Activer la double authentification sur la messagerie, les moyens de paiement et les comptes sociaux, en privilégiant la confirmation par fenêtre sur le téléphone, puis seulement le code SMS
- Valeur maximale
- Preuves A
- Argent
- Gratuit
- Quelques minutes
- Sans volonté
En clair
La double authentification consiste à confirmer, lors de la connexion, que c'est bien vous, en plus du mot de passe. Une fenêtre qui s'affiche sur votre téléphone et que vous validez d'un clic bloque plus de neuf fois sur dix les détournements de compte par hameçonnage. Les anciennes méthodes, qui consistent à répondre à « où vous êtes-vous connecté la dernière fois ? » ou à « quelle est votre adresse de secours ? », n'en arrêtent qu'environ un sur dix.
- Coût
-
Gratuit. Un réglage par compte, deux à trois minutes chacun.
- Ce que vous y gagnez
-
Google a analysé 350 000 (35万) tentatives réelles de détournement de compte. Une première catégorie de vérifications repose sur un appareil : une fenêtre à valider sur le téléphone, ou une clé de sécurité physique. Elle a bloqué « plus de 94 % des détournements issus d'hameçonnage et 100 % des détournements automatisés ». L'hameçonnage consiste à vous faire saisir votre mot de passe sur un faux site ; l'attaque automatisée consiste à tester en masse, par des machines, des mots de passe volés. L'autre catégorie repose sur des questions, comme « où vous êtes-vous connecté la dernière fois ? » ou « quelle est votre adresse de secours ? ». Elle n'a arrêté que 10 % des détournements par hameçonnage, et 73 % des détournements automatisés.
- Remarques
-
La même étude montre que ce type de vérification bloque parfois le titulaire légitime : 52 % des vrais utilisateurs n'ont pas réussi à se connecter du premier coup, mais 97 % y sont finalement parvenus. Activez-la d'abord sur la messagerie, car la plupart des autres comptes peuvent réinitialiser leur mot de passe par e-mail. Ne transmettez votre code de vérification à personne, et ne laissez personne se faire reconnaître à votre place : pour ce qu'on risque à le faire, voir §8.45 (lire un code de vérification à haute voix).
- Niveau de preuve
- A : Chiffres précis tirés de méta-analyses, de grandes cohortes ou d’essais randomisés ; pour les lois et politiques, le texte officiel.
- Sources
-
- Doerfler P, Thomas K, Marincenko M, et al. (2019). Evaluating Login Challenges as a Defense Against Account Takeover. The World Wide Web Conference (WWW '19). https://doi.org/10.1145/3308558.3313481
Cité dans
Traduit de l’original chinois. Livre original, section 14, conseil 1. Le contenu peut être dépassé et les règles varient selon les lieux. Pour une démarche, un rendez-vous médical ou un procès, suivez ce que disent l’administration, le médecin ou l’avocat. Avertissement