Questions Fréquentes

Vous pouvez ajouter un compte de quatre façons :

• Saisie manuelle : cliquez sur « Ajouter un compte » et entrez le nom du compte et la clé secrète depuis la page de configuration 2FA de votre service.

• QR code : cliquez sur « Ajouter un compte », passez à l'onglet « QR Code » et importez une capture ou une photo du code — ou scannez-le avec la caméra, ou directement depuis l'écran.

• Coller un lien : Paramètres → « Coller des liens ». Un seul lien otpauth://, ou toute une liste, un par ligne. C'est ainsi qu'on déplace cent comptes depuis une autre application en une seule action.

• Un fichier : importez un .txt de liens otpauth://, une sauvegarde de cette extension, ou un fichier CXF venu d'un autre authentificateur.

Auprès du service que vous protégez — Gmail, GitHub, votre banque —, pas auprès de cette extension. L'extension n'envoie jamais de QR code ni de clé par e-mail ou par SMS : elle lit celui que le service vous affiche et le transforme en codes.

• Connectez-vous au service et ouvrez ses paramètres de sécurité
• Activez la double authentification (parfois appelée validation ou vérification en deux étapes). S'il propose d'abord les SMS ou l'e-mail, choisissez l'option application d'authentification — c'est elle qui affiche un QR code
• Le QR code apparaît à l'écran. Dans l'extension : Ajouter un compte → Code QR → « Scanner QR depuis l'écran »
• Impossible de le scanner ? Cherchez à côté un lien du type « Impossible de scanner le QR code ? » ou « Saisir manuellement ». Il affiche la clé secrète — en général 16 à 32 caractères, lettres A–Z et chiffres 2–7, par exemple JBSWY3DPEHPK3PXP. Ajoutez-la via Ajouter un compte → Manuel → « Clé secrète »
• Saisissez sur le service le code à six chiffres de l'extension. Tant que vous ne l'avez pas fait, la double authentification n'est pas activée

Non — il n'y a rien à autoriser. L'extension ne demande à l'avance l'accès à aucun site. Chrome ne la laisse voir une page qu'au moment où vous l'utilisez sur cette page :

• « Scanner QR depuis l'écran » capture la page affichée devant vous au moment où vous cliquez. L'accès vient du fait d'ouvrir l'extension avec son icône dans la barre d'outils sur cette page
• « Insérer le code 2FA », dans le menu du clic droit, remplit le champ sur lequel vous avez fait un clic droit — le clic droit lui-même vaut autorisation. Il est activé par défaut ; Paramètres → « Insérer un code par clic droit » le désactive et le réactive

Le menu « Accès au site » de Chrome pour cette extension n'a donc rien à activer, et « Sur tous les sites » n'est pas nécessaire.

Si « Scanner QR depuis l'écran » indique qu'il n'a pas pu capturer la page :

• Chrome protège certaines pages de toutes les extensions — ses propres pages de paramètres, le Chrome Web Store, les PDF. Le QR code doit se trouver sur une page web ordinaire
• Si vous avez ouvert l'extension avant d'aller sur la page du QR code, fermez-la et rouvrez-la depuis l'icône de la barre d'outils sur cette page
• Ou enregistrez une capture d'écran du QR code et utilisez Ajouter un compte → Code QR → « Choisir une image »

« Scanner le QR avec la caméra » fonctionne autrement : il ouvre une page qui demande à utiliser votre caméra. Si vous avez cliqué sur Bloquer, autorisez la caméra pour cette page dans les paramètres du site de Chrome — l'icône à gauche de la barre d'adresse — et réessayez.

Quand vous ouvrez l'extension sur un site web, elle met en avant le compte qui correspond à ce site et le marque « Suggéré », pour que vous n'ayez pas à le chercher. Elle retient aussi quel compte vous avez utilisé sur chaque site.

Pour le désactiver : Paramètres → « Navigateur » → « Suggérer un compte pour ce site ». La désactivation efface aussi ce qu'elle avait retenu.

Elle ne lit que l'adresse de l'onglet où vous vous trouvez, et seulement pendant que l'extension est ouverte. Rien de tout cela n'est envoyé à notre serveur.

