Qu'est-ce que l'authentification à deux facteurs (2FA) ?
ALI Remote · Glossaire
L'authentification à deux facteurs (2FA) est une méthode de connexion exigeant deux types de preuve, souvent un mot de passe et un objet que vous possédez (téléphone, clé de sécurité).
Avec la 2FA activée, un mot de passe volé ne suffit plus à ouvrir le compte. Certains services parlent de vérification en deux étapes, et c'est la forme la plus courante d'authentification multifacteur (MFA).
Pourquoi l'authentification à deux facteurs est-elle importante ?
Les mots de passe fuitent : ils sont réutilisés, devinés et saisis sur de fausses pages de connexion. Dans une fiche pratique de 2022 (en anglais), la CISA, l'agence américaine de cybersécurité, explique le bénéfice : si un mot de passe est compromis, un attaquant qui ne peut pas aussi fournir le second facteur ne peut toujours pas entrer.
La 2FA est aussi pensée pour une seule personne. Selon la page d'assistance d'Apple, l'identification à deux facteurs du compte Apple est conçue pour garantir que vous êtes la seule personne à pouvoir accéder à votre compte.
Comment fonctionne l'authentification à deux facteurs ?
Chaque preuve appartient à l'une de trois catégories, et la 2FA en combine deux différentes :
- Ce que vous savez : un mot de passe ou un code PIN.
- Ce que vous possédez : un téléphone, une application d'authentification ou une clé de sécurité.
- Ce que vous êtes : une empreinte digitale ou une reconnaissance faciale, généralement pour déverrouiller l'appareil qui détient le second facteur.
À la connexion, vous saisissez votre mot de passe, puis le service demande le second facteur : un code dans une application, une pression sur une clé de sécurité ou une demande de confirmation sur un appareil que vous avez déjà approuvé. Un mot de passe et une question de sécurité, ce sont deux étapes mais un seul facteur, puisque les deux relèvent de ce que vous savez.
Quel second facteur est le plus sûr ?
La fiche de la CISA classe les seconds facteurs du plus robuste au plus faible : les passkeys et les clés de sécurité en tête, les codes par SMS ou par appel vocal en dernier. Les recommandations du NIST sur l'identité numérique, SP 800-63B-4 (juillet 2025, en anglais), ajoutent que la résistance au phishing exige une authentification cryptographique : un faux site peut capturer n'importe quel code que vous tapez à la main.
| Second facteur | Fonctionnement | Principale faiblesse |
|---|---|---|
| Passkey ou clé de sécurité | Une clé cryptographique qui ne répond qu'au vrai site pour lequel elle a été créée | Pas encore proposée partout ; prévoyez une solution de secours |
| Application d'authentification | Un code à usage unique qui se renouvelle, ou une demande à approuver | Les codes peuvent être saisis sur une fausse page ; les avalanches de demandes finissent par lasser les utilisateurs |
| Code par SMS ou appel vocal | Un code à usage unique envoyé à votre numéro | Le phishing, et le SIM swapping, où un attaquant fait transférer votre numéro sur sa carte SIM |
La CISA qualifie la MFA résistante au phishing de « référence absolue » et réserve les SMS et les appels vocaux au dernier recours, et le NIST classe le réseau téléphonique parmi les options « restreintes ». Reste que n'importe quelle 2FA vaut mieux qu'aucune : si un service ne propose que le SMS, activez-le.
L'authentification à deux facteurs quand plusieurs personnes partagent un accès
Comme la 2FA lie un compte au second facteur d'une seule personne, un compte partagé la met en échec. Soit les codes arrivent sur le téléphone d'un collègue et tous les autres doivent les lui demander, ce qui habitue chacun à se transmettre des codes, soit quelqu'un désactive la 2FA. Les recommandations du NIST précisent que chacun est responsable de la protection de ses secrets d'authentification et ne doit pas les divulguer à d'autres.
Le modèle qui tient la route :
- Un compte par personne, jamais de mot de passe partagé.
- Chaque personne active son propre second facteur.
- Des rôles limitent ce que chacun peut ouvrir ou modifier.
- Quand quelqu'un part, vous supprimez son compte.
