comptes touchent de plus en plus de par­ti­cu­liers et d’en­tre­prises. Les pirates utilisent souvent des données d’accès volées ou des mots de passe peu sécurisés pour obtenir des in­for­ma­tions sensibles. C’est pré­ci­sé­ment là qu’in­ter­vient l’au­then­ti­fi­ca­tion à deux facteurs : elle offre un niveau de sécurité sup­plé­men­taire qui rend beaucoup plus difficile l’accès à un compte, même si le mot de passe est connu. La 2FA n’est donc pas un simple « plus », mais une pro­tec­tion in­dis­pen­sable contre l’usur­pa­tion d’identité et autres cy­ber­crimes.

Quels sont les in­con­vé­nients de l’au­then­ti­fi­ca­tion à deux facteurs ?

Le niveau de sécurité augmente grâce à l’au­then­ti­fi­ca­tion à deux facteurs et apporte donc un avantage certain. Cependant, en cas de né­gli­gence ou de dé­fail­lance du système, les uti­li­sa­teurs s’exposent au risque de ne plus pouvoir accéder à leur propre compte. En effet, cette méthode constitue un obstacle sup­plé­men­taire non seulement pour les pirates in­for­ma­tiques, mais aussi pour eux-mêmes. Étant donné que la double au­then­ti­fi­ca­tion pour la sé­cu­ri­sa­tion des comptes sur le Web est nor­ma­le­ment effectuée via une com­bi­nai­son de savoir (mot de passe, etc.) et de matériel (smart­phone sur lequel le code de sécurité est reçu), la perte du smart­phone par exemple, entraîne donc une exclusion tem­po­raire de l’uti­li­sa­teur. Des problèmes tech­niques avec les ap­pli­ca­tions d’au­then­ti­fi­ca­tion ne peuvent pas non plus être to­ta­le­ment exclus.

Heu­reu­se­ment, dans ce type de situation, la plupart des services proposent une solution de secours, comme l’envoi du code d’au­then­ti­fi­ca­tion à un numéro de téléphone al­ter­na­tif. Un code d’urgence (écrit ou imprimé) ou une adresse email de secours sont parfois demandés pour rétablir l’accès au compte. Ainsi, ce dé­sa­van­tage apparent peut être largement re­la­ti­visé. Lors de la mise en place du système, pensez bien à utiliser ces mesures de sécurité et notez soig­neu­se­ment les in­for­ma­tions pour l’accès d’urgence. Cela permet de réduire con­si­dé­ra­ble­ment le risque d’auto-exclusion.

Quelles sont les méthodes et les outils 2FA dis­po­nibles ?

Il existe dif­fé­rentes méthodes et dif­fé­rents outils pour mettre en œuvre l’au­then­ti­fi­ca­tion à deux facteurs. L’une des variantes les plus courantes consiste à utiliser une ap­pli­ca­tion d’au­then­ti­fi­ca­tion qui génère des mots de passe à usage unique basés sur le temps (TOTP). Ces ap­pli­ca­tions fonc­tion­nent également sans connexion Internet et offrent un bon équilibre entre sécurité et sim­pli­cité d’uti­li­sa­tion.

Une autre méthode est la vé­ri­fi­ca­tion par SMS, qui consiste à envoyer un code sur le smart­phone. Cette méthode est pratique, mais elle est con­si­dé­rée comme moins sûre, car les SMS peuvent être in­ter­cep­tés ou détournés. Les tokens matériels, comme les clés USB disposant d’une clé de sécurité, cons­ti­tuent une option très sûre, mais plus coûteuse et plus complexe à mettre en œuvre. Certains services proposent des no­ti­fi­ca­tions push, qui obligent les uti­li­sa­teurs à confirmer ac­ti­ve­ment toute tentative de connexion sur leur smart­phone. Le choix de la méthode dépend souvent du niveau de sécurité souhaité et de la tech­no­lo­gie dis­po­nible. En règle générale, plus le deuxième facteur est distinct du mot de passe, plus la procédure est sécurisée.

Voici les ap­pli­ca­tions d’au­then­ti­fi­ca­tion les plus courantes et les plus utilisées :

• Google Au­then­ti­ca­tor
• Microsoft Au­then­ti­ca­tor
• Authy
• FreeOTP
• LastPass Au­then­ti­ca­tor

Emails IONOS : con­fi­gu­rer l’au­then­ti­fi­ca­tion à deux facteurs

Pour con­fi­gu­rer la 2FA pour votre compte de mes­sa­ge­rie IONOS, vous disposez de deux options pratiques : via une ap­pli­ca­tion d’au­then­ti­fi­ca­tion courante ou di­rec­te­ment via l’ap­pli­ca­tion mobile IONOS.

Con­fi­gu­ra­tion avec une ap­pli­ca­tion d’au­then­ti­fi­ca­tion

La con­fi­gu­ra­tion d’une ap­pli­ca­tion d’au­then­ti­fi­ca­tion pour votre compte de mes­sa­ge­rie IONOS s’effectue en quelques étapes :

1. Té­lé­char­gez l’ap­pli­ca­tion mobile IONOS sur votre smart­phone, dis­po­nible gra­tui­te­ment sur Google Play ou l’App Store.
2. Connectez-vous à votre compte IONOS via un na­vi­ga­teur Web.
3. Accédez à « Mon compte > Connexion et sécurité du compte > Au­then­ti­fi­ca­tion à deux facteurs ».
4. Choi­sis­sez l’option « Ap­pli­ca­tion mobile IONOS ».
5. Suivez les ins­truc­tions pour activer la 2FA. Une fois la con­fi­gu­ra­tion terminée, vous recevrez une no­ti­fi­ca­tion sur votre smart­phone à chaque tentative de connexion à votre compte IONOS, que vous pourrez valider di­rec­te­ment depuis l’ap­pli­ca­tion.

L’au­then­ti­fi­ca­tion à deux facteurs est ainsi activée de manière per­ma­nente et contribue à renforcer sig­ni­fi­ca­ti­ve­ment la sécurité de votre compte.

Con­fi­gu­ra­tion via l’ap­pli­ca­tion mobile IONOS

Vous pouvez également utiliser l’ap­pli­ca­tion mobile of­fi­cielle IONOS, dis­po­nible sur Android et iOS. Une fois la con­fi­gu­ra­tion terminée, vous recevrez une no­ti­fi­ca­tion sur votre smart­phone à chaque tentative de connexion à votre compte IONOS pour va­li­da­tion.

Vous trouverez des ins­truc­tions dé­tail­lées étape par étape dans le Centre d’As­sis­tance IONOS.