Activer la validation en deux étapes sur votre compte Google – invite, application, clé ou clé d'accès

Un mot de passe est quelque chose que vous savez – et donc quelque chose qu'on peut vous prendre : par hameçonnage, par une fuite de données chez le service ou par un logiciel malveillant qui aspire les mots de passe enregistrés sur l'appareil. Le BSI décrit l'authentification à deux facteurs comme la combinaison de facteurs de catégories différentes : la connaissance (mot de passe, PIN), la possession (téléphone, carte à puce, clé de sécurité) ou la biométrie (empreinte digitale, visage). Qui n'a que le mot de passe ne franchit pas la seconde barrière. Google décrit la fonction exactement ainsi sur sa page d'aide : comme un niveau de sécurité supplémentaire en cas de vol de votre mot de passe.

Le compte Google passe en premier, avant les réseaux sociaux et les boutiques. Pour beaucoup, c'est la boîte e-mail, et via « Mot de passe oublié », la boîte e-mail permet de réinitialiser presque tous les autres comptes – l'OFCS rappelle dans sa rétrospective 19/2024 que les comptes de messagerie constituent souvent la porte d'accès à de nombreux services internet. S'y ajoutent les photos, Drive, l'agenda, l'historique des positions, les achats YouTube et, si vous utilisez Chrome, le Gestionnaire de mots de passe de Google avec tous les mots de passe enregistrés. Un compte Google piraté n'est donc pas un compte parmi d'autres, c'est le trousseau.

L'OFCS et le BSI recommandent tous deux d'activer le second facteur partout où un service le propose. Le BSI signale en plus que beaucoup de services proposent la fonction mais la laissent désactivée par défaut – un coup d'œil dans les paramètres de connexion vaut donc la peine même pour les comptes que vous croyez protégés. L'étude suisse « Cybersécurité des PME 2026 » montre que la lacune est réelle : seule une bonne moitié des entreprises interrogées avait entièrement déployé l'authentification multifacteur. Le second facteur ne remplace pas un bon mot de passe, il le complète – la manière de construire un mot de passe fort se trouve dans notre guide (→ Créer un mot de passe sécurisé – et ce qui est vraiment sûr en 2026).

L'OFCS suisse a classé, dans ses considérations technologiques « Niveaux de sécurité pour les procédures, moyens et services d'authentification » (septembre 2026), les procédés courants dans les niveaux « faible », « moyen » et « élevé ». Un astérisque marque les procédés qui protègent contre l'hameçonnage en temps réel et contre les attaques de l'homme du milieu. Le nom d'utilisateur et le mot de passe seuls relèvent du niveau « faible » – de tels procédés ne devraient en principe plus être utilisés selon l'OFCS, même si la transmission est chiffrée. Le mot de passe avec code SMS et les solutions logicielles OTP comme Google ou Microsoft Authenticator relèvent du niveau « moyen » sans astérisque : ils protègent contre les mots de passe volés, mais pas si vous saisissez vous-même le code sur une page falsifiée. Sur le SMS, l'OFCS ajoute que la sécurité des procédures d'authentification par SMS n'est en principe pas garantie et qu'elles ne devraient être utilisées que s'il n'existe pas de meilleure solution.

Les deux procédés FIDO résistent à l'hameçonnage : les clés d'accès synchronisées, telles qu'Apple et Google les distribuent via le trousseau et le gestionnaire de mots de passe, atteignent « moyen* » ; les clés matérielles FIDO2 sans synchronisation ni exportation atteignent « élevé* ». La différence tient surtout, selon l'OFCS, à ce que la clé privée se trouve dans un matériel dédié ou peut être copiée sur plusieurs appareils via un cloud. Le classement de Google lui-même concorde : la page d'aide cite les clés d'accès et les clés de sécurité matérielles comme méthodes « pour renforcer la protection contre l'hameçonnage » et signale que les codes de validation envoyés par message ou par téléphone peuvent être piratés.

Pour le quotidien, cela signifie : l'invite Google est pratique et nettement meilleure que le SMS, parce qu'elle n'est envoyée qu'aux appareils connectés et vous montre l'appareil et le lieu de la tentative – mais elle ne vous protège pas de vous-même si vous touchez « Oui » sur une page falsifiée. L'app d'authentification est indépendante du réseau mobile et des services push de Google, mais reste elle aussi au niveau « moyen ». Qui veut le niveau résistant à l'hameçonnage prend une clé d'accès sur le téléphone ou l'ordinateur ; qui veut le niveau le plus élevé ou se sent particulièrement exposé achète deux clés matérielles. Et quelle que soit la méthode : les codes de secours en font partie, sinon la protection devient un verrouillage.

