Ordre de priorité (top 10)
Activez dans cet ordre — du plus critique au moins critique :
- Email principal (Gmail, Outlook, ProtonMail…)
- Comptes Apple / Google / Microsoft (contrôlent vos appareils)
- Banques et services de paiement (banque en ligne, Revolut, N26, PayPal)
- Coffre password manager (1Password, Bitwarden…)
- Réseaux sociaux (Instagram, Facebook, X, LinkedIn)
- GitHub / GitLab (si vous codez)
- Services cloud (Drive, Dropbox, OneDrive)
- Boutiques e-commerce (Amazon, Cdiscount avec carte en mémoire)
- Plateformes contenu (Netflix, Spotify, abonnements)
- Tout le reste
App authenticator > SMS
Évitez le SMS comme second facteur. Raison : SIM swap — un attaquant peut convaincre votre opérateur de porter votre numéro sur sa SIM et recevoir vos codes.
Apps recommandées (toutes gratuites) :
- Authy (multi-appareils, sauvegarde cloud chiffrée)
- Aegis Authenticator (Android, open source)
- Raivo OTP (iOS, open source)
- 1Password ou Bitwarden intégrés (TOTP directement dans le PM Premium)
Méthode standard
Pour chaque service :
- Allez dans les paramètres de sécurité
- Cherchez "Validation en deux étapes" / "Two-factor authentication" / "2FA"
- Choisissez "App authenticator" (PAS SMS)
- Scannez le QR code avec votre app
- Saisissez le code à 6 chiffres qui apparaît pour valider
- CRUCIAL : imprimez ou notez les codes de récupération (10 codes à usage unique). Sans eux, en cas de perte du téléphone, vous êtes verrouillé hors du compte.
Cas particulier : clé physique pour les comptes ultra-critiques
Pour votre compte Google principal, GitHub avec accès code prod, ou comptes admin entreprise, ajoutez une YubiKey ou Titan Key comme méthode supplémentaire (~25 €). C'est la 2FA la plus robuste, immune au phishing et au SIM swap.
Stockage des codes de récupération
Trois options :
- Imprimés dans un coffre-fort papier à la maison
- Stockés dans le password manager (notes sécurisées)
- Imprimés en double : un chez vous, un chez un parent de confiance
NE PAS stocker en clair sur votre téléphone, dans une note non chiffrée, ou en cloud non chiffré.
Vérification finale
Une fois tout activé, faites le test ultime : déconnectez-vous d'un service, reconnectez-vous, vérifiez que le code à 6 chiffres vous est bien demandé. Si oui, c'est validé.
Conservez votre app authenticator avec une attention particulière — c'est devenu votre "deuxième mot de passe" pour tout.