Authentification : distinguer preuve, session et secours

Un mot de passe solide ne couvre pas tous les chemins d’accès à un compte. Pour comprendre sa protection, distinguez ce qui prouve votre identité, ce qui maintient votre connexion et ce qui vous permettra de revenir après une perte.

Ce que ça veut dire

L’authentification est la vérification d’une preuve avant d’accorder un accès. Un facteur d’authentification appartient à une catégorie : ce que vous savez, ce que vous possédez ou une caractéristique personnelle. Répondre à une question secrète après un mot de passe reste dans la catégorie de ce que vous savez. Multiplier les questions ne crée pas forcément des facteurs indépendants.

Une session maintient ensuite votre accès pendant vos échanges avec le service. Le navigateur conserve généralement un jeton, une valeur reconnue par le serveur comme preuve de connexion déjà établie. Il peut être stocké dans un cookie, une petite donnée enregistrée par le site. Le mot de passe n’est donc pas demandé avant chaque page. Si ce jeton est volé ou si l’appareil reste ouvert, un tiers peut parfois profiter d’un accès déjà autorisé.

La récupération de compte permet de revenir quand la méthode habituelle n’est plus disponible. Courriel de secours, appareil reconnu et codes conservés séparément sont autant de voies possibles, selon le service. Une protection exigeante à l’entrée perd de son intérêt si la voie de secours repose sur une boîte de courriels mal protégée.

Un exemple concret

Imaginons une personne dont le compte de stockage utilise une application générant des codes sur son téléphone. Elle garde aussi une photographie de ses codes de secours sur ce même appareil. Son mot de passe est robuste, mais une panne du téléphone rend simultanément indisponibles la preuve supplémentaire et le secours photographié.

Le problème n’est pas l’absence de protection. C’est la dépendance commune à un objet. Un code de récupération conservé dans un endroit distinct, protégé et retrouvable peut répondre à ce scénario. Il faut toutefois connaître les règles du service : certains codes sont à usage unique et leur renouvellement peut invalider les précédents.

Autre situation : le compte reste connecté sur un ordinateur partagé. Même sans connaître le mot de passe, une personne peut lire les documents si elle utilise cette session. Le verrouillage de l’appareil et la fermeture de la session du service répondent à des problèmes complémentaires. Fermer l’onglet ne garantit pas que la session est terminée.

Dessiner les dépendances sans exposer les secrets

Sur une feuille ou dans un document protégé, inscrivez le nom d’un compte utile. Tracez les moyens de connexion, les appareils qui restent connectés et les chemins de récupération. Ne recopiez ni mot de passe, ni code, ni photographie de justificatif dans cette carte. Notez seulement l’emplacement où le secours peut être retrouvé.

Reliez ensuite les éléments dépendants : courriel de récupération consulté sur le téléphone principal, codes conservés dans le stockage du compte concerné, numéro de téléphone devenu ancien. Cherchez les boucles : pour accéder au secours, devez-vous déjà être connecté au compte perdu ? La fiche pour vérifier les coordonnées de récupération de son compte vous aide à corriger une dépendance devenue inutile.

Une clé d’accès utilise des clés cryptographiques, des secrets mathématiques associés au service, plutôt qu’un mot de passe transmis à saisir. Son transfert et sa récupération dépendent de son stockage : appareil, gestionnaire synchronisé ou support physique. Ne supposez pas qu’elle sera automatiquement disponible sur un nouvel équipement. Vérifiez les possibilités de secours avant de retirer une ancienne méthode.

Contrôler les accès qui persistent

Consultez la rubrique de sécurité du service depuis une adresse connue. L’intitulé et la présentation varient ; cherchez les appareils et les sessions autorisés. Pour un compte concerné, la fiche pour vérifier les appareils connectés au compte Apple donne une procédure ciblée. Un nom d’appareil imprécis mérite vérification avant suppression : vous pourriez reconnaître votre propre navigateur sous une désignation inhabituelle.

Les explications de la CNIL sur l’authentification multifacteur présentent son intérêt et ses limites. Complétez votre carte en suivant la fiche pour conserver les codes de secours hors du téléphone. L’objectif est de rendre le secours indépendant tout en empêchant qu’il devienne une porte ouverte pour autrui.

Pour aller plus loin

Votre carte indique maintenant où une perte d’appareil ou un accès persistant pourrait vous fragiliser. La prochaine leçon examine la sortie d’un outil : récupérer un document ne suffit pas toujours à le réutiliser ailleurs.