Le 10 octobre 2023, Google a fait des clés d'accès l'option par défaut des comptes Google personnels : depuis, Google propose à la connexion de créer une clé d'accès, et le paramètre « Skip password when possible » – « Ignorer le mot de passe si possible » sur la page d'aide en français – est activé. Selon le blog Google, les clés d'accès sont 40 % plus rapides que les mots de passe, et qui préfère rester au mot de passe désactive simplement l'option. Techniquement, une clé d'accès est une paire de clés : la clé privée reste sur votre appareil ou dans le trousseau, Google ne connaît que la clé publique. À la connexion, vous confirmez par empreinte digitale, visage ou code que vous pouvez déverrouiller l'appareil – selon Google, les données biométriques restent sur l'appareil.

Parce qu'une clé d'accès, selon l'aide Google, ne peut pas être partagée, copiée, notée ni communiquée accidentellement, il n'y a rien qu'une page d'hameçonnage pourrait demander, et elle ne fonctionne que pour la vraie adresse de Google. C'est pourquoi la seconde étape disparaît aussi avec la clé d'accès : la possession de l'appareil est déjà prouvée. L'avertissement de Google compte : ne créez des clés d'accès que sur les appareils qui vous appartiennent – toute personne capable de déverrouiller votre appareil accède ainsi au compte Google, même si vous vous y êtes déconnecté. Une clé d'accès n'a pas sa place sur une tablette partagée ou le PC familial.

La FIDO Alliance, qui porte le standard, montre l'ampleur de la diffusion : le 15 octobre 2026, elle annonçait environ 7 milliards de clés d'accès dans le monde, et chez les 15 grands services grand public de son « Passkey Index », plus d'un tiers des connexions réussies passent par une clé d'accès – selon FIDO, presque trois fois plus vite qu'avec un mot de passe et une seconde étape classique, et tous les services qui mesurent l'hameçonnage enregistrent depuis moins d'attaques réussies. Chez Google, le mot de passe reste toutefois une voie de secours et doit donc rester aussi fort qu'avant ; la section « Clés d'accès (passkeys) : la prochaine étape » de notre guide sur les mots de passe (→ Créer un mot de passe sécurisé – et ce qui est vraiment sûr en 2026) complète utilement la lecture.

La cause la plus fréquente d'un verrouillage n'est pas le pirate, mais le téléphone perdu, volé ou cassé. Sur sa page d'aide « Résoudre les problèmes courants », Google recommande d'abord deux choses : vous déconnecter de l'appareil perdu et modifier le mot de passe du compte Google – les deux se font depuis n'importe quel autre appareil sur lequel vous êtes connecté. Vous choisissez ensuite « Essayer une autre méthode » sur l'écran de connexion et utilisez ce que vous avez préparé : un code de secours, un autre téléphone connecté, un second numéro de téléphone, une clé de sécurité matérielle ou une clé d'accès sur un autre appareil.

Deux aides discrètes sont souvent encore là : un ordinateur sur lequel vous avez coché « Ne plus me demander sur cet ordinateur » vous laisse, selon Google, éventuellement entrer sans seconde étape – de là, vous pouvez réorganiser vos méthodes. Et vous pouvez demander à votre opérateur de transférer votre numéro sur une nouvelle carte SIM ou eSIM ; les codes SMS arrivent alors de nouveau. Ce qu'est une eSIM et comment se passe le transfert, notre lexique l'explique (→ Qu'est-ce qu'une eSIM ? Comment fonctionne la carte SIM numérique). Si vous utilisez Google Authenticator avec la synchronisation du compte, les codes sont automatiquement de retour après la connexion sur le nouvel appareil – sans synchronisation, ils ont disparu avec l'ancien appareil, et il vous faut les codes de secours.

