Application d’authentification ou codes par SMS : quelle est la plus sûre ?
Par l’équipe Novaz · Mis à jour le 29 octobre 2026
Étapes Novaz vérifiées sur la version 1.0.5
Traduit du guide en anglais. Sur le site du service, les boutons et les menus peuvent porter des noms légèrement différents en français.
Sur cette page
En bref : les codes d’une application d’authentification sont plus sûrs que les codes envoyés par SMS. Rien ne transite par le réseau téléphonique : quelqu’un qui s’empare de votre numéro de téléphone n’obtient donc pas vos codes. Dans les deux cas, il s’agit toutefois de codes à usage unique que vous saisissez vous-même, et une fausse page de connexion convaincante peut voler l’un comme l’autre. Lorsqu’un site web propose une clé d’accès ou une clé de sécurité, c’est plus robuste que les deux.
Pourquoi les codes par SMS sont l’option la plus faible
Un SMS est envoyé à votre numéro de téléphone, pas à votre téléphone. Celui qui contrôle le numéro reçoit le code.
- Échange de carte SIM (SIM swapping) et portabilité frauduleuse. Un escroc persuade votre opérateur mobile de transférer votre numéro sur sa carte SIM, ou chez un autre opérateur. La FCC explique que l’escroc contrôle alors « the victim’s private texts and calls » (les SMS et appels privés de la victime) (FCC). Le FBI prévient qu’après un échange, « calls, texts, and other data are diverted to the criminal’s device » (appels, SMS et autres données sont détournés vers l’appareil du criminel) (FBI IC3).
- Les recommandations du gouvernement américain en restreignent l’usage. Les lignes directrices du NIST sur l’identité numérique (SP 800-63B-4, juillet 2025) classent les codes à usage unique envoyés par le réseau téléphonique parmi les authentificateurs restreints (« restricted »). Les services qui les utilisent doivent surveiller les changements de carte SIM et les portabilités de numéro, et sont tenus de proposer une autre option à chaque utilisateur (NIST).
- Les grands fournisseurs s’en détournent. Microsoft annonce qu’il va « start phasing out SMS » (commencer à supprimer progressivement les SMS) pour la connexion aux comptes Microsoft personnels et leur récupération (Microsoft).
Pourquoi les codes d’une application d’authentification sont meilleurs
Une application d’authentification génère chaque code sur votre téléphone à partir de deux éléments : une clé de configuration que vous avez scannée une fois, et l’heure actuelle. Le code ne vous est jamais envoyé, donc :
- prendre le contrôle de votre numéro de téléphone ne rapporte rien à un attaquant,
- il n’y a aucun SMS à intercepter ni à lire sur l’écran verrouillé, et
- les codes fonctionnent même sans aucun réseau. Comme le dit Google, « you can still generate codes without an internet connection or mobile service » (vous pouvez générer des codes même sans connexion Internet ni réseau mobile) (Google).
Le FBI recommande des « strong multi-factor authentication methods » (méthodes d’authentification multifacteur robustes), dont les « standalone authentication applications » (applications d’authentification autonomes) (FBI IC3).
Ce dont aucun des deux ne vous protège : l’hameçonnage
Les deux types de codes sont saisis par vous, et c’est là le point faible. Une fausse page de connexion peut vous demander votre mot de passe et votre code du moment, puis les transmettre tous les deux au vrai site en quelques secondes. Le NIST est sans détour : « OTP authentication is not phishing-resistant » (l’authentification par OTP ne résiste pas à l’hameçonnage) (NIST, section 3.1.4).
Ce qui aide :
- Vérifiez la barre d’adresse avant de saisir un code, à chaque fois.
- Ne communiquez jamais un code à quelqu’un qui vous appelle, vous envoie un SMS ou un e-mail, même s’il a l’air officiel.
- Lorsque c’est proposé, utilisez une clé d’accès ou une clé de sécurité physique. Elles sont liées à l’adresse du vrai site web : elles ne fonctionnent donc pas sur un faux site. Le NIST considère ce type de connexion cryptographique comme résistant à l’hameçonnage.
Comparaison
| Code par SMS | Application d’authentification | Clé d’accès ou clé de sécurité | |
|---|---|---|---|
| Quelqu’un prend le contrôle de votre numéro | Il obtient vos codes | Il n’obtient rien | Il n’obtient rien |
| Fonctionne sans réseau | Non | Oui | Oui |
| Fausse page de connexion | Peut voler le code | Peut voler le code | Ne fonctionne pas sur cette page |
| Vous perdez votre téléphone | Demandez une nouvelle carte SIM à votre opérateur | Dépend de la sauvegarde de l’app : conservez vos codes de secours | Les clés d’accès synchronisées reviennent sur un nouvel appareil ; pour une clé physique, gardez-en une de rechange |
Désactivez la solution de repli par SMS quand c’est possible
Certains sites web conservent le SMS comme solution de secours, même après que vous avez configuré une application d’authentification. Si la voie du SMS reste ouverte, quelqu’un qui prend le contrôle de votre numéro peut s’en servir à la place. Une fois votre app et vos codes de secours en place, retirez le numéro de téléphone des options de 2FA si le site le permet.
Dans Authenticator App - Novaz
Novaz génère des codes standard basés sur le temps sur votre iPhone. Les clés de configuration restent dans le trousseau de l’iPhone, sur cet appareil, et ne sont jamais envoyées à Novaz. Une copie n’est envoyée sur iCloud que si vous activez la Sauvegarde iCloud (PRO) ; elle est alors chiffrée de bout en bout par Apple dans le trousseau iCloud. Vous pouvez aussi enregistrer un fichier de sauvegarde chiffré (gratuit). Vous pouvez verrouiller l’app avec Face ID ou un code. Comme toutes les applications d’authentification, ses codes ne résistent pas à l’hameçonnage. Si vous perdez le téléphone sans avoir de sauvegarde Novaz, ce sont les codes de secours fournis par chaque site web qui vous permettent de récupérer l’accès : conservez-les dans tous les cas. Plus de détails dans Novaz Authenticator est-il sûr ?