Code 2FA qui ne fonctionne pas ? Pourquoi un code d’authentification est refusé, et comment y remédier

C’est le piège dans lequel tombent la plupart des gens pendant la configuration. Un site crée un nouveau secret — et un nouveau QR code — chaque fois que sa page de configuration de la 2FA est rechargée, rouverte ou recommencée. Le centre d’aide de Remote décrit exactement cela : tout QR code scanné auparavant cesse de fonctionner. Votre authentificateur affiche toujours les codes du premier QR code, le site attend désormais ceux du nouveau, et rien à l’écran ne vous signale qu’ils ne correspondent plus.

Solution : recommencez la configuration de la 2FA sur le site et restez sur cette page. Ajoutez le QR code affiché à l’écran maintenant — avec notre extension, « Ajouter un compte » → « Code QR » → « Scanner QR depuis l'écran » — et saisissez aussitôt sur le site le code qu’il affiche, sans recharger ni quitter la page. Conservez ensuite les codes de secours que le site propose.

La même chose se produit quand vous désactivez puis réactivez la 2FA, ou cliquez sur « changer d’application d’authentification » : l’ancienne entrée de votre application cesse de fonctionner et seul le nouveau QR code compte.

Après une deuxième tentative de configuration, le même site figure souvent deux fois dans la liste, sous le même nom. Seule l’entrée issue du dernier QR code ajouté fonctionne — l’ancienne correspond à un QR code que le site a déjà abandonné. Pendant la configuration, le site attend toujours le code du compte que vous venez d’ajouter.

La même confusion arrive avec deux comptes sur un même site — un compte Google personnel et un professionnel, par exemple. Pour un code incorrect, Google conseille lui-même de vérifier que le code correspond au bon service et au bon compte. Regardez le nom sous le code, pas seulement le logo.

Solution : utilisez l’entrée la plus récente. Une fois qu’un de ses codes a été accepté, vous pouvez supprimer l’ancienne — exportez d’abord une sauvegarde (« Paramètres » → « Exporter ») au cas où vous vous tromperiez d’entrée.

Un authentificateur n’affiche des codes que pour les comptes qu’on y a ajoutés. Si vous avez activé la 2FA d’un site il y a des mois avec Google Authenticator, Microsoft Authenticator ou un ancien téléphone, c’est là que se trouvent ses codes — une entrée ajoutée ailleurs plus tard ne correspondra pas, sauf si elle a été créée à partir du même QR code exactement.

Solution : prenez le code dans l’application utilisée lors de la configuration. Pour déplacer le compte, exportez-le depuis cette application — le QR code d’export de Google Authenticator s’importe directement dans notre extension, voir importer depuis Google Authenticator — ou connectez-vous, ouvrez les paramètres 2FA du site et reconfigurez l’authentificateur, cette fois avec la nouvelle application. Gardez l’ancienne application jusqu’à ce qu’un code de la nouvelle ait été accepté. Pour en savoir plus : transférer la 2FA sur un nouveau téléphone.

Toutes les cases à six chiffres n’attendent pas votre authentificateur. Beaucoup de sites envoient un code par SMS ou par e-mail — à la connexion, ou pour confirmer votre adresse avant même que la 2FA soit activée — et seul ce code-là fonctionne à cet endroit. Le centre d’aide de Remote le souligne aussi : un code envoyé par e-mail n’est pas un code 2FA généré par une application d’authentification. Si la page indique « nous avons envoyé un code à… », regardez dans vos messages ou votre boîte de réception, pas dans l’application.

Certaines pages de connexion demandent plutôt un code de secours (aussi appelé code de récupération) : l’un des codes à usage unique que le site vous a donnés sous forme de liste lors de la configuration de la 2FA. Ils se trouvent sur le papier ou dans le fichier où vous les avez conservés, pas dans l’authentificateur — et ce ne sont pas des clés secrètes : en ajouter un comme compte dans un authentificateur produit des codes qu’aucun site n’acceptera. Vous les avez perdus ? Google, par exemple, permet d’obtenir de nouveaux codes de secours dans les paramètres de la validation en deux étapes tant que vous êtes encore connecté.

Solution : lisez le texte au-dessus de la case. « Application d’authentification », « application de validation » ou « code de votre application » désigne l’authentificateur ; tout le reste désigne le SMS, l’e-mail ou la liste de codes de secours.

La plupart des codes d’authentification changent toutes les 30 secondes — la FAQ de Microsoft sur sa propre application l’indique aussi. Un code saisi dans ses toutes dernières secondes peut arriver sur le site alors qu’il a déjà changé.

Solution : si le minuteur est presque vide, attendez le code suivant et saisissez-le tout de suite. Dans notre extension, cliquer sur un code le copie : vous pouvez donc le coller au lieu de le taper.

Si vous avez ajouté le compte en tapant la clé secrète au lieu de scanner le QR code, un seul caractère erroné donne une autre clé. Ses codes ont l’air parfaitement normaux et sont tout simplement refusés.

Solution : sur la page de configuration du site — la même, sans la recharger — copiez à nouveau la clé et collez-la dans notre générateur de codes TOTP, qui fonctionne dans votre navigateur et n’enregistre rien. Comparez son code avec celui de votre authentificateur. S’ils diffèrent, la clé de votre authentificateur est fausse : supprimez cette entrée et ajoutez-la à nouveau en collant la clé ou en scannant le QR code. S’ils correspondent et que le site les refuse toujours, revenez à la première cause.

Quelques services utilisent huit chiffres, SHA256 ou une période de 60 secondes au lieu des six chiffres, du SHA1 et des 30 secondes habituels. Un QR code transporte ces réglages ; une clé saisie à la main, non : réglez-les donc selon les indications du site — voir algorithme, chiffres et période.

Un code est calculé à partir de la clé secrète et de l’heure actuelle : une application sur un appareil dont l’horloge est fausse produit des codes refusés. Avec une application mobile, activez la date et l’heure automatiques dans les réglages du téléphone. Google Authenticator s’appuie sur l’horloge du téléphone lui-même — Google a supprimé son réglage distinct de correction de l’heure dans la version 7.0.

Avec Authentificateur 2FA, il n’y a rien à modifier : l’extension vérifie elle-même l’heure auprès de plusieurs sources et ajuste les codes si l’horloge de votre ordinateur est décalée. Ce n’est que si elle n’y parvient pas qu’elle affiche un avertissement sur l’heure — suivez alors les étapes de la FAQ.

Connectez-vous autrement — un code de secours, un SMS ou un code par e-mail, selon ce que le site propose —, puis ouvrez ses paramètres 2FA, désactivez puis réactivez l’authentificateur et ajoutez le nouveau QR code. Nos guides de configuration indiquent où se trouve ce paramètre pour 108 services.

Ne supprimez pas d’entrées et ne réinstallez pas votre authentificateur dans l’espoir de corriger un code : les codes ne changeront pas, et vous risquez de perdre la seule entrée qui fonctionne. Désinstaller notre extension supprime aussi ses copies automatiques — si vous avez déjà supprimé un compte, restaurez-le plutôt depuis une copie automatique.