Vous avez perdu Google Authenticator ? Comment fonctionnent la sauvegarde, la synchronisation et la récupération

Lorsque le téléphone qui contenait vos codes Google Authenticator disparaît, la suite dépend des choix que vous aviez faits avant de le perdre. Les codes étaient-ils synchronisés ? Aviez-vous enregistré des codes de secours ? Le service propose-t-il un autre moyen de récupérer l’accès ?

Voici comment fonctionnent ces trois niveaux, ce que vous pouvez faire si vous n’en aviez configuré aucun et comment vous y préparer. Les étapes exactes varient selon les services. Cet article explique donc les principes généraux ; pour connaître la procédure propre à un site, consultez son centre d’aide.

Ce que l’application stocke et pourquoi la perte d’un téléphone pose problème

Google Authenticator conserve les secrets utilisés par vos comptes pour calculer les codes, puis génère ces codes directement sur le téléphone. Google précise que l’application peut le faire sans connexion Internet ni service mobile. C’est pratique, mais cela signifie aussi que la génération des codes dépend de l’appareil : si vous le perdez, vous êtes en difficulté, à moins que ces secrets existent ailleurs.

Premier niveau : la synchronisation avec un compte Google

Selon Google, vous pouvez synchroniser vos codes sur tous vos appareils en vous connectant à votre compte Google. Lorsque vous vous connectez sur un nouvel appareil, les codes s’y synchronisent automatiquement. Google indique que les codes sont chiffrés pendant leur transfert et lorsqu’ils sont stockés. Si vous utilisez l’application sans compte Google, les codes sont conservés uniquement sur cet appareil et ne sont disponibles nulle part ailleurs.

C’est là toute la différence en cas de perte du téléphone. Les codes synchronisés réapparaissent lorsque vous vous connectez sur un nouvel appareil. Les codes qui n’ont jamais été synchronisés ni transférés ne peuvent pas être récupérés depuis l’application. La page d’aide de Google indique que vous devrez alors vous rendre sur chaque site où vous aviez configuré l’application, supprimer les anciens codes et associer votre nouvel appareil. Le transfert manuel est possible, mais Google précise qu’il nécessite votre ancien appareil : il n’est donc utile que tant que vous l’avez encore.

La synchronisation implique un compromis. Votre compte Google devient la porte d’accès à vos codes : il est donc d’autant plus important de bien le protéger. Google recommande d’activer d’autres formes de validation en 2 étapes et d’envisager les clés d’accès. Si vos codes semblent manquer après une connexion, Google suggère de vérifier que vous êtes connecté au bon compte Google.

Deuxième niveau : les codes de secours enregistrés à l’avance

De nombreux services fournissent des codes de secours à usage unique ou une clé de récupération lorsque vous activez la validation par application d’authentification. Les codes de secours d’un compte Google comportent huit chiffres ; chacun devient inactif après utilisation, et la création d’un nouvel ensemble désactive l’ancien. Google indique également de ne jamais les partager et précise qu’il ne demande un code de secours qu’au moment de la connexion.

Les directives du NIST sur l’identité numérique décrivent ces codes de récupération comme des secrets à usage unique à conserver au cas où vous perdriez un autre moyen d’authentification. Ils ne protègent pas contre l’hameçonnage : conservez-les hors ligne, et non sous forme de capture d’écran ou de note dans le cloud. La clé de configuration affichée lors de l’inscription est également un secret, car quiconque la possède peut générer vos codes. Si vous l’avez enregistrée, protégez-la comme un mot de passe.

Troisième niveau : la procédure de récupération propre au service

S’il n’y a ni synchronisation ni code de secours, seul le service lui-même peut rétablir votre accès. Attendez-vous à devoir vérifier votre identité, et éventuellement à observer un délai d’attente. Selon les conseils de Google, la récupération fonctionne mieux depuis un appareil et un lieu que vous utilisez habituellement, avec une adresse e-mail de récupération à laquelle vous pouvez accéder. Pour les comptes protégés par la validation en 2 étapes, Google précise que la vérification peut prendre plusieurs jours.

