Transférer la 2FA sur un nouveau téléphone, et que faire si vous avez perdu l’ancien

1. Vérifiez quelles applications contiennent vos codes. Beaucoup de gens en ont dans Google Authenticator et d’autres dans Microsoft Authenticator ou Authy, et chacune se transfère séparément.

2. Transférez-les avec la méthode propre à chaque application, ci-dessous. Un compte qui ne se transfère pas peut être reconfiguré tant que vous pouvez encore vous connecter : désactivez puis réactivez sa 2FA par application, ou cherchez « changer d’application d’authentification ». Nos guides de configuration indiquent où se trouve ce paramètre pour 108 services — dont Google, Microsoft et GitHub.

3. Sur le nouveau téléphone, connectez-vous à vos comptes les plus importants avec les nouveaux codes — votre messagerie en premier, car c’est par elle que tous les autres comptes se récupèrent.

4. Conservez de nouveaux codes de récupération pour les comptes importants, ailleurs que sur le téléphone.

5. Seulement alors, effacez l’ancien téléphone. Le garder une semaine dans un tiroir ne coûte rien et vous sauve si un compte a été oublié.

Google Authenticator. Sur l’ancien téléphone, ouvrez Menu → Transfer codes → Export codes (transférer les codes → exporter les codes), choisissez les comptes, et un QR code apparaît ; sur le nouveau téléphone, ouvrez Menu → Transfer codes → Import codes (transférer les codes → importer les codes) et scannez-le. Si la synchronisation avec le compte Google est activée, il suffit de vous connecter au même compte Google sur le nouveau téléphone pour que les codes arrivent d’eux-mêmes, ancien téléphone ou pas. Sans synchronisation, le QR code d’export exige d’avoir l’ancien téléphone en main.

Microsoft Authenticator. Activez la sauvegarde cloud sur l’ancien téléphone — elle utilise un compte Microsoft personnel sur Android et iCloud sur iPhone — puis restaurez-la sur le nouveau. La sauvegarde ne se restaure que sur le même type de téléphone : d’iPhone à iPhone, d’Android à Android. Les codes d’autres services, comme Amazon ou Facebook, reviennent tels quels ; pour les comptes professionnels ou scolaires, seul le nom du compte revient, et vous devez vous reconnecter à chacun. Si ce n’est pas possible, le support informatique de votre organisation peut effacer vos paramètres pour que vous enregistriez le nouveau téléphone à votre prochaine connexion.

Authy. Les comptes Authy sont liés à un numéro de téléphone. Installez Authy sur le nouveau téléphone, saisissez le numéro, et approuvez le nouvel appareil depuis l’ancien, ou par SMS ou appel. Vos jetons arrivent de l’ancien appareil, ou des sauvegardes chiffrées d’Authy si elles étaient activées — celles-ci exigent votre mot de passe de sauvegarde, que Twilio ne reçoit jamais et ne peut pas récupérer. Authy ne peut pas exporter vers une autre application : quitter Authy implique de reconfigurer chaque compte.

2FAS Auth. Avec 2FAS Backup activé, sa synchronisation — Google Drive sur Android, iCloud sur iPhone — restaure vos jetons sur un nouveau téléphone du même type connecté au même compte. Entre Android et iPhone, exportez un fichier de sauvegarde protégé par mot de passe sur l’ancien téléphone et importez-le sur le nouveau. Si vous avez défini un mot de passe de sauvegarde, 2FAS ne peut pas le récupérer.

Authentificateur 2FA (la nôtre). Elle n’est pas sur votre téléphone : un nouveau téléphone ne change donc rien pour elle. C’est justement utile pendant un changement : tant que les codes sont dans Chrome, vous pouvez vous connecter à chaque service sur l’ordinateur et configurer la 2FA sur le nouveau téléphone sans l’ancien. Elle ne peut pas placer elle-même des codes dans une application mobile, mais son export en liens otpauth:// est un format que presque tous les autres authentificateurs savent lire (sauvegarde). Pour la transférer sur un autre ordinateur, utilisez la synchronisation Chrome ou un fichier d’export — voir plusieurs appareils et restauration.