Exemple (à titre d'illustration). Une agence partage un seul compte pour un outil, et chaque freelance doit demander à la fondatrice le code qu'elle reçoit sur son téléphone. Avec un compte chacun, les freelances approuvent eux-mêmes leurs connexions, et mettre fin à une mission revient à supprimer un compte.
La page produit d'ALI Remote cite, parmi ses fonctionnalités d'équipe, des rôles aux autorisations précises et la connexion à deux facteurs. Vous créez des comptes pour vos collaborateurs, leur donnez des rôles et choisissez exactement quels iPhone chacun peut ouvrir. Quand vous retirez quelqu'un de votre équipe, l'accès est révoqué aussitôt.
Termes associés
- Passkey : un identifiant cryptographique qui remplace le mot de passe. Pour l'utiliser, il faut votre appareil plus votre visage, votre empreinte ou le code de l'appareil, si bien que de nombreux services y voient les deux facteurs à la fois.
- Real device cloud : des téléphones physiques hébergés dans un datacenter et utilisés à distance, souvent par des équipes qui attribuent les accès personne par personne.
Questions fréquentes
La 2FA est-elle la même chose que la MFA ?
La 2FA est un type de MFA. L'authentification multifacteur désigne deux facteurs ou plus, issus de catégories différentes, et l'authentification à deux facteurs exactement deux. La plupart des services qui parlent de « MFA » demandent un mot de passe plus un autre facteur, les deux termes se recoupent donc. Ce qui compte, c'est le second facteur que vous utilisez.
Que se passe-t-il si vous perdez votre second facteur ?
Vous passez par la méthode de récupération configurée à l'avance : codes de secours, deuxième clé de sécurité ou autre appareil de confiance. Sans elle, vous risquez une longue vérification d'identité, voire la perte de l'accès ; conservez donc vos codes de secours hors ligne. En équipe, faites réinitialiser la connexion de la personne par un administrateur, quand l'outil le permet, plutôt que de partager les codes de quelqu'un. N'envoyez jamais un code par message ou par e-mail, pas même à un collègue de confiance.
Apple et iPhone sont des marques d'Apple Inc. ALI Remote n'est ni affilié à Apple, ni approuvé par Apple.
Autres termes
- Appareil dédiéUn appareil dédié est réservé à un seul usage ou à un seul client au lieu d'être partagé. Voici comment il fonctionne sur Android et sur les appareils Apple, ce que « dédié » signifie pour du matériel hébergé, et cinq questions à poser à un fournisseur.
- Device as a service (DaaS)Le device as a service (DaaS) est un abonnement dans lequel un fournisseur met à disposition des ordinateurs portables ou des téléphones et les gère de leur configuration jusqu'à leur fin de vie. Voici comment il fonctionne, un exemple détaillé, la variante hébergée, et ce qui distingue le DaaS du SaaS et du leasing.
- ÉmulateurUn émulateur est un logiciel qui reproduit le matériel d'un téléphone sur un ordinateur pour y faire tourner son système d'exploitation et ses apps. Voici comment il fonctionne, ce qui le distingue d'un simulateur et d'un appareil réel, et les limites que Google et Apple signalent eux-mêmes dans leur documentation.
- MCP (Model Context Protocol)Le Model Context Protocol (MCP) est un standard ouvert qui relie les assistants IA à des outils et à des données externes. Voici comment il fonctionne, ce qui le distingue d'une API, ce qu'il faut vérifier avant de connecter un serveur, et à quoi il ressemble en pratique.
- Real device cloudUn real device cloud héberge de vrais téléphones dans un datacenter et vous permet de les utiliser depuis votre navigateur. Voici comment il fonctionne, pourquoi il donne des résultats plus fiables que les simulateurs, et à quoi il sert au-delà des tests d'apps.
- Simulateur iOSLe simulateur iOS est l'outil d'Apple, intégré à Xcode, qui exécute des apps iOS sur un Mac sans iPhone. Voici à quoi il sert, ce qu'il ne reproduit pas selon Apple, pourquoi ce n'est pas un émulateur, et ce qui a changé avec Device Hub dans Xcode 27.