--- id: CP-559 slug: double-authentification-boite-mail-personnelle lang: fr title: Protéger sa boîte mail personnelle avec la double authentification description: "Activer la double authentification sur sa boîte mail personnelle : méthodes, codes de secours, redirections à vérifier et pièges à connaître." canonical_url: https://startbrain.io/cyberpedia/fr/articles/double-authentification-boite-mail-personnelle/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/double-authentification-boite-mail-personnelle.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Protéger sa boîte mail personnelle avec la double authentification », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/double-authentification-boite-mail-personnelle/ (CC BY 4.0) wing: 5 theme: outsmart_social_engineering reflex: cr-064 schema: G5 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/double-authentification-boite-mail-personnelle/ en: https://startbrain.io/cyberpedia/en/articles/two-factor-authentication-personal-email/ de: https://startbrain.io/cyberpedia/de/articles/doppelte-authentifizierung-privates-e-mail-postfach/ es: https://startbrain.io/cyberpedia/es/articles/doble-autenticacion-correo-personal/ sources: - "n": 1 title: More than a Password | CISA publisher: CISA url: https://www.cisa.gov/MFA accessed: "2026-11-03" - "n": 2 title: Multifactor Authentication - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Multifactor_Authentication_Cheat_Sheet.html accessed: "2026-11-03" - "n": 3 title: Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1621/ accessed: "2026-11-03" - "n": 4 title: Require Strong Passwords | CISA publisher: CISA url: https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-strong-passwords accessed: "2026-11-03" - "n": 5 title: "Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1114/003/ accessed: "2026-11-03" - "n": 6 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" - "n": 7 title: Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1111/ accessed: "2026-11-03" - "n": 8 title: "Modify Authentication Process: Multi-Factor Authentication, Sub-technique T1556.006 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1556/006/ accessed: "2026-11-03" --- # Protéger sa boîte mail personnelle avec la double authentification Un mot de passe seul protège mal une boîte mail. La CISA, l'agence américaine de cybersécurité, rappelle qu'un mot de passe peut être réutilisé, plus facilement deviné ou volé, et que des acteurs malveillants savent le contourner [1]. La double authentification (aussi appelée MFA, 2FA ou validation en deux étapes) ajoute une seconde preuve d'identité au moment de la connexion [1]. La CISA cite la messagerie en tête des comptes où mettre en place la double authentification [1]. Les services envoient souvent un code ou un lien à l'adresse du compte pour vérifier son titulaire [2]. Cette fiche explique les méthodes, les gestes à faire et les pièges. ## En 30 secondes - Où ça arrive : à la connexion à une messagerie personnelle, et quand un faux message, un faux conseiller ou une avalanche de notifications pousse à donner un code ou à valider une demande. - Ce que veut l'attaquant : entrer dans la boîte avec un mot de passe volé, puis contourner la seconde étape en obtenant un code ou une validation de la victime [3]. - Le réflexe : activer la double authentification sur la messagerie, préférer une application ou une clé de sécurité au SMS, et ne jamais valider ni communiquer un code qu'on n'a pas déclenché soi-même. - Si c'est déjà fait : vérifier les options de récupération, les méthodes enregistrées et les règles de redirection de la boîte. ## Questions directes ### Qu'est-ce que la double authentification ? C'est une méthode qui combine au moins deux preuves parmi trois familles : quelque chose que l'on sait (mot de passe, code PIN), quelque chose que l'on possède (application d'authentification, SMS de confirmation) et quelque chose que l'on est (empreinte, visage) [1]. Si le mot de passe est volé, l'attaquant bute sur la seconde exigence [1]. ### Où faut-il l'activer ? La CISA cite d'abord les comptes de messagerie, puis les services financiers, les réseaux sociaux, les boutiques en ligne et les services de jeux et de streaming [1]. Les options se trouvent dans les paramètres de sécurité du compte, sous des noms variables : « Two Factor Authentication », « Multifactor Authentication » ou « Two Step Factor Authentication » [1]. Si le service ne la propose pas, la CISA conseille de le lui demander [1]. ### Toutes les méthodes se valent-elles ? Non. La CISA écrit que « any MFA is better than no MFA », mais que certaines méthodes protègent mieux que d'autres [1]. Elle présente FIDO/WebAuthn comme la seule authentification résistante à l'hameçonnage largement disponible : si l'utilisateur est trompé par un faux site, le protocole bloque la tentative [1]. Les clés de sécurité de type U2F, comme la YubiKey, sont résistantes à l'hameçonnage parce que la clé privée ne quitte jamais le dispositif [2]. ### Le SMS est-il à éviter ? Il vaut mieux que rien [1], mais il a des faiblesses connues. L'OWASP le classe parmi les authentificateurs restreints, à cause de l'interception SS7, de l'échange de carte SIM et du transfert de numéro [2]. Pour qui n'a que le SMS, l'OWASP conseille de prévoir une migration vers une application de