Un code Google Authenticator est un court nombre que votre téléphone calcule lui-même à partir d'un secret partagé et de l'heure ; il change toutes les 30 secondes et n'a pas besoin de signal. Un code SMS est envoyé à votre numéro par le service. Pour la connexion en deux étapes, l'appli est le choix le plus solide. Pour s'inscrire à une nouvelle appli, un SMS est souvent la seule option.
Comment une appli d'authentification génère des codes
- Vous scannez un code QR une fois Quand vous activez la connexion en deux étapes par appli, le service affiche un code QR. Il contient un secret que seuls le service et votre appli partagent désormais.
- L'appli fait le calcul Toutes les 30 secondes, elle combine ce secret avec l'heure actuelle et affiche un nouveau code. La méthode est le standard ouvert TOTP, publié en 2011 sous le nom RFC 6238.
- Le service vérifie le même calcul Il connaît aussi le secret et l'heure : il peut donc dire si votre code est juste. Rien n'est envoyé à votre téléphone.
C'est pourquoi Google Authenticator marche sans connexion internet ni service mobile, et pourquoi chercher un SMS de Google Authenticator ne donne rien : il n'y en a pas. Votre téléphone a seulement besoin de l'heure exacte.
Comparaison avec les codes SMS
| Appli d'authentification | Code SMS | |
|---|---|---|
| Exige un signal ou l'itinérance | Non | Oui |
| Lié à votre numéro de téléphone | Non | Oui |
| Peut être retardé ou filtré | Non, il est généré sur l'appareil | Oui, par les opérateurs et les filtres anti-spam |
| Durée de vie d'un code | Environ 30 secondes | En général quelques minutes |
| Quand vous changez de téléphone | Transférez ou synchronisez d'abord les codes | Fonctionne dès que la SIM est insérée |
| Utilisé pour les nouvelles inscriptions | Rarement | Presque toujours |
Passer à une appli d'authentification en toute sécurité
- Gardez le SMS pour l'instant. Ajoutez l'appli comme méthode supplémentaire avant de rien retirer.
- Scannez le code QR dans les paramètres de sécurité du service et saisissez le premier code pour confirmer.
- Enregistrez des codes de secours dans la même session et imprimez-les. Voir codes de secours.
- Prévoyez un nouveau téléphone. Dans Google Authenticator, les codes peuvent se synchroniser avec votre compte Google ; sinon, exportez-les par code QR depuis l'ancien téléphone avant de le réinitialiser.
- Décidez ensuite du SMS. Ne retirez la méthode par SMS que là où vous avez un second accès.
Parmi les services qui proposent les deux : Amazon, où les codes de validation en deux étapes arrivent par SMS ou depuis une appli d'authentification, et Steam, dont l'appli génère son propre code toutes les 30 secondes.
Quand le SMS reste la seule option
Les applis d'authentification protègent des comptes que vous avez déjà. Elles n'aident pas quand une nouvelle appli veut confirmer un numéro à l'inscription. Les messageries comme WhatsApp, Telegram et Signal vous enregistrent avec un code par SMS ou appel, tout comme la plupart des applis de trajets, de livraison et de rencontre.
Questions fréquentes
Qu'est-ce qu'un code Google Authenticator ?
Un court nombre à usage unique que l'appli Google Authenticator génère toutes les 30 secondes pour chaque compte ajouté. Vous le saisissez après votre mot de passe.
Google Authenticator envoie-t-il des SMS ?
Non. Il calcule les codes sur votre téléphone, sans SMS ni connexion.
Une appli d'authentification est-elle plus sûre que le SMS ?
Elle ne dépend ni de votre numéro ni du réseau mobile : retards, filtres et changements de numéro n'ont donc aucun effet. Sauvegardez-la, car perdre le téléphone sans sauvegarde vous bloque.
Et si j'ai un nouveau téléphone ?
Connectez-vous à l'appli avec votre compte Google pour synchroniser les codes, ou exportez-les d'abord par code QR depuis l'ancien téléphone. Gardez des codes de secours en dernier recours.