Pourquoi ces codes sont-ils sensibles ?

Un code de récupération permet généralement de contourner l’indisponibilité du facteur habituel. Selon le service, il est à usage unique ou remplacé par un nouveau jeu. Toute personne qui le possède peut parfois accéder au compte : ne l’envoyez jamais par messagerie et ne le communiquez pas à un support qui vous contacte.

Les solutions recommandées

Ce qu’il vaut mieux éviter

• Une capture d’écran laissée dans la galerie synchronisée.
• Un fichier texte sur le bureau nommé codes-secours.txt.
• Un e-mail envoyé à soi-même sans chiffrement.
• La seule copie enregistrée sur le téléphone servant de second facteur.
• La seule copie stockée dans le gestionnaire qu’elle doit permettre de récupérer.
• Une impression laissée près de l’ordinateur dans un espace partagé.

Créer une petite procédure de secours

1. Générez les codes depuis les paramètres officiels du compte.
2. Notez le service et la date, mais jamais le mot de passe à côté de la copie papier.
3. Créez deux copies adaptées au niveau de sensibilité.
4. Testez si le service permet de vérifier un code sans invalider toute la procédure.
5. Marquez immédiatement les codes déjà utilisés.
6. Si une copie est perdue ou photographiée, régénérez le jeu : les anciens codes deviennent généralement invalides.
7. Révisez la procédure après un changement de téléphone, de gestionnaire ou de passkey.

Guides associés

Sources officielles consultées

• NIST SP 800-63B — Account Recovery Methods
• Google — Utiliser et imprimer des codes de secours
• Microsoft — Créer et conserver un code de récupération

Comment fonctionne une passkey ?

Lors de l’inscription, l’authentificateur crée une paire de clés. Le service reçoit la clé publique ; la clé privée reste protégée sur votre appareil, une clé physique ou un système de synchronisation. À la connexion, le service envoie un défi. Votre authentificateur le signe après votre consentement, souvent confirmé par le code, l’empreinte ou le visage de l’appareil.

Ce que les passkeys améliorent

• Aucun mot de passe partagé à voler dans un formulaire ou à réutiliser.
• Une clé différente est créée pour chaque service.
• La liaison au domaine résiste aux faux sites courants.
• La cryptographie produit des identifiants robustes sans effort de mémorisation.
• La validation locale peut être plus rapide qu’un mot de passe suivi d’un code.

Pourquoi les mots de passe ne disparaissent-ils pas encore ?

Si un mot de passe reste associé au compte, sécurisez-le toujours avec un gestionnaire. Ajouter une passkey sans retirer un ancien secret faible ne supprime pas cette voie d’accès.

Comment les adopter sans se bloquer

1. Commencez par les comptes importants proposant clairement les passkeys.
2. Ajoutez une seconde passkey sur un autre appareil ou une clé de sécurité si le service l’autorise.
3. Vérifiez la synchronisation et la procédure de récupération avant de supprimer le mot de passe.
4. Protégez le compte qui synchronise vos passkeys avec une authentification forte.
5. Conservez les codes de récupération dans un lieu indépendant.
6. Continuez à vérifier les messages de phishing : la passkey protège la connexion, pas toutes les manipulations.

Guides associés

Sources primaires consultées

• W3C — Web Authentication Level 3
• MDN — Passkeys et propriétés de sécurité
• FIDO Alliance — Présentation officielle des passkeys

Les actions dans le bon ordre

1. Utilisez un appareil de confiance. Si vous soupçonnez un logiciel malveillant, mettez le système à jour et lancez l’analyse de sécurité appropriée avant de saisir un nouveau secret.
2. Récupérez l’accès. Passez par l’application ou l’adresse officielle du service, jamais par le lien du message d’alerte.
3. Créez un nouveau mot de passe unique. Utilisez 20 caractères ou plus avec le générateur.
4. Déconnectez les autres sessions. Supprimez les appareils, clés d’application et connexions que vous ne reconnaissez pas.
5. Contrôlez la récupération. Vérifiez téléphone, adresse secondaire, passkeys et questions de secours.
6. Activez ou réinitialisez la 2FA. Générez de nouveaux codes de récupération.
7. Inspectez le compte. Recherchez commandes, messages, publications et modifications inconnues.

