Qu'est-ce que la 2FA ? L'authentification à deux facteurs (2026)

Si vous ne faites qu'une seule chose pour sécuriser vos comptes cette année, que ce soit la 2FA. L'authentification à deux facteurs ajoute un second verrou à vos connexions, pour qu'un mot de passe volé - le moyen n°1 de détournement de comptes - ne suffise plus à entrer. Ce guide explique ce qu'est la 2FA, les types classés par sécurité, et comment l'activer.

Pour la plupart des gens, le second facteur le plus simple est une application d'authentification, et la 2FA n'est que la forme la plus courante de l'authentification multifacteur. Préférez-la au SMS, le facteur le plus faible notamment à cause du SIM-swapping ; et pour l'option la plus solide à petit prix, comparez Token2 vs YubiKey.

La réponse courte

• 2FA = prouver son identité avec deux facteurs différents, pas seulement un mot de passe.
• Les facteurs : quelque chose que vous savez (mot de passe) + quelque chose que vous possédez (code d'app, clé physique, téléphone) ou quelque chose que vous êtes (empreinte/visage).
• Cela signifie qu'un mot de passe volé seul ne peut pas se connecter - l'étape de sécurité la plus impactante pour la plupart des gens.
• Meilleures méthodes : clé physique ou app d'authentification ; évitez de dépendre du SMS quand vous pouvez.

Ce que « deux facteurs » veut dire

Les facteurs d'authentification se rangent en trois catégories, et la 2FA en combine deux différentes :

• Quelque chose que vous savez - un mot de passe ou un PIN.
• Quelque chose que vous possédez - un code d'une app d'authentification, une clé de sécurité physique, ou votre téléphone.
• Quelque chose que vous êtes - une empreinte ou un scan du visage.

Deux mots de passe ne sont pas de la 2FA (même catégorie). Un mot de passe plus un code d'app, oui, car un attaquant devrait vaincre deux choses indépendantes. C'est tout le gain de sécurité.

2FA, MFA, validation en deux étapes - pareil ?

Les termes se recoupent, et les nuances valent la peine :

• 2FA (authentification à deux facteurs) - exactement deux facteurs de deux catégories différentes.
• MFA (authentification multifacteur) - deux facteurs ou plus ; la 2FA est la forme la plus courante de MFA.
• Validation en deux étapes - terme marketing employé par les services ; il désigne en général la 2FA, mais certaines « étapes » utilisent techniquement la même catégorie (ex. un mot de passe puis un code envoyé par e-mail), ce qui est un peu plus faible que deux facteurs vraiment indépendants.

Au quotidien, traitez-les comme le même objectif : plus qu'un simple mot de passe. Ce qui compte bien plus que l'étiquette, c'est quel second facteur vous choisissez - c'est lui qui décide de la protection réelle.

Les types de 2FA, classés par sécurité

1. Clés de sécurité physiques (FIDO2 / passkeys) - les plus fortes. Cryptographiquement résistantes au phishing : même un faux site parfait ne peut capturer de code réutilisable. Voir qu'est-ce qu'un passkey et notre comparatif des meilleures clés de sécurité hardware.
2. Apps d'authentification (TOTP) - un code à 6 chiffres qui change toutes les 30 secondes, généré sur votre appareil sans réseau. Bien plus sûr que le SMS et le meilleur défaut pour la plupart des comptes.
3. Notifications push - vous tapez « approuver » sur votre téléphone. Pratique, mais vulnérable à la « MFA fatigue » (l'attaquant spamme les demandes en espérant un oui).
4. Codes SMS - mieux que rien, mais le plus faible : vulnérable au SIM-swapping et à l'interception.

Comment les attaquants tentent de contourner la 2FA - et comment garder l'avantage

La 2FA est puissante, pas magique. Connaître les vraies méthodes d'attaque indique quel facteur choisir :

• Phishing en temps réel (relais). Une fausse page de connexion transmet votre mot de passe et le code que vous tapez au vrai site, instantanément. Cela défait SMS, codes d'appli et push - mais pas les clés matérielles/passkeys, liées à l'adresse du vrai site et qui refusent de s'authentifier sur le faux.
• Fatigue MFA. Les attaquants ayant déjà votre mot de passe spamment les validations push jusqu'à ce que vous tapiez « oui » par lassitude. N'approuvez jamais une demande que vous n'avez pas initiée ; passez les comptes sensibles aux codes ou aux clés.
• SIM-swapping. Un criminel convainc votre opérateur de transférer votre numéro sur sa SIM et reçoit vos codes SMS. C'est la raison majeure d'éviter le SMS pour l'e-mail, la banque et le gestionnaire de mots de passe.

Le fil conducteur : les facteurs résistants au phishing (clés FIDO2 et passkeys) battent toutes les attaques à distance ci-dessus. Si un compte les gère, utilisez-les ; sinon, une appli d'authentification est le bon défaut, et le SMS seulement en dernier recours.

Comment activer la 2FA

Deux minutes par compte :

1. Allez dans les réglages Sécurité / Connexion du compte et cherchez « deux facteurs » ou « validation en deux étapes ».
2. Choisissez app d'authentification (ou clé physique) plutôt que SMS si proposé.
3. Scannez le QR code avec votre app d'authentification, puis saisissez le code affiché pour confirmer.
4. Sauvegardez les codes de récupération en lieu sûr - idéalement dans votre gestionnaire de mots de passe.

Priorisez d'abord votre e-mail (il peut tout réinitialiser), puis votre gestionnaire de mots de passe, votre banque et vos réseaux sociaux.

En résumé

La 2FA, c'est se connecter avec deux preuves différentes au lieu d'une, pour qu'un mot de passe volé ne puisse pas ouvrir votre compte à lui seul. Activez-la partout où ça compte, préférez une app d'authentification ou une clé physique au SMS, et sauvegardez vos codes de récupération avant d'en avoir besoin. C'est l'habitude de sécurité la plus rentable qui soit - commencez par votre e-mail aujourd'hui. Ensuite, comparez les meilleures apps d'authentification et découvrez comment les passkeys vont plus loin que la 2FA.