Codes de secours 2FA : comment sauvegarder l'authentification à deux facteurs pour qu'elle ne vous exclue jamais (ni votre famille)

Que sont les codes de secours 2FA et pourquoi comptent-ils ?

Les mots de passe ont cessé de suffire depuis longtemps. Ils fuitent dans des violations de données, sont réutilisés d'un site à l'autre, et peuvent être devinés, hameçonnés ou achetés. L'authentification à deux facteurs est le remède qui fonctionne vraiment : même avec votre mot de passe en main, un attaquant a encore besoin du code à six chiffres que votre téléphone régénère toutes les trente secondes, ou d'une clé physique que vous seul détenez. Si un compte vous tient à cœur, il devrait avoir ce second verrou.

Mais le second verrou concentre tout sur un seul appareil. Les clés secrètes derrière ces codes ne vivent généralement que dans l'application d'authentification de votre téléphone. Perdez le téléphone, cassez-le, ou mourez avec lui verrouillé, et les codes sont perdus. Même quelqu'un qui détient tous vos mots de passe ne peut pas passer.

C'est à cela que servent les codes de secours. Quand vous activez l'authentification à deux facteurs, la plupart des services vous remettent un jeu de codes de récupération à usage unique. Google, par exemple, délivre dix codes à huit chiffres ; chacun fonctionne une fois, et générer un nouveau jeu annule l'ancien. D'autres services suivent un schéma similaire sous des noms comme codes de récupération, codes d'urgence ou codes à gratter. Quel que soit le nom, ils sont le seul moyen de rentrer qui ne dépende pas d'un appareil que vous pourriez ne pas avoir.

Quels sont les trois types de 2FA, et comment chacun se sauvegarde-t-il ?

Tous les seconds facteurs ne tombent pas en panne de la même façon, donc ils ne se sauvegardent pas tous de la même façon. Il est utile de savoir quel type chacun de vos comptes utilise.

• Codes par SMS et par e-mail

  Le code arrive par SMS ou par e-mail. Il n'y a rien à sauvegarder en tant que tel, mais beaucoup à perdre : un numéro de téléphone peut être détourné de votre vivant, et après un décès le contrat est généralement résilié et le numéro finit par être réattribué. Considérez le SMS comme l'option la plus faible, conservez quand même les codes de récupération du compte, et assurez-vous que la personne qui gérera vos affaires sache vers quel numéro et quelle adresse e-mail les codes sont envoyés.

• Applications d'authentification (TOTP)

  Des applications comme Google Authenticator, Authy, Microsoft Authenticator, 2FAS et Aegis stockent un secret pour chaque compte et le transforment en un nouveau code toutes les trente secondes. C'est ce secret qu'il faut sauvegarder. Google Authenticator peut synchroniser les codes avec votre compte Google et les exporter sous forme d'images QR ; Authy synchronise des sauvegardes chiffrées protégées par un mot de passe de sauvegarde qu'il ne peut pas récupérer pour vous. Les gestionnaires de mots de passe comme 1Password et Bitwarden peuvent conserver les mêmes secrets à côté du mot de passe, si bien qu'un seul coffre chiffré porte les deux facteurs (dans certaines offres, c'est une fonction payante). Quelle que soit l'application utilisée, les codes de récupération à usage unique du service restent votre solution de repli si l'application et sa synchronisation échouent toutes deux.

• Clés de sécurité matérielles et passkeys

  Une clé de sécurité comme une YubiKey garde son secret à l'intérieur du matériel, et c'est bien le but : il ne peut être ni lu ni copié. Le conseil de Yubico lui-même est d'acheter une clé de rechange et de l'enregistrer sur chaque compte en même temps que la principale, car une clé de rechange non enregistrée est inutile par la suite. Les passkeys sont similaires dans l'esprit mais vivent dans le logiciel ; la synchronisation d'Apple via le trousseau iCloud, et les équivalents de Google et des gestionnaires de mots de passe, les transportent entre vos propres appareils. Ni une clé ni une passkey ne peut être remise à un membre de la famille sous forme de fichier, donc pour ces comptes, les codes de récupération et une clé de rechange enregistrée comptent encore plus.

Comment sauvegarder mes codes 2FA dès aujourd'hui ?

Réservez une heure. La tâche est fastidieuse, mais elle ne doit être faite correctement qu'une fois, puis un rapide complément chaque fois que vous ajoutez un compte.

• Listez les comptes qui ont la 2FA

  Ouvrez votre application d'authentification et notez chaque compte qu'elle contient, puis ajoutez ceux qui utilisent le SMS ou une clé de sécurité. E-mail, banque, opérateur téléphonique, gestionnaire de mots de passe et stockage cloud viennent en premier ; ce sont les comptes dont dépendent les autres récupérations.

• Téléchargez les codes de récupération de chacun

  Dans les paramètres de sécurité de chaque compte, trouvez les codes de secours ou de récupération et enregistrez le jeu. Si vous en avez déjà utilisé certains, générez un nouveau jeu pour que votre copie soit complète. Notez la date à côté de chaque jeu.

