Téléphone perdu, compte verrouillé : ce qui vous aide vraiment dans cette situation

Votre téléphone a disparu. Volé, tombé dans un lac, peu importe. Vous connaissez toujours le mot de passe de votre compte Google, mais Google exige désormais l’authentification à deux facteurs, et celle-ci était enregistrée sur le téléphone dont vous ne disposez plus.

C’est à ce moment-là que se joue la question de savoir si vous allez perdre un après-midi ou votre compte. La décision elle-même a été prise bien plus tôt, le jour où vous avez activé la connexion à deux facteurs.

Nous avons passé en revue les procédures de récupération de Google, Apple et Microsoft, puis celles de 1Password, Bitwarden et Dashlane. Les six se résument à la même chose : rien ne peut être configuré a posteriori. Chaque solution de secours doit être mise en place avant que vous n’en ayez besoin.

Dans notre article sur les clés de sécurité, huit saisies erronées d’affilée effacent tous les identifiants enregistrés sur l’appareil. Cette fois-ci, ce n’est pas un périphérique qui est perdu. C’est votre boîte de réception.

Ce que les fournisseurs demandent réellement

La solution la plus simple est la même chez les trois principaux fournisseurs : un deuxième appareil sur lequel vous êtes toujours connecté. Sans cela, les options se raréfient rapidement.

Google accepte un autre téléphone connecté, un deuxième numéro enregistré, un code de secours, une clé de sécurité ou une clé d’accès provenant d’un autre appareil. Les codes de secours sont un élément que les utilisateurs sous-estiment. Il y en a dix, composés chacun de huit chiffres, chacun valable pour un usage unique. Générez une nouvelle série et l’ancienne devient immédiatement caduque.

Apple considère le code d’accès de votre iPhone comme un facteur de récupération à part entière. Il est «également utilisé pour réinitialiser le mot de passe de votre compte Apple et pour récupérer vos données chiffrées de bout en bout si vous perdez l’accès à votre compte». Le code que vous saisissez pour déverrouiller votre téléphone fait bien plus que protéger l’écran de verrouillage.

Microsoft ne fournit aucun ensemble de codes. Vous recevez exactement un seul code de récupération à 25 chiffres, et vous ne pouvez pas le récupérer ultérieurement : « Vous ne pouvez pas récupérer ni télécharger un code de récupération de compte Microsoft existant. »

L'attente est le véritable problème

Si vous ne remplissez pas le deuxième critère, vous vous retrouvez dans la procédure de récupération de compte. Cela prend du temps, et c’est voulu.

Google donne un délai précis : « Google peut mettre entre 3 et 5 jours ouvrés pour s’assurer qu’il s’agit bien de vous ». Ajouter un nouveau numéro de téléphone à la dernière minute ne sert à rien, car « ces modifications peuvent prendre jusqu’à 7 jours pour prendre effet ».

Le tout dernier filet de sécurité de Google comporte le même piège. Les contacts de récupération permettent à un maximum de dix personnes de confiance de confirmer votre identité. Le contact dispose de sept jours pour accepter, et il faut attendre une semaine supplémentaire avant de pouvoir utiliser ce contact. Au moment où vous en avez besoin, la porte est fermée : « Vous ne pouvez pas ajouter de contact de récupération lorsque vous êtes bloqué hors de votre compte ou en cours de procédure de récupération de compte. »

Apple ne donne aucun délai précis, se contentant d’indiquer « plusieurs jours, voire plus », et répond lui-même à la question évidente qui s’ensuit. « La période d’attente peut-elle être raccourcie ? Non. »

Microsoft fait figure d’exception. Le formulaire de récupération est renvoyé dans les 24 heures, à condition que la connexion à deux facteurs soit désactivée. Remplacez toutes les informations de sécurité du compte et Microsoft le verrouille pendant 30 jours.