Oui. Associez un compte à son site, et c’est toujours lui qui y sera proposé :

• Ouvrez le site, faites un clic droit sur le compte et choisissez « Utiliser sur … »
• Ou ouvrez « Modifier le compte » et saisissez l’adresse sous « Sites web » — coller un lien entier fonctionne aussi

Sur ce site, le compte est en haut de la liste sous « Pour ce site », et un clic droit dans le champ du code → « Insérer le code 2FA » l’insère sans rien demander.

Un site couvre aussi ses sous-domaines, et le plus précis l’emporte. Associez un compte à example.com et un autre à admin.example.com : admin.example.com n’affiche que le second, example.com et les autres sous-domaines que le premier. Un compte associé à des sites n’est jamais proposé ailleurs.

Pour copier le code au lieu de l’insérer, faites un clic droit ailleurs sur la page → « Copier le code 2FA de ce site ».

Les sites sont stockés dans le compte sur votre ordinateur, chiffrés avec lui si la protection par mot de passe est activée, et jamais envoyés à notre serveur.

En général, le code lui-même est bon : il correspond à un autre QR code que celui qu'attend le site. L'extension vérifie l'heure d'elle-même, il n'y a donc rien à changer sur votre ordinateur.

Ce qui s'est sans doute passé, et quoi faire :

• Le site a créé un nouveau QR code. Il le fait chaque fois que sa page de configuration est rechargée ou rouverte, et le compte ajouté en premier ne correspond plus. Recommencez la configuration sur le site, ajoutez le QR code affiché à l'écran maintenant et saisissez son code tout de suite
• Le code venait d'une autre entrée. Si le même site figure deux fois dans la liste, c'est l'entrée la plus récente qui fonctionne — et pendant la configuration, le site attend le code du compte que vous venez d'ajouter
• La double authentification était déjà configurée ailleurs, par exemple dans une application sur votre téléphone. L'extension n'affiche des codes que pour les comptes qui y ont été ajoutés. Pour transférer ce compte ici, configurez de nouveau l'authentificateur sur le site, cette fois avec l'extension
• Le site attend un autre code — celui qu'il vous a envoyé par SMS ou par e-mail, pas celui d'une application d'authentification

Si le code est sur le point de changer, attendez le suivant. Avant de supprimer une ancienne entrée, exportez d'abord une sauvegarde (Paramètres → « Exporter »). Et si l'extension elle-même affiche un avertissement concernant l'heure, suivez-le.

Pour sauvegarder vos comptes :

• Cliquez sur l'icône Paramètres (roue dentée)
• Cliquez sur « Exporter »
• Choisissez comment enregistrer le fichier :

• Protégé par mot de passe (recommandé) — le fichier est inutilisable pour qui ne connaît pas le mot de passe. Retenez-le : le fichier ne peut pas être ouvert sans lui.
• Fichier simple — la sauvegarde entière en JSON lisible. Uniquement pour un endroit que vous contrôlez entièrement.
• Liens otpauth:// — un lien par ligne dans un fichier .txt. Presque tous les autres authentificateurs savent le lire, ce qui en fait le format à choisir pour partir ailleurs.
• Format standard (CXF) — le format d'échange FIDO accepté par d'autres gestionnaires de mots de passe et authentificateurs.

Seul le premier est chiffré. Les trois autres contiennent vos clés secrètes en clair, et quiconque détient ce fichier peut générer vos codes 2FA.

Pour restaurer des comptes depuis une sauvegarde :

• Cliquez sur « importer depuis une sauvegarde » sur l'écran principal
• Choisissez le fichier — une sauvegarde de cette extension (JSON), un .txt de liens otpauth://, ou un fichier CXF d'un autre authentificateur
• Si le fichier est protégé par mot de passe, saisissez-le lorsqu'il est demandé
• Les comptes sont importés — sur une nouvelle installation, autant que l'offre gratuite en permet, ou tous avec Pro. Rien n'est importé en partie sans vous le demander d'abord.

Si vous avez les liens sous forme de texte plutôt que de fichier, Paramètres → « Coller des liens » les accepte directement.

Note : cela s'ajoute à vos comptes existants, cela ne les remplace pas.