• Exportez les secrets de l'application d'authentification

  La plupart des applications peuvent exporter leurs comptes sous forme d'une ou plusieurs images QR, ou se synchroniser avec un compte ou un coffre. Si votre application propose l'export, faites une capture d'écran de chaque image QR qu'elle affiche, sur ce même téléphone. Ensemble, elles constituent une copie complète et restaurable de votre second facteur : installer n'importe quelle application d'authentification et les scanner ramène tous les codes. Si votre application ne propose pas d'export (Authy, par exemple), sa propre synchronisation chiffrée est le substitut le plus proche, alors notez le mot de passe de sauvegarde avec vos autres codes de récupération.

• Traitez la copie comme des clés actives

  N'exportez que sur du matériel que vous contrôlez. Sortez immédiatement les captures d'écran de votre pellicule, supprimez-les des Suppressions récentes, et vérifiez que la synchronisation photo dans le cloud ne les a pas déjà récupérées. Quiconque détient ces images peut générer vos codes.

Où stocker les codes de secours 2FA en sécurité ?

Les endroits habituels sont ceux qui échouent. Des captures d'écran dans un dossier de téléchargements, des codes envoyés par e-mail à soi-même, un fichier texte sur le bureau : non chiffrés, éparpillés, et impossibles à trouver pour quelqu'un d'autre des années plus tard. Les codes de secours doivent vivre en un seul endroit qui soit chiffré, que vous aurez encore après avoir perdu un téléphone, et qu'une personne de confiance pourrait atteindre un jour.

• Le coffre d'un gestionnaire de mots de passe

  Le foyer le plus pratique pour la plupart des gens. Placez les codes de récupération de chaque compte dans les notes de l'identifiant correspondant, et stockez-y aussi le secret TOTP si votre gestionnaire le permet. Un coffre, un mot de passe maître, tout est apparié. Le point faible est la récupération du coffre lui-même : le PDF Emergency Kit de 1Password (avec sa Secret Key) et les codes 2FA de votre gestionnaire ont besoin d'un foyer en dehors du coffre.

• Du papier en lieu sûr

  Des codes imprimés dans une enveloppe scellée, dans un coffre à la maison ou un coffre bancaire, survivent à toute panne d'appareil. Le prix à payer est que le papier se périme : chaque nouveau compte ou jeu régénéré signifie réimprimer.

• Pas dans le compte qu'ils protègent

  Les codes de récupération de votre e-mail ne devraient jamais se trouver uniquement dans cet e-mail. Les codes de votre gestionnaire de mots de passe ne devraient jamais se trouver uniquement dans ce coffre. Chaque jeu doit être accessible sans la chose qu'il déverrouille.

Que devient ma 2FA à mon décès ?

Rien, et c'est bien le problème. L'application d'authentification continue de générer des codes sur un téléphone que personne ne peut déverrouiller. La clé de sécurité dort dans un tiroir, enregistrée sur des comptes que personne ne peut nommer. Les SMS partent vers un numéro que l'opérateur ferme quelques mois plus tard. Chaque compte que vous avez soigneusement protégé reste protégé, désormais contre les personnes que vous auriez voulu laisser entrer.

Une liste de mots de passe seule ne résout pas cela. Votre partenaire peut parfaitement connaître le mot de passe de l'e-mail et être tout de même arrêté à la seconde étape ; il en va de même pour la banque, les photos dans le cloud et le renouvellement du nom de domaine. Des procédures de récupération existent pour les proches, mais elles sont lentes, varient selon l'entreprise et le pays, et donnent généralement un accès limité ou nul. La voie pratique est la même que celle que vous utiliseriez vous-même après un téléphone perdu : des codes de récupération et des secrets exportés, détenus par quelqu'un qui sait qu'ils existent. Notre guide sur les mots de passe après le décès traite le volet mots de passe de la même question.

Comment transmettre l'accès 2FA à ma famille ?

Quelle que soit la méthode choisie, elle doit passer trois tests : les codes restent illisibles pour tout le monde aujourd'hui, ils parviennent à la bonne personne plus tard, et cette personne sait s'en servir. Une enveloppe scellée réussit le premier et échoue au troisième, sauf si vous ajoutez des instructions. Quel que soit votre choix, ajoutez un paragraphe par compte : ce que c'est, quel second facteur il utilise, où sont les codes, et quoi faire en premier.

• L'accès d'urgence d'un gestionnaire de mots de passe

  Plusieurs gestionnaires vous permettent de désigner un contact de confiance qui peut demander l'accès à votre coffre ; l'Emergency Access de Bitwarden l'accorde après un délai d'attente que vous fixez, sauf refus de votre part, et fait partie de ses offres payantes. Si vos codes de récupération et secrets TOTP vivent dans le coffre, cela transmet les deux facteurs en une seule étape. Cela dépend du fait que cette personne garde son propre compte actif et que le gestionnaire existe encore, alors associez-le à une copie papier des détails de récupération du coffre lui-même.

