La double authentification (2FA) ajoute une preuve d’identité supplémentaire au mot de passe lors de la connexion à un compte en ligne. Savoir si cette protection est réellement active ne se résume pas à vérifier qu’un menu existe dans les paramètres : il faut confirmer qu’une méthode de vérification est bien enregistrée et qu’elle est exigée à chaque connexion.
Où vérifier l’état de la 2FA sur les principaux comptes
Chaque plateforme place le réglage à un endroit différent, mais la logique reste la même : accéder aux paramètres de sécurité, puis chercher une mention explicite d’activation avec une méthode enregistrée.
A lire aussi : Pourquoi Google est-il si invasif ?
Compte Google
Rendez-vous sur votre compte Google, puis appuyez sur Sécurité et connexion. Sous la section « Comment vous connectez-vous à Google », la validation en deux étapes indique clairement son statut : activée ou désactivée. Si elle est activée, la page affiche la méthode utilisée (invite Google, application d’authentification, clé de sécurité).
Compte Microsoft
Connectez-vous à la page de sécurité de votre compte Microsoft. Sélectionnez « Gérer la façon dont je me connecte ». Sous « Sécurité supplémentaire », la vérification en deux étapes affiche un bouton « Activer » ou « Désactiver » selon l’état actuel.
A lire aussi : Comment activer la protection du système ?
Compte Apple
L’identification à deux facteurs est la méthode de sécurité par défaut pour la plupart des comptes Apple. Sur un iPhone ou iPad, ouvrez Réglages, touchez votre nom, puis « Connexion et sécurité ». Si la mention « Identification à deux facteurs » apparaît avec le statut « Oui » ou « Activée », le compte est protégé.
Activation affichée ne signifie pas protection réelle
Un piège fréquent consiste à confondre la présence d’un menu 2FA avec son activation effective. Le simple affichage d’une option « passkey » ou « validation en deux étapes » dans les paramètres ne prouve pas qu’une méthode est enregistrée ni qu’elle sera exigée lors de la prochaine connexion.
Pour confirmer que la 2FA fonctionne, vérifiez deux éléments concrets :
- Une méthode d’authentification est bien enregistrée (numéro de téléphone, application d’authentification, clé de sécurité physique). Un compte sans méthode associée reste vulnérable même si l’option semble cochée.
- La connexion impose effectivement deux preuves distinctes. Le test le plus fiable consiste à se déconnecter puis à se reconnecter depuis un appareil ou un navigateur non reconnu : si le service ne demande que le mot de passe, la 2FA n’est pas opérationnelle.
- Les codes de secours ou méthodes de récupération sont configurés. Un compte peut afficher une 2FA active tout en restant exposé si la procédure de récupération ne demande qu’une adresse mail secondaire sans vérification supplémentaire.
Les orientations récentes du NIST prévoient d’ailleurs une notification lors d’un événement de récupération et encadrent l’ajout d’un nouvel authentificateur, précisément pour combler cette faille.
Toutes les méthodes 2FA ne protègent pas de la même façon
Vérifier que la 2FA est activée ne suffit pas. Il faut aussi regarder quelle méthode est enregistrée, car leur résistance aux attaques varie considérablement.
Le SMS est classé comme méthode restreinte par le NIST. Il n’est pas interdit, mais les recommandations déconseillent d’en faire le mécanisme principal pour les comptes sensibles. Un code envoyé par SMS peut être intercepté par détournement de ligne téléphonique (SIM swapping) ou relayé par un site d’hameçonnage.
Les codes générés par une application d’authentification (type Google Authenticator, Microsoft Authenticator ou Authy) offrent une meilleure résistance. Le code est produit localement sur l’appareil, sans transiter par le réseau téléphonique. En revanche, ces codes restent vulnérables à l’hameçonnage : un faux site peut demander le code et le relayer en temps réel vers le vrai service.
Les clés de sécurité physiques FIDO2/WebAuthn et certaines passkeys constituent la protection la plus robuste. Elles utilisent un mécanisme cryptographique lié au site consulté, ce qui empêche techniquement le relais vers un faux domaine. Si votre compte propose cette option, c’est celle qui offre la meilleure garantie.
Vérification rapide de la 2FA : les points à contrôler
Plutôt que de parcourir chaque service un par un sans méthode, appliquez cette grille de lecture à chaque compte que vous souhaitez auditer :
- Ouvrez les paramètres de sécurité du compte et localisez la section dédiée à la vérification en deux étapes, l’authentification à deux facteurs ou la 2FA.
- Vérifiez qu’au moins une méthode est enregistrée (téléphone, application, clé physique) et pas seulement qu’un interrupteur est en position « activé ».
- Contrôlez les méthodes de récupération : un numéro de secours, des codes de récupération imprimés ou une adresse mail secondaire protégée elle aussi par 2FA.
- Testez la connexion depuis un appareil non reconnu pour confirmer que le service exige bien un second facteur.
- Si le SMS est la seule méthode enregistrée, envisagez d’ajouter une application d’authentification ou une clé de sécurité pour renforcer la protection.
Microsoft a d’ailleurs annoncé la suppression progressive des SMS comme méthode d’authentification et de récupération pour les comptes personnels, ce qui rend d’autant plus pertinent le passage à une méthode alternative.
Un compte dont la 2FA est correctement configurée et testée résiste à la grande majorité des tentatives d’accès non autorisé. Le point faible se situe presque toujours dans les méthodes de récupération mal encadrées ou dans une activation partielle qui donne un faux sentiment de sécurité. Vérifier l’état réel de la protection prend quelques minutes par compte, et c’est le seul moyen fiable de distinguer une 2FA active d’une 2FA fantôme.
