Double authentification : l'activer

On la trouve aussi sous les noms de vérification en deux étapes ou de 2FA. Le dispositif national d'assistance aux victimes la recommande pour tous les comptes qui la proposent (cybermalveillance.gouv.fr).

Ce qu'elle protège, et ce qu'elle ne protège pas

Elle bloque la cause la plus courante des comptes piratés : un mot de passe deviné, réutilisé sur un autre site qui a fuité, ou saisi sur une fausse page de connexion. L'attaquant a le mot de passe, il n'a pas votre téléphone.

Elle ne protège pas un appareil déjà compromis, ni une session restée ouverte sur un ordinateur partagé. Elle ne remplace pas non plus les mises à jour : un site WordPress piraté passe le plus souvent par une extension en retard, pas par la page de connexion.

Quelle méthode choisir

1. Une application d'authentification. Google Authenticator, Microsoft Authenticator, Authy ou l'application de votre gestionnaire de mots de passe produisent un code qui change toutes les trente secondes. Elle fonctionne sans réseau et c'est le bon choix par défaut.
2. Une clé de sécurité ou une clé d'accès. Une petite clé USB ou NFC, ou une clé d'accès enregistrée sur votre téléphone. C'est la méthode la plus résistante à l'hameçonnage, quand le service la propose.
3. Un code par SMS ou par courriel. Mieux que rien, mais le message peut être détourné, et un courriel n'aide pas si c'est justement votre messagerie qui est visée.

L'activer sur WordPress

WordPress ne la fournit pas de lui-même : il faut une extension ou une connexion par un service d'identité, rappelle la documentation de WordPress sur les attaques par force brute. Le principe est le même quelle que soit l'extension :

1. Connectez-vous à l'administration de WordPress avec un compte administrateur.
2. Ouvrez votre profil (Comptes, puis Profil) ou la page de réglages de l'extension de sécurité.
3. Choisissez la méthode par application, puis scannez le code QR affiché avec l'application de votre téléphone.
4. Saisissez le code à six chiffres que l'application affiche, pour confirmer que tout est relié.
5. Notez les codes de secours proposés et rangez-les hors du site, dans votre gestionnaire de mots de passe par exemple.
6. Déconnectez-vous puis reconnectez-vous pour vérifier que le code est bien demandé.

Faites-le pour chaque compte administrateur ou éditeur, pas seulement le vôtre. Un compte oublié d'un ancien prestataire est une porte qui reste ouverte.

L'activer sur votre espace client Hubspace

Votre espace client donne accès à vos services, à vos factures et au panneau d'hébergement. La double authentification y est disponible, par application, et c'est vous qui l'activez :

1. Connectez-vous à votre espace client.
2. Ouvrez les paramètres de sécurité de votre compte.
3. Choisissez l'application d'authentification et scannez le code QR.
4. Confirmez avec le code affiché, puis conservez le code de secours qui vous est donné.

Nous ne vous demanderons jamais ce code, ni par téléphone ni par courriel. Quelqu'un qui vous le réclame en se présentant comme nous essaie d'entrer dans votre compte.

Les erreurs à éviter

• Garder l'application sur un seul téléphone sans codes de secours. Le jour où il est perdu ou changé, vous êtes enfermé dehors.
• Partager un même compte administrateur entre plusieurs personnes pour ne pas avoir à créer des accès. Créez un compte par personne, chacun avec sa double authentification.
• Désactiver la double authentification « le temps d'un dépannage » et oublier de la remettre.

Sur un site hébergé chez nous

La double authentification est préinstallée sur les sites WordPress que nous hébergeons : il vous reste à l'activer pour chaque compte, en suivant les étapes ci-dessus. Elle s'ajoute au pare-feu applicatif et au blocage des connexions en masse, compris dans toutes nos offres. Pour comprendre ce que ces protections arrêtent avant même la page de connexion, voir Attaque par force brute.

Questions fréquentes