D’autres méthodes de validation en deuxième étape peuvent vous aider. Google indique que si vous perdez votre téléphone principal, vous pouvez confirmer votre identité à l’aide d’un autre téléphone connecté à votre compte, d’un autre numéro de téléphone que vous avez ajouté ou d’une clé de sécurité matérielle. Plus vous enregistrez à l’avance de moyens d’accès indépendants, moins vous dépendez de la procédure de récupération. Le NCSC souligne que les procédures de récupération sont souvent moins sûres que la connexion et que les attaquants les ciblent ; c’est pourquoi il faut commencer par utiliser uniquement les canaux officiels du service.

Si le téléphone a été volé, et pas seulement perdu

Un téléphone volé pose un problème supplémentaire : quelqu’un d’autre pourrait accéder aux codes qu’il contient. Google conseille de veiller à ce que personne d’autre ne puisse accéder aux codes et d’utiliser, si cette option est disponible, la fonction d’effacement à distance de votre téléphone. Si vos codes sont synchronisés, vous pouvez également les supprimer en retirant l’appareil de votre compte Google. Google suggère aussi de vous déconnecter du téléphone perdu. Configurer un verrouillage à saisir avant l’ouverture de l’application, appelé Privacy Screen par Google, permet de mieux vous protéger en amont.

Rappel de WEEX : seul le véritable service peut rétablir l’accès

WEEX rappelle aux utilisateurs que toute personne qui propose de « récupérer votre Google Authenticator » et demande un code de vérification, un code de secours, un code QR, une clé de configuration, une phrase de récupération ou un accès à distance à votre appareil est un escroc. Utilisez uniquement les canaux d’assistance du site ou de l’application officiels et conservez vos codes de secours hors ligne. Google précise lui-même qu’il ne demande jamais de mot de passe ni de code de vérification par e-mail, appel téléphonique ou message. Ce contenu ne constitue pas un conseil financier.

Conclusion

La récupération après la perte d’un moyen d’authentification dépend de trois niveaux : la synchronisation des codes avec un compte, l’enregistrement de codes de secours et les exigences de la procédure de récupération du service. En configurer au moins deux avant d’en avoir besoin transforme la perte d’un téléphone en simple désagrément plutôt qu’en blocage d’accès. Aucun véritable service d’assistance ne vous demandera jamais les secrets qui protègent vos comptes.

FAQ

1. Que deviennent mes codes si je perds le téléphone sur lequel se trouve Google Authenticator ?
S’ils étaient synchronisés avec un compte Google, ils réapparaissent lorsque vous vous connectez sur un nouvel appareil. S’ils n’ont jamais été synchronisés ni transférés, vous ne pouvez pas les récupérer depuis l’application et devrez utiliser des codes de secours ou la procédure de récupération du service.

2. Puis-je récupérer mes codes sans l’ancien téléphone ?
Uniquement s’ils étaient synchronisés avec un compte Google. Google indique que le transfert manuel nécessite l’ancien appareil.

3. Les codes de secours sont-ils identiques aux codes Google Authenticator ?
Non. Les codes de secours sont des codes à usage unique fournis par le service lorsque vous ne pouvez pas utiliser votre méthode habituelle de validation en deuxième étape. Google précise que chacun devient inactif après utilisation.

4. Combien de temps prend la récupération d’un compte ?
La durée varie selon le service. Pour les comptes protégés par la validation en 2 étapes, Google précise que cela peut prendre plusieurs jours.

5. Un véritable service me demandera-t-il un code ou un code QR pour récupérer mon application d’authentification ?
Non. Google précise qu’il ne demande un code de secours qu’au moment de la connexion et qu’il ne demande jamais de mot de passe ni de code de vérification par e-mail, appel téléphonique ou message.