Trois pièges que presque personne ne connaît

Le délai de 30 jours accordé par Microsoft ne peut être raccourci qu’à l’aide de ce que vous venez de perdre. La page d’aide indique : « Nous ne pouvons pas accélérer le processus de 30 jours, sauf si vous annulez la demande. » Et pour annuler : « Vous devrez disposer d’un accès à ces éléments de sécurité pour finaliser la demande d’annulation. » Si l’authentification à deux facteurs est activée et qu’aucune des alternatives enregistrées ne vous est plus accessible, Microsoft vous renvoie une phrase que l’on voit rarement dans un document d’assistance : « Nous ne pouvons pas vous aider, désolé. »

Apple interrompt une procédure de récupération en cours dès que vous utilisez le compte. Aucun avertissement, aucun message : « Si votre compte Apple est utilisé pendant votre demande, la récupération de votre compte sera automatiquement annulée. » Un iPad posé dans le salon, sur lequel vous êtes toujours connecté, suffit. Le seul appareil que vous pouvez continuer à utiliser est celui sur lequel vous avez lancé la demande.

La sauvegarde de l’Authenticator échoue précisément sur le compte qu’elle est censée couvrir. Pour les comptes Microsoft sans mot de passe, la sauvegarde ne contient que le nom du compte et rien d’autre : « Seul le nom du compte est alors sauvegardé. Lors de la restauration, vous devrez vous reconnecter. » À cela s’ajoute une barrière entre les plateformes : « Les comptes sauvegardés à l’aide d’un appareil iOS ne peuvent pas être restaurés sur un appareil Android. » Si vous passez d’un iPhone à un appareil Android, la sauvegarde ne sert à rien.

Avec les gestionnaires de mots de passe, c’est vraiment fini

Google et Apple vous redonneront accès à terme, à condition que vous puissiez fournir des preuves suffisantes. Avec les gestionnaires de mots de passe, aucune autorité de ce type n’existe. Les formules familiales et d’équipe constituent l’exception, dans la mesure où un organisateur ou un administrateur peut réinitialiser votre mot de passe. Si vous payez pour votre propre compte, personne n’a d’autorité sur vous.

Bitwarden le dit sans détours : « Les employés et les systèmes de Bitwarden n’ont aucune connaissance de votre mot de passe principal, ni aucun moyen de le récupérer ou de le réinitialiser. » En cas de perte du deuxième facteur d’authentification : « Bitwarden n’a aucun moyen de récupérer le compte ou ses données. Vous devrez supprimer votre compte et en créer un nouveau. » Le code de récupération qui pourrait vous sauver se trouve dans les paramètres, derrière l’invite du mot de passe principal. Il n’est utile qu’à la personne qui l’a noté au préalable.

1Password met fin à un malentendu très répandu. La « clé secrète » de 34 caractères ressemble à un code d’urgence, mais n’en est pas un : « Votre clé secrète n’est pas : un code de secours. Elle ne vous permet pas de vous connecter si vous oubliez le mot de passe de votre compte 1Password. » Depuis 2024, il existe un véritable code de récupération. Il fonctionne plusieurs fois, mais uniquement si vous pouvez toujours accéder au compte de messagerie enregistré.

Dashlane est le seul des trois à vous envoyer par SMS de nouveaux codes lorsque la deuxième factorisation n’est plus disponible. Il ne réinitialise pas non plus le mot de passe principal. Il propose en revanche une clé de récupération ainsi qu’une récupération biométrique sur Android et iPhone.

Ce qu’il faut mettre en place aujourd’hui

Imprimez vos codes de secours. Ne les photographiez pas et ne les enregistrez pas dans le gestionnaire de mots de passe que vous essayez de protéger. Apple le précise clairement pour sa clé de récupération : ni dans l’application Mots de passe, ni dans iCloud Drive, car « si vous perdez l’accès à votre compte Apple, vous ne pourrez pas ouvrir ces applications pour la retrouver ».

Configurez une authentification à deux facteurs sur un deuxième appareil. Une tablette, une ancienne clé de secours, un générateur d’authentification sur votre ordinateur professionnel. Le fait de ne disposer que d’un seul facteur d’authentification sur un seul téléphone est l’erreur dont découlent toutes les autres, et c’est la première chose que nous disons aux personnes qui demandent comment sécuriser correctement un compte.

Ajoutez dès maintenant vos contacts de confiance. Google autorise dix contacts de récupération, Apple cinq. Les deux nécessitent un délai de mise en place, et chez Google, cela signifie deux fois sept jours.

Réfléchissez bien avant d’activer la clé de récupération. Si vous l’activez chez Apple, la procédure normale est désactivée. Si vous perdez ensuite cette clé et vos appareils, « vous serez définitivement bloqué hors de votre compte ».