Si vous n'avez ni méthode de secours ni codes de secours, il reste la récupération du compte via l'adresse e-mail ou le numéro de téléphone enregistrés. Google pose alors des questions sur le compte et, parce que la validation en deux étapes est active, la vérification peut selon l'aide prendre entre trois et cinq jours ouvrés. C'est exactement pour cela que le quart d'heure passé dans l'onglet « Codes de secours et récupération » vaut la peine avant. Le BSI rappelle en outre de veiller à une récupération en plusieurs étapes : une voie de récupération qui se contente d'un seul facteur affaiblit toute la protection – c'est précisément là que les attaquants s'attaquent.

Ce qui vaut ici pour Google vaut pour chaque compte important : compte Apple, compte Microsoft, e-banking, portail clients de l'opérateur mobile, Instagram, WhatsApp. Le BSI cite expressément la banque en ligne, les achats en ligne et les comptes aux droits étendus comme l'e-mail et les réseaux sociaux comme les cas où le second facteur vaut la peine en premier, et déconseille dans tous les cas de le désactiver à nouveau. L'ordre après le compte Google : l'e-mail (si ce n'est pas Gmail), le compte Apple ou Microsoft, le gestionnaire de mots de passe, la banque et les services de paiement, l'opérateur mobile, puis les réseaux sociaux et les boutiques.

Qui protège beaucoup de comptes avec des codes d'authentification se pose une question de gestion : où sont les codes, et que se passe-t-il au changement d'appareil ? Google Authenticator les synchronise avec le compte Google ; les gestionnaires de mots de passe proposent la même chose dans leur propre coffre. Selon notre comparatif du 16 octobre 2026, NordPass Premium inclut un authentificateur, Bitwarden l'a déjà dans son offre gratuite et, à partir de Premium, dans le coffre, et Proton Pass Plus le propose aussi (→ Meilleurs gestionnaires de mots de passe 2026 : 1Password, NordPass, Bitwarden et Proton Pass comparés). L'OFCS recommande sur sa page « Protection des appareils » exactement cette combinaison : un mot de passe différent pour chaque service, l'authentification à deux facteurs lorsque c'est possible et un gestionnaire de mots de passe qui la prend en charge. Avoir mot de passe et code dans le même coffre est pratique – qui veut séparer strictement les facteurs utilise pour cela une app distincte sur le téléphone, comme le BSI le recommande pour le cas le plus sûr.

Un malentendu pour finir : un VPN protège votre connexion, pas votre compte. Il chiffre le trajet entre l'appareil et le serveur VPN et masque votre adresse IP, mais il n'empêche personne de se connecter chez Google avec votre mot de passe volé – et il ne reconnaît aucune page d'hameçonnage (→ Qu'est-ce qu'un VPN ? Comment fonctionne le réseau privé virtuel). Second facteur et VPN résolvent des problèmes différents ; qui veut les deux configure d'abord le second facteur, puis le VPN (→ Configurer un VPN sur iPhone – avec une app ou à la main). Et si vous vous êtes connecté sur un ordinateur étranger, nettoyez ensuite les cookies et les connexions enregistrées (→ Vider le cache et supprimer les cookies – dans chaque navigateur, sur ordinateur et sur mobile).

Journalistes, militantes, politiciens, avocates ou personnes qui, pour d'autres raisons, pourraient être la cible d'attaques ciblées : voilà le public que Google désigne pour son Programme Protection Avancée. Selon Google, il est gratuit ; vous ne payez au plus que les clés de sécurité. La différence avec la validation en deux étapes normale : la connexion ne se fait plus qu'avec une clé d'accès ou une clé de sécurité matérielle ; invites, SMS et codes d'app disparaissent. Google limite en plus l'accès des applications tierces à vos données, contrôle plus strictement les téléchargements suspects et rend la récupération du compte plus exigeante, pour qu'elle ne serve pas de porte dérobée.

Avant l'inscription, vous devriez selon Google enregistrer une adresse e-mail et un numéro de téléphone de récupération, activer la validation en deux étapes et préparer une ou, mieux, plusieurs clés de sécurité. Les codes de secours ne peuvent pas être téléchargés dans le programme – le substitut est la seconde clé. Si vous perdez votre unique clé, il ne reste selon l'aide que la récupération du compte. Les comptes Workspace d'un employeur ou d'une école peuvent participer si l'administration a activé le programme ; personne ne peut y être contraint. Pour la plupart des particuliers, le programme est plus contraignant que nécessaire – clé d'accès plus codes de secours plus une seconde méthode suffisent. Mais qui craint des attaques ciblées obtient ici la protection la plus forte que Google propose.