Oui, sur chaque ordinateur où Chrome est connecté au même compte Google :

• Installez l'extension sur l'autre ordinateur
• Connectez-vous à Chrome sur cet ordinateur avec le même compte Google et activez la synchronisation, en incluant les extensions dans ce que Chrome synchronise
• Dans l'extension, vérifiez que Paramètres → « Synchroniser entre appareils » est activé. C'est le cas par défaut
• Vos comptes apparaissent sur l'autre ordinateur, en général en quelques minutes

Si les Paramètres affichent « Trop de comptes à synchroniser — ils restent sur cet ordinateur », la synchronisation de Chrome ne peut pas en transporter autant. Transférez-les à la main : Paramètres → « Exporter » sur un ordinateur, « Importer » sur l'autre. Un fichier protégé par mot de passe est le choix le plus sûr.

Il n'y a pas de version pour téléphone : Chrome sur mobile n'exécute pas les extensions. Pour avoir aussi les codes sur votre téléphone, scannez en plus le QR code du service avec une application d'authentification mobile au moment d'activer la double authentification — les deux afficheront les mêmes codes.

Sur un Mac, vous pouvez aussi utiliser l'app pour Mac (authenticator.sh/mac). Elle ne se synchronise pas avec l'extension : transférez vos comptes une fois, ou exportez puis importez un fichier, et ensuite chacune garde sa propre liste.

Oui. Authenticator pour Mac est une app gratuite pour la barre des menus, avec la même interface, les mêmes langues, groupes, import et export que l'extension. En plus :

• Appuyez sur ⌘⇧2 dans n'importe quelle app : une palette s'ouvre avec le compte de cette app ou de ce site en premier, et Entrée saisit le code dans le champ où vous étiez
• Touch ID déverrouille vos codes quand la protection par mot de passe est activée
• Elle scanne un QR code à l'écran ou avec la caméra

Elle nécessite macOS 13 Ventura ou ultérieur et fonctionne sur les Mac Apple silicon et Intel. Téléchargez-la sur authenticator.sh/mac. Il n'existe pas d'app pour Windows ni pour téléphone.

Oui. C'est une seule app universelle, native sur Apple silicon (M1 et suivants) comme sur les Mac Intel. Elle nécessite macOS 13 Ventura ou ultérieur ; avec un macOS plus ancien, utilisez plutôt l'extension Chrome.

En une étape, sur le même Mac :

• Installez l'app pour Mac et ouvrez-la
• Au premier lancement, elle trouve l'extension et propose de transférer vos comptes. Plus tard : cliquez sur l'icône de l'app dans la barre des menus → « Move from the Chrome Extension… »
• Choisissez le profil de navigateur et transférez-le. Si l'extension est protégée par un mot de passe, saisissez-le d'abord

L'app lit les comptes dans les données de l'extension, dans votre profil de navigateur sur ce Mac ; rien ne passe par notre serveur. Cela fonctionne avec l'extension dans Chrome, Brave, Edge, Arc et Vivaldi. L'extension garde ses comptes, et ensuite chacune garde sa propre liste.

Depuis un autre ordinateur : exportez un fichier dans l'extension (Paramètres → « Exporter ») et importez-le dans l'app pour Mac (Paramètres → « Importer »).

Chaque autorisation sert à une fonction, et toutes sont facultatives :

• Accessibilité : pour saisir le code dans le champ où vous étiez quand vous appuyez sur Entrée dans la palette ⌘⇧2. Sans elle, le code est copié, et le presse-papiers est vidé au bout de 45 secondes
• Enregistrement de l'écran : pour lire un QR code affiché à l'écran. La capture est traitée sur votre Mac et supprimée aussitôt. Sans elle, utilisez la caméra ou choisissez une image
• Automatisation : pour demander à votre navigateur l'adresse de l'onglet en cours, afin que le compte correspondant arrive en tête. macOS pose la question une fois par navigateur
• Caméra : pour scanner un QR code présenté à la caméra

macOS demande chacune la première fois que vous utilisez la fonction. Vous pouvez en retirer n'importe laquelle dans Réglages Système → Confidentialité et sécurité.

