Double authentification (2FA) et passkeys pour vos comptes crypto

Pour la double authentification (2FA) d'un compte crypto, utilisez une passkey ou une clé de sécurité matérielle quand le service en propose, une application d'authentification sinon, et les codes SMS seulement en dernier recours. La différence tient au phishing : une passkey ou une clé de sécurité est liée au vrai site et ne fonctionne tout simplement pas sur un faux, alors qu'un code à six chiffres se tape aussi facilement sur une fausse page que sur la vraie.

La double authentification, du plus faible au plus fort

Codes SMS — le plus faible. Un code envoyé par SMS peut être volé par un SIM swap : un attaquant convainc votre opérateur mobile de transférer votre numéro sur sa carte SIM. Les détenteurs de crypto en sont une cible de choix. Le SMS vaut mieux que rien, mais il ne devrait protéger rien que vous auriez horreur de perdre.

Applications d'authentification (TOTP) — bien. Une application génère un nouveau code à six chiffres toutes les 30 secondes à partir d'un secret stocké sur votre téléphone. Aucun opérateur n'intervient, donc les SIM swaps ne fonctionnent pas. Un mot de passe volé ne suffit plus, mais un faux site peut toujours demander le code et le relayer au vrai dans ces 30 secondes. Conservez les codes de configuration hors ligne : si le téléphone est perdu, ce sont eux qui vous permettent de revenir.

Clés de sécurité matérielles — fort. Une petite clé USB ou NFC que vous touchez pour vous connecter, selon la norme FIDO2. La clé vérifie quel site la sollicite, si bien qu'un domaine qui imite le vrai n'obtient rien. Enregistrez deux clés et gardez celle de secours en lieu sûr.

Passkeys — fort, et plus simple. Une passkey reprend la même idée FIDO, conservée par votre téléphone, votre ordinateur ou votre gestionnaire de mots de passe, et déverrouillée par votre empreinte, votre visage ou le code PIN de l'appareil. Elle peut remplacer complètement le mot de passe, elle est liée au domaine du vrai site, et il n'y a rien à taper sur une fausse page. La FIDO Alliance explique leur fonctionnement. Si un service propose des passkeys, utilisez-les.

Les réglages qui comptent tout autant

• Liste blanche d'adresses de retrait. Beaucoup d'exchanges permettent de n'autoriser les retraits que vers des adresses ajoutées à l'avance, souvent avec un délai d'attente pour les nouvelles. Si quelqu'un entre dans le compte, il ne peut pas s'envoyer les cryptos immédiatement.
• Votre compte e-mail. Les réinitialisations de mot de passe arrivent dans votre boîte mail, qui a donc besoin de la même protection : un mot de passe fort et unique, et une passkey ou une clé de sécurité.
• Code anti-phishing. Certains exchanges vous laissent définir un mot qui apparaît dans chacun de leurs vrais e-mails. Un e-mail sans ce mot ne vient pas d'eux.
• Des mots de passe uniques. Utilisez un gestionnaire de mots de passe et un mot de passe différent partout, pour qu'un site piraté n'ouvre pas tous les autres.
• Clés API. Si vous avez créé des clés API d'exchange pour un bot ou un tracker, supprimez celles que vous n'utilisez plus, et n'accordez jamais à l'une d'elles le droit de retrait.

La mise en place, dans l'ordre

• L'e-mail d'abord. Donnez à votre compte e-mail un mot de passe fort et unique et une passkey ou une clé de sécurité, puisque toutes les autres réinitialisations passent par lui.
• Puis chaque exchange. Ajoutez une passkey ou une clé de sécurité là où c'est proposé, sinon une application d'authentification.
• Conservez les codes de secours que chaque service vous montre, sur papier, avec vos autres sauvegardes hors ligne.
• Supprimez le SMS comme méthode de repli dès qu'une méthode plus forte fonctionne, si le service le permet.
• Activez la liste blanche de retrait et ajoutez-y les adresses de vos propres wallets.

Ce que la 2FA ne protège pas

La 2FA protège des comptes : exchanges, e-mail, trackers. Elle ne fait rien pour un wallet que vous contrôlez vous-même, où la seed phrase est la seule clé qui compte — comment la stocker. Et elle ne vous empêche pas d'approuver un transfert qu'on vous a poussé à faire ; les arnaques crypto courantes passe ces ruses en revue.

Ce guide explique comment les choses fonctionnent. Ce n'est pas un conseil financier, d'investissement ou fiscal. Une erreur ? Écrivez à hi@perly.io et nous la corrigerons.