• Une note scellée chez une personne de confiance ou un notaire

  Des codes de récupération imprimés, les images d'export de l'application d'authentification et un bref mode d'emploi, scellés et confiés à un notaire, un avocat ou un exécuteur. Fiable et sans technologie, mais cela se périme vite, et vous devez avoir confiance que l'enveloppe ne sera jamais ouverte avant l'heure.

• Un dead man's switch

  Un service qui conserve vos codes chiffrés et ne les libère aux personnes choisies que si vous cessez de pointer. Il ajoute la seule chose qui manque à une enveloppe scellée : la remise automatique quand vous n'êtes plus là pour la faire vous-même. Voir comment un dead man's switch se compare à un gestionnaire de mots de passe pour les compromis.

Comment PostMortem gère-t-il les codes de secours 2FA ?

PostMortem est une application gratuite iOS et Android construite comme un dead man's switch. Vous créez une boîte à messages, ajoutez les personnes qui doivent la recevoir, et choisissez un intervalle de pointage d'une heure à douze mois. Vous pointez d'un seul geste dans l'application ; les rappels arrivent par e-mail et notification push à mesure que l'intervalle s'écoule. Si vous cessez de pointer et que l'intervalle expire, la boîte est libérée à vos destinataires.

Pour les sauvegardes à deux facteurs, une boîte peut contenir vos identifiants de connexion avec les codes de récupération notés à côté de chaque mot de passe, un message texte expliquant quel compte utilise quel second facteur, et jusqu'à cinq fichiers joints de 20 Mo chacun, ce qui suffit pour les images QR exportées de votre application d'authentification. Les messages, mots de passe, noms et contenus de fichiers sont chiffrés sur votre téléphone en AES-256 avant le téléversement et déchiffrés dans le navigateur du destinataire ; les serveurs de PostMortem ne voient jamais le contenu en clair. Le nom de la boîte, les adresses des destinataires et le calendrier de pointage restent lisibles pour que les rappels et la remise fonctionnent.

Le déchiffrement nécessite une carte de clé d'accès, une image de type QR que vous partagez avec chaque destinataire de votre vivant. C'est cette carte qui transforme une boîte libérée en codes lisibles, elle doit donc être conservée avec le même soin que les codes eux-mêmes. Comme la boîte est la vôtre, la même copie est là pour vous le jour où vous configurez un téléphone de remplacement. Plus de détails sur le modèle dans comment ça marche et sur la page sécurité.

Questions fréquentes

• Qu'est-ce qu'un code de secours 2FA ?

  Un code à usage unique qu'un service vous remet quand vous activez l'authentification à deux facteurs. Il remplace le code habituel de votre téléphone ou de votre clé si cet appareil est perdu. Chacun fonctionne une fois ; la plupart des services vous permettent de générer un nouveau jeu à tout moment, ce qui annule l'ancien.

• J'ai perdu mon téléphone avec mon application d'authentification. Comment rentrer ?

  Utilisez les codes de récupération que vous avez enregistrés en configurant la 2FA, ou restaurez l'application depuis sa synchronisation cloud ou un export sur un nouveau téléphone. Si vous n'avez rien de tout cela, chaque service a sa propre procédure de récupération de compte, qui peut prendre des jours et exiger une preuve d'identité.

• Que devient la 2FA quand quelqu'un meurt ?

  Le second facteur continue de fonctionner contre tout le monde, y compris la famille qui détient les mots de passe. À moins que des codes de récupération ou un export de l'application d'authentification aient été enregistrés et transmis, la seule voie est la procédure pour les proches de chaque plateforme, qui varie selon l'entreprise et le pays et est souvent lente ou limitée. Ceci est une information générale, pas un conseil juridique.

• Est-il sûr de stocker les codes 2FA dans un gestionnaire de mots de passe ?

  Pour la plupart des gens, oui : un coffre chiffré est plus sûr que des captures d'écran et garde les codes à côté des mots de passe auxquels ils sont associés. La seule règle est que les détails de récupération du coffre lui-même et ses codes 2FA doivent vivre en dehors du coffre.

• Comment donner à ma famille l'accès à ma 2FA sans la partager maintenant ?

  Utilisez quelque chose qui reste scellé jusqu'au moment où c'est nécessaire : l'accès d'urgence d'un gestionnaire de mots de passe avec un délai d'attente, une note scellée chez un notaire, ou un dead man's switch qui ne libère les codes chiffrés que si vous cessez de pointer. Ajoutez des instructions écrites dans tous les cas.

• À quelle fréquence rafraîchir mes sauvegardes 2FA ?

  Chaque fois que vous ajoutez un compte à votre application d'authentification, utilisez un code de récupération, ou régénérez un jeu. Une vérification annuelle est un minimum raisonnable ; la checklist d'héritage numérique est un bon moment pour le faire.