Si vous avez supprimé un compte par erreur :

• Cliquez sur l'icône Paramètres (roue dentée) et ouvrez « Copies automatiques » dans « Sauvegarde et Restauration ». L'extension fait une copie de vos comptes une fois par jour et garde les 7 dernières.
• Cliquez sur « Restaurer » à côté d'une copie antérieure à la suppression. La restauration ajoute seulement les comptes manquants : ce que vous avez maintenant ne change pas.
• Dans aucune copie ? Restaurez-le depuis un fichier de sauvegarde que vous avez exporté : « Importer », dans la même section.
• Pas là non plus ? Il ne reste alors que le service lui-même : tant que vous y êtes encore connecté, désactivez puis réactivez la 2FA et ajoutez le nouveau QR code.

Les copies automatiques sont stockées dans l'extension. Supprimer l'extension ou effacer les données du navigateur les efface aussi — ne réinstallez donc pas l'extension pour récupérer un compte.

Les codes TOTP sont générés à partir de l'horloge de votre appareil : si elle dérive de plus de ~30 secondes par rapport à l'heure réelle, les services refuseront vos codes.

Comment corriger :

• macOS : Réglages Système → Général → Date et heure → activez « Régler la date et l'heure automatiquement »
• Windows : Paramètres → Heure et langue → Date et heure → activez « Définir l'heure automatiquement », puis cliquez sur « Synchroniser maintenant »
• Linux : activez NTP / la date et l'heure automatiques dans vos réglages

Rouvrez ensuite l'extension : l'avertissement disparaît et vos codes seront de nouveau acceptés. Seule l'horloge de votre appareil est à corriger ; les codes eux-mêmes restent générés hors ligne.

Ce sont des réglages avancés (les valeurs par défaut conviennent presque toujours) :

• Algorithme : fonction de hachage utilisée pour dériver le code (SHA1 est le standard)
• Chiffres : longueur du code (6 est le plus courant, certains utilisent 8)
• Période : durée de validité d'un code (30 secondes par défaut)

La plupart des services utilisent : SHA1, 6 chiffres, 30 secondes.

Vos comptes sont stockés dans votre navigateur — sur votre appareil, et dans Chrome Sync sous votre propre compte Google si la synchronisation est activée. Vos clés secrètes, les noms de vos comptes et vos codes ne nous parviennent jamais.

• Les clés secrètes ne quittent jamais votre appareil
• Sauvegardes locales automatiques (les 7 dernières) en cas de problème
• Stockées dans le stockage Chrome, la synchronisation étant une seconde copie facultative

Par défaut, vos codes sont enregistrés sans chiffrement et protégés par la session de votre ordinateur et votre profil Chrome — comme dans la plupart des extensions d'authentification. Pour une protection plus forte, activez la protection par mot de passe dans les Paramètres : vos codes, sauvegardes comprises, sont alors chiffrés sur votre appareil et illisibles sans votre mot de passe.

L'extension contacte bien notre serveur une fois par jour, pour l'offre gratuite et Pro — avec un identifiant anonyme et quelques nombres, jamais vos comptes. La question « Qu'envoie l'extension à votre serveur ? » ci-dessous détaille tout ce qu'elle envoie.

Une fois par jour, l'extension contacte notre serveur, api.authenticator.sh, pour que l'offre gratuite et Pro fonctionnent. Elle envoie :

• un identifiant aléatoire créé par cette installation — sans lien avec votre compte Google, votre adresse e-mail ou votre navigateur, sauf si vous achetez Pro : votre achat le relie alors, ainsi que toute autre installation où votre clé de licence est active, à l'adresse e-mail avec laquelle vous avez payé
• la version de l'extension, sa langue et celle de votre navigateur
• la date d'installation, et si elle est antérieure à la version 1.14.0
• combien de comptes vous avez — un nombre, jamais lesquels
• si la protection par mot de passe et la synchronisation sont activées, et si l'extension s'ouvre en popup, dans une fenêtre ou dans le panneau latéral, ainsi que le style utilisé, clair ou sombre
• quelle politique de l'offre gratuite et quelle licence elle détient actuellement, et si elle a déjà votre clé de licence
• une courte liste d'événements de facturation : la limite a été atteinte, l'écran Pro a été affiché ou fermé, une offre a été choisie, un paiement ou une clé de licence a été tenté

Notre serveur déduit votre pays de la requête ; votre adresse IP n'est pas conservée.

Elle n'envoie jamais vos clés secrètes, les noms de vos comptes, leurs émetteurs, vos codes ni les sites où vous les utilisez. Lorsque vous désinstallez l'extension, la page de retour reçoit le même identifiant : dès son ouverture, elle signale à notre serveur que cette installation a été supprimée, et une réponse — si vous en donnez une — y est rattachée. La politique de confidentialité donne tous les détails, et le code qui construit la requête est open source.

