Vous ouvrez votre application bancaire, elle vous demande un code à six chiffres, et votre téléphone qui générait ce code vient de tomber en panne. La double authentification (2FA) protège vos comptes, mais elle peut aussi vous bloquer si vous perdez l’appareil associé. Récupérer son 2FA dépend avant tout de ce que vous avez préparé en amont, et des options que chaque service met à disposition.
Pourquoi la récupération 2FA pose un vrai problème de sécurité
La double authentification repose sur un principe simple : prouver votre identité avec un élément que vous seul possédez. Quand cet élément disparait (téléphone perdu, volé, réinitialisé), le service doit vérifier que c’est bien vous qui demandez la récupération.
Lire également : Qui réalise les audits ISO 27001 ?
Les recommandations récentes de sécurité insistent sur un point souvent négligé : la récupération ne doit pas être moins sécurisée que la connexion initiale. Un simple lien envoyé par mail ou un SMS peut constituer un affaiblissement du dispositif. Si la procédure de récupération est trop facile, un attaquant pourrait l’exploiter pour contourner le 2FA.
C’est la raison pour laquelle certains services, comme GitHub, préviennent que le support ne pourra pas rétablir l’accès à un compte si vous perdez vos identifiants 2FA et vos méthodes de récupération. La sécurité prime sur la commodité.
A voir aussi : Comment contrôler le parental ?
Codes de récupération 2FA : la solution à préparer avant la panne
Au moment où vous activez la double authentification sur un service, celui-ci vous fournit généralement un jeu de codes de récupération à usage unique. Ce sont des combinaisons de chiffres (parfois avec des lettres) que vous pouvez saisir à la place du code temporaire habituel.
Chaque code ne fonctionne qu’une seule fois. C’est votre filet de sécurité principal. Vous avez encore ces codes quelque part ? Vous pouvez débloquer votre compte immédiatement en les saisissant dans le champ 2FA lors de la connexion.
Le piège le plus fréquent : avoir stocké ces codes sur le téléphone perdu, dans le même profil de navigateur ou le même espace synchronisé que l’application d’authentification. La sauvegarde doit être indépendante de l’appareil protégé. Un carnet physique dans un tiroir fermé, un fichier chiffré sur une clé USB, ou un gestionnaire de mots de passe hébergé séparément sont des options plus fiables.
Récupérer son authentification Google Authenticator ou Microsoft Authenticator
Les deux applications les plus répandues ne fonctionnent pas de la même manière en cas de perte d’appareil.
Google Authenticator
Si vous avez activé la synchronisation cloud de Google Authenticator, vos codes TOTP sont liés à votre compte Google. Installer l’application sur un nouveau téléphone et vous connecter avec le même compte Google suffit à retrouver vos entrées.
Sans synchronisation activée, la situation est plus complexe. Le code TOTP est calculé à partir d’une clé secrète unique, liée à l’appareil. Quand vous changez de téléphone, cette clé ne se transfère pas automatiquement. Vous avez conservé la clé secrète à seize caractères ou le QR code affiché lors de la configuration ? Vous pouvez alors recréer l’entrée manuellement dans l’application sur votre nouvel appareil.
Microsoft Authenticator
Microsoft Authenticator propose une fonction de sauvegarde cloud. Lorsque cette sauvegarde était activée sur l’ancien téléphone, les codes TOTP de comptes tiers peuvent être restaurés sur le nouvel appareil. Les comptes Microsoft sans mot de passe nécessitent généralement une nouvelle validation. Les comptes professionnels peuvent exiger l’intervention d’un administrateur informatique.
Récupérer son 2FA quand aucun code de secours n’est disponible
Vous n’avez ni codes de récupération, ni clé secrète, ni sauvegarde cloud ? Les options se réduisent, mais ne sont pas nulles. Voici les pistes concrètes selon les cas :
- Vérifiez si le service propose une méthode de connexion alternative : certains sites permettent de recevoir un code par SMS sur un numéro de secours enregistré au préalable, ou de s’authentifier via une clé de sécurité physique (FIDO2/WebAuthn).
- Contactez le support client du service concerné. La plupart exigent une vérification d’identité renforcée (pièce d’identité, selfie, questions de sécurité) avant de désactiver le 2FA sur votre compte. Le délai peut aller de quelques heures à plusieurs jours.
- Si vous êtes encore connecté sur un autre appareil (ordinateur, tablette), accédez aux paramètres de sécurité du compte pour désactiver ou reconfigurer le 2FA depuis cette session active.
- Sur certaines plateformes, une session SSH ou un jeton d’accès personnel encore valide peut servir de preuve d’identité pour lancer la procédure de récupération.
Gardez à l’esprit que certains services refusent toute récupération. GitHub le mentionne clairement : sans codes de récupération ni méthode alternative, l’accès au compte peut être perdu définitivement.
Passkeys et clés de sécurité : réduire le risque de perte 2FA
Les codes TOTP à six chiffres restent la forme de 2FA la plus courante, mais ils ont une faiblesse structurelle : ils sont saisis manuellement, ce qui les rend vulnérables au phishing. Les passkeys et clés FIDO2/WebAuthn fonctionnent différemment. Elles créent une liaison cryptographique avec le site légitime, ce qui empêche un site frauduleux de capturer vos identifiants.
En termes de récupération, ces solutions présentent aussi un avantage. Configurer le 2FA sur deux appareils distincts (par exemple, un téléphone et une clé de sécurité USB) crée une redondance. Si un appareil est perdu, l’autre permet toujours l’accès.
Les recommandations actuelles distinguent clairement les codes saisis manuellement, qui restent hameçonnables, des passkeys conçues pour résister à ce type d’attaque. Migrer vers ces solutions quand un service les propose limite le risque de se retrouver bloqué.
La meilleure stratégie de récupération 2FA reste celle que vous mettez en place avant d’en avoir besoin. Notez vos codes de récupération sur un support indépendant, activez la sauvegarde cloud de votre application d’authentification, et enregistrez une méthode de secours (numéro de téléphone secondaire, clé physique). Quelques minutes de préparation évitent des jours de blocage.
