Cyberpediapar Brain
FRDEEN

Protéger sa boîte mail personnelle avec la double authentification

Activer la double authentification sur sa boîte mail personnelle : méthodes, codes de secours, redirections à vérifier et pièges à connaître.

En 30 secondes

Où ça arrive
À la connexion à une messagerie personnelle, et quand un faux message, un faux conseiller ou une avalanche de notifications pousse à donner un code ou à valider une demande.
Ce que veut l'attaquant
Entrer dans la boîte avec un mot de passe volé, puis contourner la seconde étape en obtenant un code ou une validation de la victime3.
Le réflexe
Activer la double authentification sur la messagerie, préférer une application ou une clé de sécurité au SMS, et ne jamais valider ni communiquer un code qu'on n'a pas déclenché soi-même.
Si c'est déjà fait
Vérifier les options de récupération, les méthodes enregistrées et les règles de redirection de la boîte.

De quoi parle-t-on

Un mot de passe seul protège mal une boîte mail. La CISA, l'agence américaine de cybersécurité, rappelle qu'un mot de passe peut être réutilisé, plus facilement deviné ou volé, et que des acteurs malveillants savent le contourner1. La double authentification (aussi appelée MFA, 2FA ou validation en deux étapes) ajoute une seconde preuve d'identité au moment de la connexion1.

La CISA cite la messagerie en tête des comptes où mettre en place la double authentification1. Les services envoient souvent un code ou un lien à l'adresse du compte pour vérifier son titulaire2. Cette fiche explique les méthodes, les gestes à faire et les pièges.

Questions directes

Qu'est-ce que la double authentification ?

C'est une méthode qui combine au moins deux preuves parmi trois familles : quelque chose que l'on sait (mot de passe, code PIN), quelque chose que l'on possède (application d'authentification, SMS de confirmation) et quelque chose que l'on est (empreinte, visage)1. Si le mot de passe est volé, l'attaquant bute sur la seconde exigence1.

Où faut-il l'activer ?

La CISA cite d'abord les comptes de messagerie, puis les services financiers, les réseaux sociaux, les boutiques en ligne et les services de jeux et de streaming1. Les options se trouvent dans les paramètres de sécurité du compte, sous des noms variables : « Two Factor Authentication », « Multifactor Authentication » ou « Two Step Factor Authentication »1. Si le service ne la propose pas, la CISA conseille de le lui demander1.

Toutes les méthodes se valent-elles ?

Non. La CISA écrit que « any MFA is better than no MFA », mais que certaines méthodes protègent mieux que d'autres1. Elle présente FIDO/WebAuthn comme la seule authentification résistante à l'hameçonnage largement disponible : si l'utilisateur est trompé par un faux site, le protocole bloque la tentative1. Les clés de sécurité de type U2F, comme la YubiKey, sont résistantes à l'hameçonnage parce que la clé privée ne quitte jamais le dispositif2.

Le SMS est-il à éviter ?

Il vaut mieux que rien1, mais il a des faiblesses connues. L'OWASP le classe parmi les authentificateurs restreints, à cause de l'interception SS7, de l'échange de carte SIM et du transfert de numéro2. Pour qui n'a que le SMS, l'OWASP conseille de prévoir une migration vers une application de codes temporaires (TOTP), les notifications push ou WebAuthn/FIDO22.

1Comment ça marche1 min

Une application d'authentification génère un code numérique à durée courte. L'utilisateur l'installe sur son téléphone, scanne un QR code fourni par le service, qui donne la graine initiale, puis saisit les codes affichés2. La RFC 6238 recommande un pas de 30 secondes par défaut2. Le point faible est le téléphone : si l'appareil est perdu, volé ou sans batterie, la connexion devient impossible, et les sauvegardes de la graine peuvent être mal rangées2.

Une clé matérielle U2F fonctionne autrement. Il n'y a rien à recopier : l'utilisateur appuie sur un bouton ou approche la clé d'un lecteur NFC2.