Ouvrez les Paramètres et activez « Protection par mot de passe ». Vos codes sont alors chiffrés sur cet appareil : personne ne peut les lire sans votre mot de passe — ni quelqu'un utilisant votre ordinateur, ni un virus qui vole les données du navigateur, ni personne via la synchronisation de votre compte Google.

Vous recevrez aussi un code de récupération. Conservez-le en dehors de ce navigateur : c'est le seul moyen de revenir si vous oubliez votre mot de passe. Nous ne pouvons pas le réinitialiser pour vous.

Vous choisissez la fréquence à laquelle le mot de passe est demandé : à chaque fois, après quelques minutes d'inactivité, ou une seule fois jusqu'à la fermeture du navigateur. Vous pouvez désactiver la protection à tout moment avec votre mot de passe.

Oui. Google Authenticator exporte vos comptes sous forme de QR code sur le téléphone, et l'extension le lit avec la caméra de votre ordinateur :

• Ouvrez Google Authenticator sur votre téléphone
• Touchez le menu ⋮ (en haut à droite) → « Transférer des comptes » → « Exporter des comptes »
• Choisissez les comptes et touchez Suivant. Votre téléphone affiche alors un QR code
• Dans l'extension : Ajouter un compte → Code QR → « Scanner le QR avec la caméra », et dirigez la caméra de l'ordinateur vers l'écran du téléphone
• Beaucoup de comptes ? Google Authenticator les répartit sur plusieurs QR codes : touchez Suivant sur le téléphone et scannez-les un par un

Pas de caméra sur cet ordinateur ? Photographiez le QR avec un autre téléphone ou un appareil photo, envoyez l'image sur l'ordinateur et utilisez Ajouter un compte → Code QR → « Choisir une image ». Une capture d'écran ne marche pas : sous Android, Google bloque les captures de cet écran d'export, un second appareil est donc le seul moyen de le saisir. « Scanner QR depuis l'écran » n'aide pas non plus : il lit les codes affichés sur l'écran de cet ordinateur, pas sur votre téléphone.

Pas de second appareil non plus ? Alors reconfigurez les comptes un service à la fois : sur le site, désactivez la double authentification puis réactivez-la aussitôt, et utilisez Ajouter un compte → Code QR → « Scanner QR depuis l'écran ».

Si vous avez déjà le lien de transfert sous forme de texte — il commence par otpauth-migration:// — collez-le dans Paramètres → « Coller des liens ».

Gardez Google Authenticator sur votre téléphone jusqu'à ce qu'un code de l'extension ait été accepté.

Oui — depuis le fichier que la plupart des applications d'authentification savent exporter. Dans l'extension, ouvrez Paramètres → « Importer » et choisissez ce fichier :

• Proton Authenticator : dans l'application, ouvrez Paramètres → Exporter et choisissez l'export sans mot de passe. Vous obtenez un fichier .json.
• Aegis et 2FAS : leur export, avec ou sans mot de passe (2FAS l'enregistre en fichier .2fas, Aegis en .json). Si le fichier a un mot de passe, l'extension vous le demande — il sert uniquement à ouvrir le fichier sur votre ordinateur et n'est pas enregistré.
• Bitwarden, FreeOTP+ et andOTP : leur export fait sans mot de passe (un fichier .json).
• FreeOTP : la sauvegarde que vous faites dans l'application a toujours un mot de passe. Choisissez ce fichier et saisissez le même mot de passe — il sert uniquement à ouvrir le fichier sur votre ordinateur et n'est pas enregistré.
• Ente Auth ou toute autre application qui exporte des liens otpauth:// : le fichier .txt avec un lien par ligne — ou copiez les liens et collez-les dans Paramètres → « Coller des liens ».
• Une application qui exporte au format standard CXF : ce fichier.

Les sauvegardes protégées par mot de passe d'autres applications — Proton Authenticator, Bitwarden, andOTP — ne peuvent pas être ouvertes ici : exportez-les à nouveau sans mot de passe. Ce fichier contient vos clés secrètes en clair : supprimez-le dès que les comptes sont dans l'extension, et gardez l'ancienne application jusqu'à ce qu'un code de l'extension ait été accepté.