codes temporaires (TOTP), les notifications push ou WebAuthn/FIDO2 [2]. ## Comment ça marche Une application d'authentification génère un code numérique à durée courte. L'utilisateur l'installe sur son téléphone, scanne un QR code fourni par le service, qui donne la graine initiale, puis saisit les codes affichés [2]. La RFC 6238 recommande un pas de 30 secondes par défaut [2]. Le point faible est le téléphone : si l'appareil est perdu, volé ou sans batterie, la connexion devient impossible, et les sauvegardes de la graine peuvent être mal rangées [2]. Une clé matérielle U2F fonctionne autrement. Il n'y a rien à recopier : l'utilisateur appuie sur un bouton ou approche la clé d'un lecteur NFC [2]. ## Ce que vous faites - Activez la double authentification sur la boîte mail dès aujourd'hui [1]. - Choisissez une application d'authentification ou une clé de sécurité plutôt que le SMS [2]. Si seul le SMS est proposé, prenez-le plutôt que rien [1]. - Rangez les codes de secours. L'OWASP cite parmi les méthodes de récupération courantes des codes à usage unique remis à l'inscription [2]. - Protégez le mot de passe. La CISA demande des mots de passe longs (au moins 16 caractères), aléatoires et uniques, rangés dans un gestionnaire de mots de passe [4]. - Contrôlez les options de récupération : numéro de téléphone, adresse de secours, appareils enregistrés. L'OWASP note que changer un facteur d'authentification est une opération que les attaquants exploitent pour prendre un compte, et que le service doit prévenir l'utilisateur par un autre canal à chaque changement [2]. Un avis de ce type que vous n'avez pas provoqué est un signal d'alerte. - Cherchez les redirections. Un attaquant peut créer une règle qui transfère les messages vers une autre adresse, et cette règle lui garde l'accès aux mails même après une réinitialisation des identifiants par les administrateurs [5]. Dans la messagerie, ouvrez les paramètres des règles et des transferts, et supprimez tout ce que vous n'avez pas créé. ## Les pièges ### Les notifications en rafale Un attaquant qui connaît le mot de passe peut déclencher la connexion en boucle et inonder la victime de notifications, de SMS et d'appels, dans l'espoir qu'elle finisse par accepter par lassitude : c'est la « MFA fatigue » [3]. MITRE cite des groupes qui ont employé cette méthode, dont LAPSUS$ et Scattered Spider [3]. La règle : ne validez que les connexions que vous venez de lancer. Faute de MFA résistante à l'hameçonnage, la CISA invite à envisager la correspondance de numéros pour bloquer ces assauts [1]. ### Le code demandé par un faux conseiller Un message de phishing peut demander d'appeler un numéro, où l'interlocuteur dirige la victime vers une adresse malveillante ou lui fait installer un outil d'accès à distance [6]. Un code reçu par SMS ou par mail ne se communique à personne : il sert à prouver que vous êtes bien le titulaire du compte. MITRE rappelle que les codes envoyés par SMS ou par mail peuvent être interceptés si l'appareil ou le service n'est pas sécurisé [7]. ### Les faux messages de sécurité Le phishing est de l'ingénierie sociale transmise par voie électronique : l'attaquant se fait passer pour une source de confiance [6]. Un faux message d'alerte peut renvoyer vers une copie du site de connexion. Des outils comme evilginx2 interceptent alors les jetons d'authentification et contournent les formes d'authentification qui ne résistent pas à l'hameçonnage [7]. Une clé FIDO bloque ce scénario [1]. Dans le doute, ne cliquez pas : ouvrez le service en tapant son adresse vous-même. ### Le numéro de téléphone détourné Dans l'échange de carte SIM, l'attaquant convainc l'opérateur de transférer le numéro de la victime, ce qui lui permet de recevoir les codes par SMS ou par appel [2]. L'OWASP recommande de surveiller les changements de numéro ou les remplacements de carte SIM imprévus [2]. ### La seconde étape désactivée Après être entré dans un compte, un attaquant peut désactiver la double authentification ou enregistrer sa propre méthode [8]. Revoyez de temps en temps la liste des méthodes et des appareils enregistrés sur la messagerie. ## Sources 1. CISA, « More than a Password | CISA ». https://www.cisa.gov/MFA (consulté le 3 novembre 2026) 2. OWASP, « Multifactor Authentication - OWASP Cheat Sheet Series ». https://cheatsheetseries.owasp.org/cheatsheets/Multifactor_Authentication_Cheat_Sheet.html (consulté le 3 novembre 2026) 3. MITRE ATT&CK, « Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1621/ (consulté le 3 novembre 2026) 4. CISA, « Require Strong Passwords | CISA ». https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-strong-passwords (consulté le 3 novembre 2026) 5. MITRE ATT&CK, « Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1114/003/ (consulté le 3 novembre 2026) 6. MITRE ATT&CK, « Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1566/ (consulté le 3 novembre 2026) 7. MITRE ATT&CK, « Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1111/ (consulté le 3 novembre 2026) 8. MITRE ATT&CK, « Modify Authentication Process: Multi-Factor Authentication, Sub-technique T1556.006 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1556/006/ (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/double-authentification-boite-mail-personnelle/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.