Comment Google Authenticator génère les codes de double authentification
Google Authenticator ajoute une vérification supplémentaire au mot de passe lors d’une connexion. L’application produit un code de vérification temporaire, généralement composé de six chiffres, que le service demande après la saisie des identifiants.
La génération repose souvent sur l’algorithme TOTP, qui combine une clé secrète propre au compte et l’heure courante. L’application et le service calculent alors le même code pendant une courte période, sans échange de données avec Internet au moment de sa création.
Cette synchronisation temporelle explique pourquoi un code expiré peut être refusé. Elle dépend de l’horloge du téléphone et de celle du service, tandis que la connexion réseau n’est pas nécessaire pour afficher le code.
Éléments techniques à retenir :
- Clé secrète différente pour chaque compte configuré
- Code temporaire calculé à partir de l’heure
- Validation effectuée par le service en ligne
- Connexion Internet non nécessaire pour générer le code
La double authentification renforce ainsi la sécurité des comptes, mais ne rend pas un compte invulnérable. Un code peut notamment être dérobé par une fausse page de connexion qui le réclame en temps réel.
Configuration de l’application et ajout d’un compte
Une fois le principe compris, la configuration de l’application commence sur le service à protéger, et non dans Google Authenticator. Il faut d’abord activer l’authentification à deux facteurs dans les paramètres de sécurité du compte concerné.
Le service affiche ensuite un code QR ou fournit une clé à saisir manuellement. Dans Google Authenticator, le bouton d’ajout permet de scanner ce code ou d’entrer la clé secrète, puis le service demande généralement un code récent pour confirmer l’association.
Parcours de configuration du compte :
- Activer la double authentification dans les paramètres du service
- Choisir l’application d’authentification comme méthode de validation
- Scanner le code QR ou saisir la clé fournie
- Entrer un code temporaire pour tester la configuration
Il vaut mieux effectuer ces étapes sur un ordinateur et scanner le code avec le téléphone, lorsque le service le permet. Si l’écran affiche une clé manuelle, la recopier exactement évite une association erronée, notamment après une confusion entre caractères proches.
Les codes QR et les clés secrètes donnent accès à la génération des codes : ils doivent rester privés. Une capture conservée dans une galerie synchronisée ou envoyée par messagerie peut créer un risque durable.
| Étape | Action | Point de vigilance |
|---|---|---|
| Activation | Ouvrir les paramètres de sécurité du service | Vérifier que le bon compte est sélectionné |
| Association | Scanner le QR ou saisir la clé secrète | Ne pas partager le code ni la clé |
| Vérification | Entrer un code temporaire récent | Respecter sa période de validité |
| Récupération | Conserver les codes de secours fournis | Les stocker séparément du téléphone |
Utiliser les codes temporaires et gérer plusieurs comptes
Après l’association, Google Authenticator affiche une entrée par service et renouvelle régulièrement chaque code. Lors d’une connexion, le code agit comme un mot de passe à usage unique, mais il s’ajoute au mot de passe habituel au lieu de le remplacer.
Si plusieurs entrées se ressemblent, un libellé clair aide à choisir le bon code, surtout lorsqu’un compte personnel et un compte professionnel utilisent le même fournisseur. Le code doit être saisi uniquement sur la page officielle ouverte par l’utilisateur.
Repères pour une utilisation quotidienne :
- Identifier chaque entrée par le nom du service et du compte
- Attendre le code suivant si le code affiché expire bientôt
- Ne jamais communiquer un code reçu à un interlocuteur
- Ouvrir directement le site ou l’application officielle
Un code valide ne prouve pas à lui seul que la page est légitime. Lors d’une attaque par hameçonnage, un fraudeur peut transmettre immédiatement le code saisi sur un faux site au véritable service.
Transférer Google Authenticator lors d’un changement de téléphone
Le remplacement du téléphone demande une préparation, car les codes dépendent des clés associées aux comptes. Selon les options disponibles dans Google Authenticator, les comptes peuvent être synchronisés au compte Google ou transférés depuis l’ancien appareil par une fonction d’exportation.
Avant d’effacer ou de céder l’ancien téléphone, il faut vérifier que les codes fonctionnent sur le nouvel appareil. Il est également prudent de conserver les codes de récupération proposés par chaque service : ils peuvent permettre de retrouver l’accès si le téléphone est perdu ou inutilisable.
Avant de réinitialiser l’ancien appareil :
- Installer l’application sur le nouveau téléphone
- Utiliser la synchronisation ou l’exportation proposée
- Tester chaque compte sur son service respectif
- Conserver les moyens de récupération en lieu sûr
Dans le cas de Sarah, le transfert vers un nouveau smartphone s’est déroulé rapidement après l’exportation des comptes. Cette expérience illustre l’intérêt de vérifier la procédure avant le changement, plutôt que de découvrir les options après la perte de l’ancien appareil.
| Situation | Risque d’accès | Mesure préventive |
|---|---|---|
| Téléphone perdu | Codes indisponibles sur l’appareil | Utiliser les codes de récupération |
| Nouvel appareil | Comptes absents avant transfert | Exporter ou synchroniser avant effacement |
| Clé exposée | Génération possible par un tiers | Révoquer puis configurer une nouvelle clé |
| Code refusé | Heure du téléphone éventuellement décalée | Activer le réglage automatique de l’heure |
Limites de Google Authenticator et bonnes pratiques de sécurité
Google Authenticator fonctionne hors ligne pour produire les codes, ce qui le rend pratique en déplacement. Cependant, l’application ne protège pas contre tous les risques : le vol du téléphone, une clé secrète divulguée ou une page frauduleuse peuvent compromettre un compte.
Une méthode d’authentification distincte, comme une clé de sécurité matérielle, peut être préférable pour les comptes particulièrement sensibles lorsque le service la propose. Pour les autres comptes, des codes de secours conservés séparément réduisent le risque de blocage après une panne ou une perte.
Bonnes pratiques pour protéger les accès :
- Protéger le téléphone par un verrouillage robuste
- Garder l’application et le système à jour
- Ranger les codes de secours hors du téléphone
- Refuser toute demande de code inattendue
Selon l’aide Google consacrée aux codes de validation, Authenticator peut générer des codes utilisables pour se connecter lorsque la validation en deux étapes est configurée. La protection est plus efficace lorsque cette méthode s’accompagne d’un mot de passe unique et de moyens de récupération vérifiés.
Source : Google, « Obtenir des codes de validation avec Google Authenticator », Google Help.