Double authentification et itsme : les erreurs fréquentes et comment les éviter

Lors de nos ateliers, une même scène revient : une personne tient son GSM d'une main, son ordinateur est ouvert devant elle, et elle ne sait plus quel appareil attend quoi. La double authentification ajoute une seconde étape à la connexion, et c'est précisément cette étape qui déroute. Ce n'est pas un manque d'aptitude, c'est un manque d'habitude. Personne ne nous a expliqué le principe avec des mots de tous les jours.

Un bon repère consiste à penser à votre carte bancaire : la carte seule ne suffit pas, il faut aussi le code. Pour un compte en ligne, le mot de passe joue le rôle de la carte et le second élément, le code ou la validation sur le téléphone, joue le rôle du code secret. Une fois cette image en tête, la plupart des erreurs décrites ci-dessous deviennent faciles à repérer et à éviter.

Les faux pas que nous rencontrons se répartissent en quelques familles : le téléphone, les codes, les messages suspects et les solutions de secours. Les passer en revue calmement, une à une, évite de se sentir submergé le jour où un écran vous demande de valider quelque chose.

Le code à six chiffres reçu par SMS ou affiché dans une application n'a qu'un seul destinataire : vous. Pourtant, il arrive qu'un appel ou un message demande de le « confirmer » pour vérifier votre identité. Aucune banque, aucun service public ne vous demande ce code par téléphone. S'il est lu à voix haute à un inconnu, la seconde protection tombe d'un coup.

Notre règle est simple et tient en une phrase à retenir : ce code ne se dicte jamais, ne se photographie pas et ne s'envoie à personne, pas même à un proche de confiance. Si quelqu'un insiste, raccrochez et rappelez vous-même le numéro officiel que vous connaissez, celui figurant sur votre carte ou votre courrier habituel.

Dans la pratique, nous conseillons d'entraîner ce réflexe à voix haute pendant l'atelier. Dire « non, je ne donne pas ce code » une fois devant le groupe aide à le dire plus facilement le jour où la pression monte, car la confusion et la précipitation sont les principaux outils de ceux qui tentent de vous piéger.

• Un code reçu que vous n'avez pas demandé doit vous alerter
• Ne jamais lire un code à un correspondant au téléphone
• En cas de doute, raccrocher et rappeler le numéro officiel

L'application itsme vous demande de confirmer une action avec votre code ou votre empreinte. Le danger vient du geste automatique : une notification apparaît, on appuie vite pour s'en débarrasser. Or une validation n'a de sens que si vous venez vous-même de commencer une connexion ou une démarche. Sinon, il faut refuser, même si l'écran paraît insistant.

Avant chaque validation, posez-vous une seule question : est-ce moi qui viens de demander cela, à l'instant ? Si la réponse est non, ne validez pas et fermez l'application. Lisez aussi le texte affiché, il indique en général le service concerné et la nature de la demande. Prendre dix secondes de lecture évite bien des ennuis.

Nous insistons aussi sur le code secret de l'application : il ne doit pas être votre date de naissance ni une suite évidente, et il ne se note pas sur le téléphone. Une phrase-image que vous seul comprenez, transformée en chiffres, fonctionne mieux. Nous en construisons une avec chaque personne qui le souhaite, à son rythme.

• Valider uniquement ce que vous venez de lancer vous-même
• Lire le texte de la demande avant d'appuyer
• Choisir un code secret différent de vos dates familières

Beaucoup de personnes activent la double authentification avec enthousiasme, puis changent de téléphone ou perdent l'appareil sans avoir rien prévu. Résultat : un compte verrouillé, un numéro qui ne reçoit plus les codes, et des démarches longues pour récupérer l'accès. La plupart des services proposent pourtant des codes de secours à conserver, mais presque personne ne les imprime au moment de l'activation.

Notre conseil est de traiter ces codes comme une clé de réserve de la maison. Imprimez-les ou recopiez-les à la main, rangez-les dans un endroit où vous rangez déjà vos papiers importants, par exemple avec les documents de la banque, et pas à côté de l'ordinateur. Dites à une personne de confiance où se trouve cette feuille, sans lui en révéler le contenu.

Avant de changer de GSM, faites aussi le tour de vos comptes protégés : l'ancien appareil doit rester utilisable le temps de transférer l'application et les accès. Nous préparons avec vous cette petite liste lors d'un rendez-vous individuel, afin qu'un changement d'appareil ne devienne jamais un moment de panique.

• Imprimer les codes de secours dès l'activation
• Les ranger avec vos papiers importants, loin de l'écran
• Garder l'ancien téléphone jusqu'à la fin du transfert

Les clés d'accès remplacent le mot de passe par une confirmation sur votre appareil, souvent avec l'empreinte ou le code de verrouillage de l'écran. Certains y voient un mot de passe de plus à retenir, d'autres croient que tout est automatiquement protégé. La réalité est plus simple : la clé reste sur votre appareil, et c'est le déverrouillage de cet appareil qui la protège.

Cela signifie qu'un téléphone sans code de verrouillage, ou dont le code est connu de tous, affaiblit toute la chaîne. Avant d'activer une clé d'accès, assurez-vous que l'écran se verrouille seul et que le code n'est pas 0000 ou 1234. C'est le point que nous vérifions en premier avec chaque personne accompagnée.

Enfin, ne supprimez pas l'ancien mot de passe d'un compte tant que vous n'avez pas testé la nouvelle connexion deux ou trois fois, avec calme. Une transition progressive vous laisse une issue en cas de souci et vous permet de vous familiariser sans pression. Rien n'oblige à tout changer en une seule après-midi.

• Verrouiller l'écran du téléphone avec un code non évident
• Tester la nouvelle connexion plusieurs fois avant de passer à autre chose

La dernière erreur est moins technique : activer la double protection sur tous les comptes dans la même soirée, fatigué, avec des écrans qui s'enchaînent. On finit par cliquer sans lire et par ne plus savoir ce qui a été réglé. Mieux vaut procéder par étapes courtes, en commençant par les comptes qui comptent le plus : la messagerie, la banque, les démarches administratives.

Notez simplement, sur une feuille, le nom du compte et le mode choisi : SMS, application ou itsme. Pas de mot de passe sur cette feuille, seulement le moyen de confirmation. Elle vous servira de repère les jours où vous hésitez et elle rassure beaucoup de personnes lorsqu'elles reviennent à leur ordinateur après quelques semaines.

Si l'envie de vous faire aider se présente, c'est une bonne idée, pas un aveu de faiblesse. Un quart d'heure à deux, sur vos propres comptes, vaut mieux qu'une heure d'hésitation seul devant l'écran. C'est exactement le sens de notre accompagnement, mené dans le calme et sans jargon, avec la confidentialité qui s'impose.

• Commencer par la messagerie, la banque et l'administratif
• Noter le mode de confirmation de chaque compte, jamais le mot de passe