Cas particulier de la messagerie

Une boîte e-mail compromise peut réinitialiser d’autres comptes tout en dissimulant les alertes. Vérifiez les règles de transfert, filtres, réponses automatiques, délégations, applications tierces et messages supprimés. Prévenez vos contacts si l’attaquant a pu envoyer des messages en votre nom.

Si le mot de passe était réutilisé

Dressez la liste de toutes ses copies et variantes. Commencez par la messagerie, le gestionnaire, les comptes financiers, administratifs et professionnels. N’utilisez pas un modèle commun : apprenez pourquoi chaque compte doit avoir son propre secret.

Conserver les preuves et signaler

Avant de supprimer les éléments suspects, prenez des captures indiquant dates, appareils, adresses et opérations. Contactez la banque sans attendre en cas de paiement ou de changement de coordonnées. Signalez le piratage au service concerné et utilisez le diagnostic de Cybermalveillance.gouv.fr. Selon le préjudice, conservez les éléments pour un dépôt de plainte.

Guides associés

Sources officielles consultées

• Cybermalveillance.gouv.fr — Piratage de compte, que faire ?
• Microsoft — Récupérer un compte compromis
• CNIL — Règles essentielles de sécurité

Les différentes catégories

Ce qui se passe lors de la connexion

Quelle méthode choisir ?

Aucune méthode n’est parfaite, mais une méthode disponible et activée protège mieux qu’une option idéale laissée désactivée. Pour la messagerie, la banque et le gestionnaire de mots de passe, choisissez la méthode la plus résistante proposée.

Avant d’activer la 2FA

1. Mettez à jour les coordonnées de récupération.
2. Enregistrez au moins deux méthodes si le service le permet.
3. Conservez les codes de récupération hors du téléphone principal.
4. Ne validez jamais une demande que vous n’avez pas initiée.
5. Gardez un mot de passe unique : la 2FA ne justifie pas sa réutilisation.

Guides associés

Sources officielles consultées

• ANSSI — Authentification multifacteur et mots de passe
• NIST SP 800-63B — Types d’authentificateurs
• CISA — More Than a Password

Les six protections prioritaires

1. Créez un mot de passe que vous n’utilisez nulle part ailleurs avec le générateur.
2. Activez l’authentification à deux facteurs, de préférence avec une passkey, une clé de sécurité ou une application.
3. Vérifiez l’adresse et le numéro de récupération ; supprimez tout moyen inconnu.
4. Conservez les codes de récupération hors de la boîte elle-même.
5. Contrôlez les sessions ouvertes, les applications connectées et les règles de transfert.
6. Mettez à jour le téléphone et l’ordinateur utilisés pour consulter les messages.

Réduire l’exposition de l’adresse

Votre adresse de connexion n’est pas un secret équivalent à un mot de passe, mais moins elle circule, moins elle reçoit de spam ciblé et de tentatives d’hameçonnage. Gardez une adresse stable pour la banque, l’administration et les soins ; utilisez une seconde adresse ou un masque pour les newsletters, essais et commerces secondaires.

Un masque transfère les messages vers votre vraie boîte sans révéler son adresse. Il ajoute toutefois un intermédiaire : ne l’utilisez pas pour un service critique si vous ne maîtrisez pas sa procédure de récupération.

Se défendre contre les messages piégés

• Ne vous reconnectez pas depuis un lien reçu : ouvrez votre favori ou saisissez l’adresse officielle.
• Ne communiquez jamais un mot de passe, un code temporaire ou un code de récupération par e-mail.
• Vérifiez le domaine complet, pas seulement le nom affiché ou le logo.
• Confirmez toute demande urgente ou financière par un autre canal.
• Consultez le guide pour reconnaître un e-mail de phishing.

Si vous remarquez une activité inconnue

Depuis un appareil fiable, changez le mot de passe, déconnectez les sessions inconnues, révoquez les applications suspectes et examinez les règles de transfert. Si le même mot de passe a servi ailleurs, remplacez-le partout. Suivez ensuite la procédure complète mot de passe compromis.

Guides associés

Sources officielles consultées

• CNIL — Les attaques sur les messageries
• CNIL — Règles essentielles de sécurité des données
• Mozilla — Fonctionnement des masques d’adresse e-mail