2Ce que vous faites1 min
  • Activez la double authentification sur la boîte mail dès aujourd'hui1.
  • Choisissez une application d'authentification ou une clé de sécurité plutôt que le SMS2. Si seul le SMS est proposé, prenez-le plutôt que rien1.
  • Rangez les codes de secours. L'OWASP cite parmi les méthodes de récupération courantes des codes à usage unique remis à l'inscription2.
  • Protégez le mot de passe. La CISA demande des mots de passe longs (au moins 16 caractères), aléatoires et uniques, rangés dans un gestionnaire de mots de passe4.
  • Contrôlez les options de récupération : numéro de téléphone, adresse de secours, appareils enregistrés. L'OWASP note que changer un facteur d'authentification est une opération que les attaquants exploitent pour prendre un compte, et que le service doit prévenir l'utilisateur par un autre canal à chaque changement2. Un avis de ce type que vous n'avez pas provoqué est un signal d'alerte.
  • Cherchez les redirections. Un attaquant peut créer une règle qui transfère les messages vers une autre adresse, et cette règle lui garde l'accès aux mails même après une réinitialisation des identifiants par les administrateurs5. Dans la messagerie, ouvrez les paramètres des règles et des transferts, et supprimez tout ce que vous n'avez pas créé.
3Les pièges2 min

Les notifications en rafale

Un attaquant qui connaît le mot de passe peut déclencher la connexion en boucle et inonder la victime de notifications, de SMS et d'appels, dans l'espoir qu'elle finisse par accepter par lassitude : c'est la « MFA fatigue »3. MITRE cite des groupes qui ont employé cette méthode, dont LAPSUS$ et Scattered Spider3. La règle : ne validez que les connexions que vous venez de lancer. Faute de MFA résistante à l'hameçonnage, la CISA invite à envisager la correspondance de numéros pour bloquer ces assauts1.

Le code demandé par un faux conseiller

Un message de phishing peut demander d'appeler un numéro, où l'interlocuteur dirige la victime vers une adresse malveillante ou lui fait installer un outil d'accès à distance6. Un code reçu par SMS ou par mail ne se communique à personne : il sert à prouver que vous êtes bien le titulaire du compte. MITRE rappelle que les codes envoyés par SMS ou par mail peuvent être interceptés si l'appareil ou le service n'est pas sécurisé7.

Les faux messages de sécurité

Le phishing est de l'ingénierie sociale transmise par voie électronique : l'attaquant se fait passer pour une source de confiance6. Un faux message d'alerte peut renvoyer vers une copie du site de connexion. Des outils comme evilginx2 interceptent alors les jetons d'authentification et contournent les formes d'authentification qui ne résistent pas à l'hameçonnage7. Une clé FIDO bloque ce scénario1. Dans le doute, ne cliquez pas : ouvrez le service en tapant son adresse vous-même.

Le numéro de téléphone détourné

Dans l'échange de carte SIM, l'attaquant convainc l'opérateur de transférer le numéro de la victime, ce qui lui permet de recevoir les codes par SMS ou par appel2. L'OWASP recommande de surveiller les changements de numéro ou les remplacements de carte SIM imprévus2.

La seconde étape désactivée

Après être entré dans un compte, un attaquant peut désactiver la double authentification ou enregistrer sa propre méthode8. Revoyez de temps en temps la liste des méthodes et des appareils enregistrés sur la messagerie.

Fiche

Identifiant
CP-559
Aile
5. Vie au bureau et réflexes
Compétence Brain
Déjouer l'ingénierie sociale (outsmart_social_engineering)
Réflexe Brain
cr-064
Schéma
G5 · Arbre de Décision Réflexe
Langues
de, en, fr
Sources
8 sources vérifiées le 3 novembre 2026
Sources8 sources
  1. CISA, « More than a Password | CISA ». https://www.cisa.gov/MFA (consulté le 3 novembre 2026)
  2. OWASP, « Multifactor Authentication - OWASP Cheat Sheet Series ». https://cheatsheetseries.owasp.org/cheatsheets/Multifactor_Authentication_Cheat_Sheet.html (consulté le 3 novembre 2026)
  3. MITRE ATT&CK, « Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1621/ (consulté le 3 novembre 2026)
  4. CISA, « Require Strong Passwords | CISA ». https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-strong-passwords (consulté le 3 novembre 2026)
  5. MITRE ATT&CK, « Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1114/003/ (consulté le 3 novembre 2026)
  6. MITRE ATT&CK, « Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1566/ (consulté le 3 novembre 2026)
  7. MITRE ATT&CK, « Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1111/ (consulté le 3 novembre 2026)
  8. MITRE ATT&CK, « Modify Authentication Process: Multi-Factor Authentication, Sub-technique T1556.006 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1556/006/ (consulté le 3 novembre 2026)

Citer cet article

Brain, « Protéger sa boîte mail personnelle avec la double authentification », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/double-authentification-boite-mail-personnelle/

BibTeX 
@misc{brain_cp559_fr_2026,
  author = {Brain},
  title = {Protéger sa boîte mail personnelle avec la double authentification},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/double-authentification-boite-mail-personnelle/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0