Application d’authentification sans téléphone : obtenir vos codes 2FA sur ordinateur

Vous vous connectez à presque tout dans Chrome. Une extension de navigateur garde les codes là où vous les saisissez. Authentificateur 2FA insère le code dans le champ d’un clic droit ou avec Ctrl+Shift+Y et scanne un QR code de configuration directement sur la page ; une nouvelle installation peut avoir une limite de comptes gratuits, que Pro supprime. Authenticator (authenticator.cc) est gratuite, compte bien plus d’utilisateurs et gère plus de types de codes, mais sa version sur le Chrome Web Store a été mise à jour pour la dernière fois en août 2024.

Vous voulez une application hors du navigateur. Proton Authenticator et Ente Auth sont gratuites et open source, fonctionnent sur Windows, macOS et Linux ainsi que sur téléphone, et se passent de compte sauf si vous voulez la synchronisation — un téléphone pourra donc servir de seconde copie plus tard, ou jamais. KeePassXC garde les codes dans son fichier de base de données chiffré sur votre ordinateur et peut les remplir dans le navigateur grâce à son extension.

Vous payez déjà un gestionnaire de mots de passe. Bitwarden (Premium, $19.80/an) et 1Password génèrent les codes et les remplissent juste après le mot de passe, et tous deux documentent la lecture d’un QR code de configuration à l’écran. Le revers est expliqué plus bas, dans la partie sur les codes gardés avec les mots de passe.

Vous voulez sortir complètement les secrets de l’ordinateur. Une YubiKey avec l’application Yubico Authenticator stocke le secret de chaque compte dans l’élément sécurisé de la clé, d’où il ne peut pas être extrait selon Yubico. L’application fonctionne sur Windows, macOS et Linux, scanne le QR code de configuration à l’écran et affiche les codes tant que la clé est branchée. Une YubiKey 5 accueille jusqu’à 64 comptes avec le firmware 5.7 ou ultérieur, 32 avec un firmware plus ancien. La clé est à acheter — et comme les secrets ne peuvent pas en être copiés, Yubico recommande d’enregistrer une seconde clé en secours.

Un ordinateur peut remplacer une application d’authentification. Il ne peut pas remplacer un téléphone quand le service lui-même a fait du téléphone le second facteur :

Codes par SMS ou e-mail uniquement. Certains services ne proposent aucune option d’application d’authentification : le code arrive par SMS ou par e-mail, et un authentificateur n’a rien à générer. Le compte Apple en est un exemple connu — l’aide d’Apple indique que le code s’affiche sur vos appareils Apple de confiance ou est envoyé à votre numéro de téléphone de confiance, et ne décrit aucune application d’authentification tierce.

L’application du service. Certaines banques confirment les connexions dans leur propre application au lieu de codes standard ; Truist, par exemple, utilise son application mobile Truist Authenticator. Si votre employeur exige une approbation dans une application précise, c’est aussi son choix, et les codes d’une autre application ne seront pas acceptés.

Configuration uniquement dans l’application mobile. L’aide de TikTok décrit l’activation de la vérification en deux étapes par application d’authentification uniquement dans l’application mobile TikTok, et demande une seconde méthode comme un numéro de téléphone ou une adresse e-mail. Une fois la configuration faite, les codes peuvent vivre n’importe où — notre guide TikTok montre comment faire passer le QR code du téléphone à l’extension.

Codes déjà sur un téléphone. Si vos comptes sont aujourd’hui dans Google Authenticator, il vous faut le téléphone une fois pour les exporter — voir importer depuis Google Authenticator — ou bien vous reconfigurez chaque compte depuis l’ordinateur.

La double authentification est censée exiger deux choses différentes. Si l’ordinateur qui retient vos mots de passe génère aussi vos codes, quelqu’un qui prend le contrôle de cet ordinateur — un malware qui copie les données du navigateur, ou une personne devant votre poste déverrouillé — peut obtenir les deux. Le guide de KeePassXC le dit sans détour : garder les codes TOTP dans la même base de données que le mot de passe annule les avantages de la double authentification, et il suggère une base séparée, que vous ne déverrouillez qu’en cas de besoin.

Ce que des codes sur ordinateur bloquent toujours, c’est l’origine de la plupart des piratages de comptes : un mot de passe divulgué par un autre site, deviné ou saisi sur une page de phishing. L’attaquant a le mot de passe mais pas votre ordinateur, donc pas de code. Un téléphone ajoute surtout une protection contre quelqu’un qui contrôle déjà votre ordinateur.

1. Verrouillez les codes. Activez la protection par mot de passe dans Authentificateur 2FA : les codes sont alors chiffrés sur votre appareil, sauvegardes comprises, et illisibles sans votre mot de passe. Les applications de bureau et les gestionnaires de mots de passe ont leurs propres verrous — utilisez-les.

2. Séparez codes et mots de passe. Avec des codes dans une application ou une extension distincte, plutôt que dans le coffre qui contient les mots de passe, un mot de passe maître volé ne suffit pas.

3. Gardez une sauvegarde hors de l’ordinateur. Authentificateur 2FA fait une copie automatique une fois par jour et conserve les sept dernières, mais ces copies vivent dans l’extension et disparaissent avec elle si elle est supprimée. Exportez un fichier protégé par mot de passe sur une clé USB ou à un autre endroit que vous contrôlez — comment sauvegarder.

4. Conservez les codes de récupération de chaque site. Ils vous permettent de revenir si l’ordinateur est perdu ou tombe en panne, sans aucun authentificateur. Imprimez-les ou rangez-les loin de cet ordinateur.

5. Ajoutez un téléphone plus tard si vous en avez un. Scanner le même QR code avec une application mobile pendant la configuration vous donne un second appareil qui affiche les mêmes codes — une sauvegarde, pas une obligation.

1. Installez un authentificateur sur l’ordinateur — le nôtre est Authentificateur 2FA.

2. Connectez-vous au site et ouvrez ses paramètres de sécurité. Activez la double authentification (parfois appelée validation ou vérification en deux étapes) et, si le site propose d’abord les SMS, choisissez application d’authentification. Nos guides de configuration indiquent où se trouve l’option pour 108 services.

3. Le site affiche un QR code. Dans Authentificateur 2FA : « Ajouter un compte » → « Code QR » → « Scanner QR depuis l'écran ». Si le scan échoue, utilisez le lien « Impossible de scanner le QR code ? » ou « Saisir manuellement » du site et collez la clé texte — où trouver la clé secrète.

4. Saisissez sur le site le code à six chiffres de l’extension. Tant que ce n’est pas fait, la 2FA n’est pas activée.

5. Conservez les codes de récupération que le site affiche ensuite, puis sauvegardez l’authentificateur lui-même.

Si le site refuse le code, la raison habituelle est qu’il a généré un nouveau QR code après que vous avez scanné le premier — recommencez la configuration et scannez le code affiché à l’écran maintenant. Autres causes : pourquoi les codes sont refusés.