Qu'est-ce que la 2FA ? L'authentification à deux facteurs (2026)

Si vous ne faites qu'une seule chose pour sécuriser vos comptes cette année, que ce soit la 2FA. L'authentification à deux facteurs ajoute un second verrou à vos connexions, pour qu'un mot de passe volé — le moyen n°1 de détournement de comptes — ne suffise plus à entrer. Ce guide explique ce qu'est la 2FA, les types classés par sécurité, et comment l'activer.

La réponse courte

• 2FA = prouver son identité avec deux facteurs différents, pas seulement un mot de passe.
• Les facteurs : quelque chose que vous savez (mot de passe) + quelque chose que vous possédez (code d'app, clé physique, téléphone) ou quelque chose que vous êtes (empreinte/visage).
• Cela signifie qu'un mot de passe volé seul ne peut pas se connecter — l'étape de sécurité la plus impactante pour la plupart des gens.
• Meilleures méthodes : clé physique ou app d'authentification ; évitez de dépendre du SMS quand vous pouvez.

Ce que « deux facteurs » veut dire

Les facteurs d'authentification se rangent en trois catégories, et la 2FA en combine deux différentes :

• Quelque chose que vous savez — un mot de passe ou un PIN.
• Quelque chose que vous possédez — un code d'une app d'authentification, une clé de sécurité physique, ou votre téléphone.
• Quelque chose que vous êtes — une empreinte ou un scan du visage.

Deux mots de passe ne sont pas de la 2FA (même catégorie). Un mot de passe plus un code d'app, oui, car un attaquant devrait vaincre deux choses indépendantes. C'est tout le gain de sécurité.

Les types de 2FA, classés par sécurité

1. Clés de sécurité physiques (FIDO2 / passkeys) — les plus fortes. Cryptographiquement résistantes au phishing : même un faux site parfait ne peut capturer de code réutilisable. Voir qu'est-ce qu'un passkey.
2. Apps d'authentification (TOTP) — un code à 6 chiffres qui change toutes les 30 secondes, généré sur votre appareil sans réseau. Bien plus sûr que le SMS et le meilleur défaut pour la plupart des comptes.
3. Notifications push — vous tapez « approuver » sur votre téléphone. Pratique, mais vulnérable à la « MFA fatigue » (l'attaquant spamme les demandes en espérant un oui).
4. Codes SMS — mieux que rien, mais le plus faible : vulnérable au SIM-swapping et à l'interception.

Comment activer la 2FA

Deux minutes par compte :

1. Allez dans les réglages Sécurité / Connexion du compte et cherchez « deux facteurs » ou « validation en deux étapes ».
2. Choisissez app d'authentification (ou clé physique) plutôt que SMS si proposé.
3. Scannez le QR code avec votre app d'authentification, puis saisissez le code affiché pour confirmer.
4. Sauvegardez les codes de récupération en lieu sûr — idéalement dans votre gestionnaire de mots de passe.

Priorisez d'abord votre e-mail (il peut tout réinitialiser), puis votre gestionnaire de mots de passe, votre banque et vos réseaux sociaux.

En résumé

La 2FA, c'est se connecter avec deux preuves différentes au lieu d'une, pour qu'un mot de passe volé ne puisse pas ouvrir votre compte à lui seul. Activez-la partout où ça compte, préférez une app d'authentification ou une clé physique au SMS, et sauvegardez vos codes de récupération avant d'en avoir besoin. C'est l'habitude de sécurité la plus rentable qui soit — commencez par votre e-mail aujourd'hui. Ensuite, comparez les meilleures apps d'authentification et découvrez comment les passkeys vont plus loin que la 2FA.