SMS
Mieux que rien si le service ne propose rien d'autre. Pour la messagerie et la banque, mieux vaut choisir une option plus sûre.
Eberprot P / comparisons
Comparatifs
Premier comparatif de la rubrique : les façons de confirmer la connexion à un compte. En bref : n'importe quel second facteur vaut mieux qu'un mot de passe seul ; les clés matérielles et les clés d'accès (passkeys) protègent le mieux contre l'hameçonnage, le SMS est l'option la plus vulnérable.
Ce comparatif s'appuie sur des standards ouverts (RFC 6238, FIDO2/WebAuthn) et sur les recommandations NIST SP 800-63B. Les services ne prennent pas tous en charge les mêmes méthodes : vérifiez les paramètres de votre compte.
Critères
- Résistance à l'hameçonnage : peut-on soutirer le code via un faux site
- Dépendance à l'opérateur mobile et à la carte SIM
- Fonctionnement sans connexion Internet sur l'appareil
- Difficulté de récupération en cas de perte de l'appareil
- Praticité au quotidien
- Prise en charge par les services
Tableau comparatif
| Critère | Mot de passe seul | Code par SMS | Application (TOTP) | Clé matérielle / passkey |
|---|---|---|---|---|
| Résistance à l'hameçonnageCritère objectif | Non | Non : le code peut être saisi sur un faux site | Non : le code peut être saisi sur un faux site | Oui : la signature est liée à l'adresse du vrai site |
| Dépend de la SIM et de l'opérateurCritère objectif | Non | Oui : vulnérable au duplicata de SIM obtenu par des fraudeurs | Non | Non |
| Fonctionne sans Internet sur l'appareilCritère objectif | — | Nécessite le réseau mobile | Oui : le code est calculé à partir de l'heure | Oui |
| Récupération en cas de perteAvis de la rédaction | Par réinitialisation du mot de passe | Simple : nouvelle SIM sur le même numéro | Codes de secours ou transfert nécessaires | Une deuxième clé ou une méthode de secours est nécessaire |
| PraticitéAvis de la rédaction | Élevée | Élevée | Moyenne | Élevée une fois configurée |
| Prise en charge par les servicesAvis de la rédaction | Partout | Très large | Large | En progression, mais pas partout |
Quelle méthode pour qui
Application d'authentification
Un choix raisonnable par défaut : ne dépend pas de l'opérateur et fonctionne sans réseau. Conservez impérativement les codes de secours.
Clé d'accès (passkey)
Pratique et résistante à l'hameçonnage, si le service la prend en charge. Se synchronise via un gestionnaire de mots de passe ou l'écosystème de l'appareil.
Clé matérielle
Pour les comptes les plus précieux : messagerie, noms de domaine, comptes administrateur professionnels. Achetez deux clés : une principale et une de secours.
Points d'attention
- Conservez les codes de secours à l'écart du téléphone, par exemple imprimés
- Avant de changer de téléphone, transférez l'application d'authentification, sinon vous perdrez l'accès
- Si le service permet de se connecter par SMS en contournant un facteur plus sûr, la protection globale se réduit à celle du SMS
- Aucun facteur ne vous protège si vous confirmez vous-même une connexion à la demande d'un prétendu « service client »
Sources et vérification
- RFC 6238 : TOTP — algorithme de mots de passe à usage unique basé sur le temps
- Spécifications de la FIDO Alliance (FIDO2/WebAuthn)
- NIST SP 800-63B: Digital Identity Guidelines
Les interfaces des logiciels et des services évoluent. Nous indiquons les versions sur lesquelles nous avons vérifié les commandes ; sur d'autres versions, les étapes peuvent différer.