D’abord, soyons francs. Un code 2FA est calculé à partir d’une clé secrète stockée dans l’application. Si cette clé n’existait que sur le téléphone perdu, elle a disparu, et personne ne peut la reproduire — ni l’éditeur de l’application, ni un réparateur, ni nous : Authentificateur 2FA ne reçoit jamais les clés secrètes de qui que ce soit. Ce qui peut vous rendre l’accès, c’est le service auquel vous vous connectez. Suivez ces étapes dans l’ordre.

1. Vérifiez si une copie a survécu. Google Authenticator avec synchronisation du compte Google : installez-le sur le nouveau téléphone et connectez-vous. Microsoft Authenticator avec sauvegarde cloud : restaurez-la sur un téléphone du même type. Authy avec sauvegardes : installez-le, saisissez votre numéro, validez par SMS ou appel, puis saisissez le mot de passe de sauvegarde. 2FAS avec synchronisation : activez 2FAS Backup avec le même compte Google ou iCloud. Si vous aviez aussi ajouté les comptes à Authentificateur 2FA, les codes sont toujours dans Chrome sur votre ordinateur.

2. Utilisez les codes de récupération du service. La plupart des services fournissent une série de codes à usage unique quand vous activez la 2FA. Google donne dix codes de secours, valables une fois chacun ; GitHub les appelle codes de récupération. Saisissez-en un là où le site demande le code 2FA.

3. Essayez une autre méthode de connexion. Une clé de sécurité ou une clé d’accès, un SMS vers un numéro que vous avez toujours, ou une invite sur un autre appareil encore connecté. GitHub, par exemple, accepte une clé d’accès ou une clé de sécurité à la place de l’application perdue.

4. Demandez au service une récupération de compte. C’est lent, et c’est voulu. Google pose des questions sur le compte, et cela marche mieux depuis un appareil et un lieu d’où vous vous connectez habituellement. Coinbase demande une photo de votre pièce d’identité et met jusqu’à 24 heures (guide 2FA Coinbase). Un compte Microsoft professionnel ou scolaire passe par le support informatique de votre organisation. Certains services ne peuvent rien faire : GitHub indique que son support ne peut pas restaurer l’accès à un compte protégé par la 2FA une fois perdus à la fois les identifiants 2FA et les méthodes de récupération.

5. Coupez l’accès du téléphone perdu. Google conseille d’effacer à distance un téléphone perdu et, si vos codes étaient synchronisés, de retirer l’appareil de votre compte Google ; sans synchronisation, il recommande de reconfigurer les codes site par site. Dans Authy, retirez l’ancien appareil de la liste de vos appareils. Une fois de retour dans un compte, reconfigurez sa 2FA et conservez les nouveaux codes de récupération.

Gardez une seconde copie de chaque code. Le plus simple : deux applications à partir du même QR code. Quand un site affiche son QR code de configuration, scannez-le avec votre application mobile et avec Authentificateur 2FA — les deux affichent alors les mêmes codes (plusieurs appareils). Les comptes déjà dans Google Authenticator se transfèrent en une fois grâce à son QR code d’export.

Gardez les codes de récupération hors du téléphone. Imprimez-les, ou rangez-les dans un gestionnaire de mots de passe. Une capture d’écran dans la galerie du téléphone disparaît avec lui.

Activez la sauvegarde de votre application, et gardez son mot de passe ailleurs. Les mots de passe de sauvegarde d’Authy et de 2FAS ne peuvent pas être récupérés par l’éditeur.

Exportez de temps en temps un fichier de sauvegarde. Dans Authentificateur 2FA : « Paramètres » → « Exporter », avec protection par mot de passe (sauvegarde) ; « Importer » sur un autre ordinateur le relit (restauration). Les copies automatiques quotidiennes de l’extension vivent dans l’extension — elles protègent contre la suppression d’un compte par erreur, pas contre la perte de l’ordinateur.

Ajoutez une seconde méthode de connexion partout où un service en propose une, comme une clé de sécurité ou une clé d’accès.