Comment activer la double authentification sans risquer de perdre son accès ?

À quoi sert la double authentification ?

Avec un mot de passe seul, une personne qui le récupère peut tenter de se connecter à votre place. La double authentification ajoute une vérification, par exemple un code produit par une application ou l’utilisation d’une clé de sécurité. Le mot de passe volé ne suffit alors plus pour franchir cette étape.

Cybermalveillance.gouv.fr recommande d’activer cette protection lorsque le service la propose. Elle peut concerner une messagerie, un réseau social ou un compte de commerce en ligne. Commencez par les comptes dont la perte vous poserait le plus de difficultés.

Lorsqu’un mot de passe reste utilisé, gardez-en un différent pour chaque service. Notre article sur le changement de mot de passe explique dans quelles situations le renouveler.

SMS, application ou clé de sécurité : que choisir ?

Les possibilités varient d’un compte à l’autre. Voici les différences utiles avant d’activer l’option disponible dans vos réglages.

La recommandation de la CNIL adoptée en mars 2025 souligne les limites du SMS, tout en rappelant que son association avec un autre facteur renforce la sécurité par rapport à une authentification simple. Une application constitue une option pratique lorsque vous pouvez en organiser la récupération ; le SMS reste utile si c’est la seule possibilité proposée.

Vous verrez aussi le terme « clé d’accès » ou « passkey ». Il s’agit d’un identifiant cryptographique, utilisable notamment après le déverrouillage de votre appareil. Chez Google, une clé d’accès peut remplacer la saisie du mot de passe et la seconde étape. Ce fonctionnement diffère du code reçu par SMS. Protégez le déverrouillage de l’appareil et prévoyez également un autre accès.

Comment activer la double authentification, étape par étape ?

Installez-vous sur votre propre appareil, avec votre téléphone à portée de main. Les intitulés et l’ordre des écrans peuvent varier.

1. Ouvrez directement le site ou l’application officielle. Connectez-vous au compte que vous souhaitez protéger.
2. Recherchez les paramètres de sécurité. L’option peut s’appeler « authentification à deux facteurs », « double authentification » ou « validation en deux étapes ».
3. Choisissez une méthode disponible. Suivez les instructions propres au service.
4. Associez votre application si vous utilisez des codes temporaires. Cela passe généralement par un QR code à scanner dans l’application, ou par une clé de configuration à saisir manuellement.
5. Validez jusqu’au bout. Saisissez le code demandé ou confirmez avec la méthode choisie, puis vérifiez que la protection est indiquée comme active.
6. Configurez immédiatement le secours. Enregistrez les codes proposés ou ajoutez une autre méthode autorisée avant de quitter les réglages.

Installer une application d’authentification ne protège aucun compte à elle seule. Il faut l’associer à chaque service concerné. Le QR code d’association et la clé de configuration contiennent un secret : ne les transmettez pas à un tiers. La documentation de GitHub illustre ce parcours avec une application de codes temporaires.

Exemple pour un compte Google personnel

Dans votre compte Google, ouvrez Sécurité et connexion, puis repérez la rubrique Comment vous connecter à Google et l’option de validation en deux étapes. Suivez ensuite les écrans proposés. L’aide officielle Google détaille l’activation. Pour un compte fourni par une entreprise ou un établissement scolaire, les règles de l’administrateur peuvent modifier ce parcours.

Où conserver les codes de secours ?

Certains services fournissent des codes de récupération permettant de remplacer la vérification habituelle. Ils sont distincts des codes temporaires qui changent dans l’application. Chez Google, chaque code de secours ne peut servir qu’une fois ; générer une nouvelle série invalide l’ancienne.

Vous pouvez conserver une copie imprimée dans un endroit sûr, avec vos documents importants. Un stockage numérique sécurisé est aussi envisageable, à condition de savoir y accéder sans le téléphone ou le compte que ces codes doivent débloquer. Ne les laissez pas dans une note partagée ou un fichier accessible à tous.

Tous les services ne proposent pas ces codes. Dans ce cas, consultez leurs options de récupération : autre appareil enregistré, clé supplémentaire ou procédure spécifique. Une adresse de récupération ne remplace pas forcément la seconde vérification.

Que vérifier avant de changer de téléphone ?

Ne réinitialisez pas l’ancien téléphone avant d’avoir vérifié vos accès sur le nouveau. Le transfert des photos et des contacts ne prouve pas que vos méthodes d’authentification ont suivi.

Selon l’application, les codes peuvent être synchronisés, restaurés depuis une sauvegarde ou transférés manuellement. Google Authenticator prévoit notamment la synchronisation avec un compte Google et un transfert manuel. Ce dernier nécessite encore l’ancien appareil. Vérifiez le mode réellement utilisé dans votre application.

Essayez ensuite une connexion sur le nouvel appareil pour vos comptes importants, en gardant votre session habituelle ouverte. Contrôlez que la nouvelle méthode fonctionne réellement. Certains services imposent un délai avant d’accepter une méthode récemment ajoutée : ne vous fiez pas à sa seule présence dans les réglages.

Si votre numéro change aussi, mettez à jour les coordonnées de connexion et de récupération. Retirez les anciennes méthodes devenues inutiles une fois les nouvelles opérationnelles.

Téléphone perdu ou cassé : comment retrouver son compte ?

Sur la page officielle de connexion, cherchez l’option permettant d’utiliser une autre méthode. Selon ce que vous aviez préparé, vous pourrez employer un code de secours, une clé ou un autre appareil enregistré. Google présente ces possibilités dans son guide des difficultés de validation en deux étapes.

Sans méthode disponible, engagez la procédure officielle de récupération. Pour un compte professionnel, contactez l’administrateur. Les preuves demandées et les délais dépendent du service ; connaître son mot de passe ne garantit pas de retrouver immédiatement l’accès.

En cas de vol, suivez aussi les consignes du service pour retirer l’appareil perdu et sécuriser le compte. Si vous constatez des modifications inconnues ou des messages envoyés à votre insu, consultez notre guide sur les signes de piratage d’un compte.

Faut-il valider toutes les notifications de connexion ?

Non : n’approuvez que les connexions que vous venez de demander. Une notification inattendue doit être refusée, même si elle revient plusieurs fois. Ouvrez ensuite directement le service pour vérifier l’activité du compte.

De même, ne dictez jamais un code de connexion ou de secours à une personne qui vous appelle. Google rappelle dans son aide à la validation en deux étapes qu’il ne vous appelle pas pour obtenir un code. La protection dépend aussi de ce que vous acceptez à l’écran.