Google Authenticator n'exporte pas de fichier : voir « Puis-je importer depuis Google Authenticator ? ».

Si vous perdez l'accès à cette extension sans sauvegarde :

• Vous devrez désactiver la 2FA sur chaque service concerné
• Puis la réactiver et ajouter de nouveau les comptes
• Gardez les codes de récupération des services en lieu sûr

Prévention : exportez régulièrement des sauvegardes et rangez-les en sécurité !

Oui, son utilisation est gratuite. L'installation ne coûte rien, et l'offre gratuite comprend toutes les fonctionnalités, sauf la sauvegarde dans le cloud :

• Les installations antérieures à la version 1.14.0 gardent des comptes illimités, gratuitement. Rien ne change pour elles.
• Les nouvelles installations peuvent être soumises à une limite du nombre de comptes gratuits. Pro supprime la limite et ajoute une sauvegarde chiffrée dans le cloud.
• La limite ne peut qu'empêcher l'ajout d'un compte. Chaque compte que vous avez déjà garde son code, et l'export, les sauvegardes, la restauration et la synchronisation continuent de fonctionner — avec ou sans Pro, et après la fin d'un abonnement.

La limite est vérifiée sur votre ordinateur, à partir de la dernière politique signée par notre serveur : une limite que l'extension a déjà reçue s'applique donc aussi hors ligne. Tant que l'extension n'a pas joint notre serveur une première fois, rien n'est limité.

Des comptes illimités et une sauvegarde dans le cloud. Tout le reste fonctionne de la même façon, avec ou sans Pro.

• Comptes illimités : ajoutez-en autant qu'il vous faut.
• Sauvegarde dans le cloud : une copie chiffrée de vos comptes sur notre serveur, pour que perdre cet ordinateur ne veuille pas dire perdre vos codes. Activez-la dans Paramètres → « Sauvegarde et Restauration » → « Sauvegarde dans le cloud » → « Activer ». Elle est verrouillée par un code de récupération de sauvegarde qui ne quitte jamais votre navigateur : nous ne pouvons donc pas l'ouvrir. Sur un nouvel ordinateur, saisissez votre clé de licence, puis ce code. Si Pro prend fin, vos copies restent restaurables pendant 90 jours.
• Offres : un abonnement mensuel ou annuel, ou un achat unique à vie. Celles que vous voyez peuvent varier pendant que nous cherchons les bons prix.
• Le paiement se fait sur Stripe Checkout, dans un nouvel onglet. Link, le service de paiement de Stripe, est le vendeur officiel : il gère les reçus, les taxes et les questions sur une commande.
• Pro s'active tout seul dans le navigateur depuis lequel vous avez payé. Sur un autre ordinateur, ouvrez Paramètres → Pro → « J'ai une clé de licence » et saisissez votre clé (2FA-XXXXX-XXXXX-XXXXX-XXXXX). Une licence fonctionne sur 5 appareils au maximum ; un appareil qui n'a pas contacté notre serveur depuis 60 jours libère sa place tout seul. Besoin de plus d'appareils ? Écrivez à support@authenticator.sh depuis l'adresse utilisée pour payer, et nous relèverons la limite de votre licence.
• Pour gérer ou résilier un abonnement : Paramètres → Pro → « Gérer l'abonnement ». Si vous résiliez, Pro reste actif jusqu'à la fin de la période déjà payée.

La clé figure dans l'e-mail reçu après le paiement, et elle s'est affichée sur la page qui s'est ouverte une fois le paiement validé.

Si vous ne la retrouvez pas, ouvrez l'extension sur l'ordinateur où vous en avez besoin et allez dans Paramètres → Pro → « Passer à Pro » → « Restaurer un achat ». Saisissez l'adresse e-mail utilisée pour le paiement : la clé y est renvoyée. Le même bouton se trouve sur l'écran qui s'affiche lorsque vous atteignez la limite de l'offre gratuite.

Si aucun e-mail n'arrive, écrivez à support@authenticator.sh depuis l'adresse utilisée pour payer, et nous vous enverrons la clé. Ne nous envoyez jamais de clé secrète ni de fichier de sauvegarde — nous n'en avons pas besoin pour cela.