Il y a un écran que presque tout le monde passe. Vous activez l'authentification à deux facteurs, le service affiche un bloc de codes aléatoires, vous dit de les garder en lieu sûr, et vous cliquez sur Continuer. Des mois plus tard votre téléphone a disparu et cet écran était la seule chose qui aurait servi.
Ce que c'est réellement
Un code de secours, aussi appelé code de récupération, est un identifiant à usage unique qui tient lieu de second facteur. Pas de mot de passe : celui-là vous en avez toujours besoin. Il remplace ce que vous n'avez plus, en général le téléphone qui fait tourner votre application d'authentification, ou la clé de sécurité restée dans un tiroir à l'autre bout du pays.
La documentation de GitHub est précise sur le mécanisme et mérite d'être citée plutôt que reformulée. Elle fournit 16 codes et indique qu'« une fois qu'un code de récupération a servi à retrouver l'accès au compte, il ne peut pas être réutilisé ». Les seize épuisés, on en génère une nouvelle liste. D'autres services en donnent un nombre différent : traitez seize comme le chiffre de GitHub et non comme une règle universelle.
Le conseil qui réunit vos deux facteurs
C'est ici que la recommandation habituelle devient inconfortable. GitHub vous dit de ne pas partager ni diffuser les codes, et recommande de « les enregistrer dans un gestionnaire de mots de passe sécurisé ». C'est sensé face à la défaillance la plus courante, qui est de perdre un bout de papier. Cela a aussi une conséquence qu'il faut dire franchement.
Votre mot de passe vit dans ce coffre. Si les codes y vivent aussi, alors quiconque ouvre le coffre détient les deux facteurs : le mot de passe, et ce qui remplace le second. La séparation qui rendait la double authentification utile a discrètement disparu.
Ce n'est pas un argument contre les gestionnaires de mots de passe, ni une raison d'ignorer le conseil. C'est une raison de décider délibérément plutôt que par défaut.
Où ils peuvent raisonnablement vivre
Imprimés et rangés physiquement, c'est démodé et cela fonctionne : une feuille dans un tiroir chez vous, ou avec des documents que vous gardez déjà en sécurité. Un second gestionnaire de mots de passe, distinct de celui qui détient le mot de passe du compte, maintient les deux facteurs séparés. Un appareil qui n'est pas celui avec lequel vous vous authentifiez, gardé hors ligne, fait la même chose.
Ce qui ne fonctionne pas : une note sur le téléphone qui fait tourner l'application d'authentification, ou un email que vous vous envoyez dans le compte que ces codes protègent. Les deux placent le secours à l'intérieur de ce dont il faut être secouru.
Le scénario pour lequel ils existent
Déroulez la panne réelle. Votre téléphone est perdu, volé, tombé dans l'eau, ou effacé par un réparateur. Votre application d'authentification est partie avec, et sauf export des graines, les codes qu'elle générait n'existent plus. À cet instant il vous faut soit une seconde clé de sécurité, soit les codes de secours, soit une procédure de support qui peut prendre des jours et peut échouer.
C'est aussi pourquoi une seconde clé de sécurité et les codes de secours ne font pas double emploi. La clé sert au quotidien quand la première n'est pas là ; les codes servent quand les deux manquent.
Après en avoir utilisé un
Puisque chaque code est consommé à l'usage, la liste rétrécit sans bruit. La plupart des services permettent de régénérer l'ensemble, ce qui invalide l'ancien. Le faire après une récupération est la bonne habitude : vous savez combien il vous en reste, et toute vieille copie qui traîne devient inutile.
Si vous n'avez jamais activé l'authentification à deux facteurs, rien de tout cela ne s'applique encore, et c'est le manque le plus urgent.
Le résumé honnête
Les codes de secours sont la partie la moins intéressante d'une configuration de sécurité, et celle qui décidera le plus probablement si vous gardez un compte. Ils coûtent cinq minutes, une fois. La seule vraie décision est de choisir où les mettre, et la réponse par défaut, à côté de votre mot de passe, est celle qui mérite d'y réfléchir à deux fois.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Verrouille tes comptes → NordPassMots de passe forts et uniques · scanner de fuites · offre gratuite→Questions fréquentes
À quoi servent les codes de secours ?
Ils tiennent lieu de second facteur quand vous ne pouvez pas l'utiliser. Si le téléphone qui porte votre application d'authentification est perdu ou si votre clé de sécurité n'est pas disponible, un code de secours permet de franchir la seconde étape de connexion. Il ne remplace pas le mot de passe, dont vous avez toujours besoin.
Un code de secours peut-il servir plusieurs fois ?
Non. La documentation de GitHub indique qu'une fois qu'un code de récupération a servi à retrouver l'accès au compte, il ne peut pas être réutilisé. Chaque code est consommé à l'usage, ce qui explique que les services en fournissent un lot plutôt qu'un seul, et qu'on puisse en régénérer une liste une fois épuisés.
Combien de codes de secours reçoit-on ?
Cela dépend du service. GitHub en fournit seize et permet d'en générer une nouvelle liste une fois épuisés. D'autres fournisseurs en donnent un nombre différent : c'est le chiffre affiché sur votre propre écran qui fait foi. Ce qui est constant, c'est qu'un code ne sert qu'une fois.
Où faut-il ranger ses codes de secours ?
Ailleurs que là où se trouve votre mot de passe. GitHub recommande un gestionnaire de mots de passe sécurisé, ce qui protège de la perte mais réunit les deux facteurs dans un même coffre. Imprimés et rangés physiquement, ou dans un second gestionnaire distinct de celui qui détient le mot de passe du compte, la séparation reste intacte. Jamais sur le téléphone qui fait tourner l'application d'authentification.
Que faire si je perds mes codes et mon second facteur ?
Vous vous rabattez sur la procédure de récupération de compte du service, qui est plus lente, varie énormément d'un fournisseur à l'autre, et échoue parfois. C'est précisément la situation que les codes servent à éviter, et c'est pourquoi les cinq minutes passées à les ranger correctement valent plus qu'il n'y paraît.
