Cybersécurité21 octobre 2026 · 5 min de lecture

Double authentification : 15 minutes pour activer la protection la plus efficace

Un mot de passe peut fuiter même s’il est solide : un site piraté, un message d’hameçonnage ou le même mot de passe utilisé sur plusieurs services suffisent. La double authentification ajoute une deuxième preuve de votre identité, le plus souvent un code ou une validation sur votre téléphone. Sans elle, le mot de passe seul ne permet plus d’entrer. Pour le Cybermois 2026, la CNIL et Cybermalveillance.gouv.fr ont publié le 1er octobre un dépliant intitulé « Violation de données personnelles, que faire en 3 étapes clés ? ». Dès la première semaine, il demande de changer vos mots de passe et d’activer la double authentification partout où elle existe. Pour vos comptes essentiels, un quart d’heure suffit en général.

1.Pourquoi la CNIL insiste, y compris auprès des entreprises

Si une fuite expose votre adresse électronique et votre mot de passe, la double authentification empêche quand même un inconnu de se connecter avec ces seuls éléments. C’est pour cela qu’elle figure en bonne place dans les conseils aux particuliers. Pour les professionnels, la CNIL a durci le ton. Elle demande aux organismes qui détiennent des bases de clients, de prospects ou d’usagers de plusieurs millions de personnes de mettre en place une authentification multifacteur. Celle-ci concerne les salariés, les partenaires et les sous-traitants qui accèdent à ces bases à distance. La CNIL annonce des contrôles sur ce point au cours de l’année 2026 et précise que l’absence de cette mesure pourra conduire à une procédure de sanction. Les petites structures ne sont pas concernées par ce seuil, mais le constat reste le même : un accès à distance protégé par un simple mot de passe se force facilement. Pour renforcer ce premier verrou, relisez notre article Mots de passe : gestionnaire ou carnet ?.

2.Pas à pas : messagerie, banque et Microsoft 365

Commencez par votre messagerie : c’est elle qui permet de réinitialiser la plupart de vos autres mots de passe. Chez les principaux fournisseurs, l’option se trouve dans les paramètres du compte, rubrique « Sécurité ». Le service vous demande votre mot de passe, puis vous choisissez une méthode et validez un premier code. Faites au passage les vérifications conseillées par le dépliant de la CNIL. Vérifiez qu’aucune redirection automatique ni règle de filtrage n’a été créée à votre insu, puis contrôlez vos numéros de téléphone et adresses de récupération. Pour la banque, une authentification forte protège déjà, dans la plupart des cas, les paiements en ligne et l’accès aux comptes. Vérifiez simplement que l’application officielle de votre banque est installée sur le téléphone que vous utilisez vraiment et que votre numéro de mobile est à jour. Pour un compte Microsoft 365 professionnel, tout se règle depuis la page « Informations de sécurité » de votre compte, le plus souvent avec l’application Microsoft Authenticator. Vous scannez le code affiché à l’écran, puis vous validez une notification de test. Si vous gérez les comptes de votre entreprise, vérifiez que l’obligation s’applique à tous les utilisateurs, comptes administrateurs compris, et pas seulement à quelques volontaires.

3.Application, SMS ou clé physique : quelle méthode choisir ?

Toutes les méthodes ne se valent pas, mais chacune vaut mieux que rien. Le code reçu par SMS est le plus simple à mettre en place et apporte déjà beaucoup par rapport au mot de passe seul. Il dépend toutefois de votre ligne téléphonique, qui peut être détournée, et un faux site ou un faux conseiller peut vous le soutirer. L’application d’authentification génère un code temporaire ou affiche une demande de validation. Elle ne dépend pas du réseau mobile et convient à la plupart des usages. La clé physique est un petit objet que l’on branche en USB ou que l’on approche du téléphone. C’est la méthode la plus sûre, en particulier contre l’hameçonnage, car elle vérifie l’adresse du site sur lequel vous vous connectez. Elle est tout indiquée pour les comptes administrateurs et les dirigeants. Quelle que soit la méthode, une règle ne change pas : ne donnez jamais un code de validation par téléphone ou par message. Cela vaut même si votre interlocuteur se présente comme votre banque ou votre support informatique.

4.Téléphone perdu : anticiper pour ne pas rester bloqué

Beaucoup hésitent à activer la double authentification par peur de ne plus pouvoir accéder à leurs comptes. La solution : prévoir une issue de secours dès le départ. Lors de la configuration, la plupart des services proposent des codes de secours à usage unique. Imprimez-les ou notez-les, puis rangez-les en lieu sûr, loin de votre ordinateur. Déclarez aussi une deuxième méthode : un autre numéro de téléphone, une clé physique ou l’application installée sur un second appareil. En cas de perte ou de vol, demandez d’abord à votre opérateur de suspendre la ligne et de vous fournir une nouvelle carte SIM. Faites ensuite opposition si des moyens de paiement sont liés au téléphone. Connectez-vous enfin avec un code de secours pour retirer l’ancien appareil de vos appareils de confiance et enregistrer le nouveau. En entreprise, l’administrateur peut réinitialiser les méthodes d’un utilisateur, à condition que chacun connaisse cette procédure avant l’incident. Pendant que vous êtes dans les réglages, supprimez tout accès que vous ne reconnaissez pas, comme le conseille le dépliant de la CNIL.

À propos de l’auteur

Pierre Rodrigues

Fondateur de Méoweb, plus de 25 ans d’expérience en assistance informatique. Il accompagne particuliers et professionnels : conseil, dépannage, sécurité et sauvegarde.

Découvrir mon parcours →