Qu’est-ce qu’une clé de configuration 2FA, et comment la saisir ?

Lorsque vous activez l’authentification à deux facteurs avec une application d’authentification, le site web transmet à votre app une clé de configuration : un secret que seuls vous et le site connaissez. Votre app la combine avec l’heure actuelle pour générer chaque code. Le code QR qu’affiche un site contient la clé de configuration. La version texte, sous un lien comme « Can’t scan the code? » (vous ne pouvez pas scanner le code ?), est la même clé écrite en toutes lettres.

Les sites lui donnent des noms différents : « setup key » (clé de configuration), « secret key » (clé secrète), « text code » (code texte), « manual entry key » (clé de saisie manuelle) ou « 2FA secret » (secret 2FA).

À quoi ressemble une clé de configuration (avec un exemple)

Les clés de configuration sont écrites en base32 :

• les lettres de A à Z et les chiffres de 2 à 7,
• en général de 16 à 32 caractères, souvent regroupés, par exemple JBSW Y3DP EHPK 3PXP,
• jamais les chiffres 0, 1, 8 ou 9.

Si vous recopiez une clé à la main, l’erreur classique consiste à saisir un zéro là où la clé contient la lettre O, ou un un là où elle contient la lettre I. Les clés ne contiennent jamais 0 ni 1 : il s’agit donc toujours de la lettre. Les espaces et la casse (majuscules ou minuscules) n’ont pas d’importance.

Gardez-la secrète

Toute personne qui possède votre clé de configuration peut générer les mêmes codes que vous, tant que la 2FA reste configurée avec cette clé. Traitez-la comme un mot de passe :

• ne l’envoyez pas dans un message et ne la collez pas sur un site web dont vous n’êtes pas sûr,
• ne la conservez pas dans une capture d’écran ou une note qui se synchronise partout,
• si vous pensez qu’elle a fuité, configurez de nouveau la 2FA sur le site, ce qui crée une nouvelle clé.

Les réglages associés à une clé saisie

Un code QR transporte la clé et ses réglages : le nombre de chiffres, la fréquence à laquelle le code change et l’algorithme de hachage. Une clé saisie n’est que la clé : l’app applique donc les réglages standard, soit 6 chiffres, toutes les 30 secondes, SHA-1. Cela convient à presque tous les sites. Si un site indique que ses codes comportent 8 chiffres ou changent toutes les 60 secondes, ajoutez-le plutôt à partir du code QR.

Saisir une clé dans Authenticator App - Novaz

1. Touchez +, puis Saisir la clé manuellement.
2. Remplissez Service (le nom que vous verrez dans la liste), Compte (facultatif : le nom d’utilisateur ou l’adresse e-mail avec lequel vous vous connectez) et Clé de configuration.
3. Touchez Enregistrer, puis saisissez sur le site web le code qu’affiche Novaz pour terminer la configuration de la 2FA.

Si la clé n’est pas en base32 valide ou fait moins de 16 caractères, Novaz affiche « Les clés utilisent base32 (A–Z, 2–7) et font au moins 16 caractères. » et ne l’enregistre pas.

La section AVANCÉ affiche les réglages utilisés par tous les comptes saisis manuellement : Basé sur le temps, 6 chiffres, 30 secondes. Ils ne peuvent pas être modifiés à cet endroit. Pour vérifier ce qu’utilise un compte existant, touchez-le et regardez sous DÉTAILS (si Masquer les codes jusqu’au toucher est activé, touchez une fois pour afficher le code, puis une seconde fois pour ouvrir le compte).