2FA Bitbucket : comment configurer une application d’authentification

Bitbucket Cloud, l’hébergement Git d’Atlassian sur bitbucket.org, vous connecte avec un compte Atlassian (Bitbucket), mais sa validation en deux étapes est un réglage distinct. Atlassian décrit deux vérifications, l’une pour le compte et l’autre pour Bitbucket. Si les deux sont activées, vous pouvez avoir deux demandes de code à la suite, et un code de l’une ne fonctionne pas pour l’autre (Atlassian).

Le réglage propre à Bitbucket, traité ici, accepte une application d’authentification basée sur le temps (TOTP) ou une clé de sécurité FIDO U2F. Sa page d’aide ne mentionne pas les SMS (Bitbucket). Il est facultatif, sauf si un espace de travail Bitbucket Premium l’exige avant de vous donner accès à ses dépôts privés (Bitbucket). Pour la couche du compte, consultez l’aide d’Atlassian sur la validation en deux étapes.

Les étapes utilisent Authenticator App - Novaz sur iPhone ; les autres applications d’authentification fonctionnent sur le même principe.

Comment nous avons vérifié ce guide : les étapes Bitbucket proviennent des pages d’aide Bitbucket Cloud d’Atlassian, de ses articles de base de connaissances et de son journal des modifications pour les développeurs, indiqués ci-dessous, que nous avons consultés le 20 octobre 2026. Nous ne les avons pas testées sur un compte Bitbucket : un libellé peut donc légèrement différer. Les étapes Novaz ont été vérifiées dans l’app, version 1.0.5.

Avant de commencer : SSH et un mot de passe

Bitbucket indique ces prérequis (Bitbucket) :

• Une clé SSH sur votre compte. Avec la validation en deux étapes activée, les opérations Git distantes sont censées passer par SSH : basculez donc d’abord vos dépôts distants, vos clients Git et vos outils de build.
• Une adresse e-mail confirmée et un mot de passe de compte Atlassian. Pas encore de mot de passe ? Bitbucket indique d’en définir un via la récupération de mot de passe, puis de vous reconnecter.

La page sur la validation en deux étapes suggère encore les mots de passe d’application pour HTTPS et l’API, mais le journal des modifications de Bitbucket a programmé leur abandon complet pour le 28 juillet 2026 (Bitbucket). Leurs remplaçants, les jetons d’API, n’exigent pas la validation en deux étapes (Bitbucket).

Activer la 2FA avec une application d’authentification

1. Dans Bitbucket, sélectionnez la roue dentée Settings (paramètres), puis Personal Bitbucket settings (paramètres Bitbucket personnels) (Bitbucket).
2. Sous Security (sécurité), sélectionnez Two-step verification (validation en deux étapes). L’adresse directe est bitbucket.org/account/settings/two-step-verification/manage (Bitbucket).
3. Vérifiez les prérequis, saisissez le mot de passe de votre compte Atlassian et sélectionnez Set up two-step verification (configurer la validation en deux étapes).
4. Lorsque le code QR apparaît, touchez + dans Novaz, choisissez Scanner un QR code et pointez l’appareil photo vers lui. Sur le même iPhone, faites-en une capture d’écran et utilisez plutôt Choisir une photo. Consultez scanner un code QR sur le même iPhone.
5. Si le scan échoue, les champs Account (compte) et Key (clé) de Bitbucket contiennent les mêmes informations. Dans Novaz, touchez +, puis Saisir la clé manuellement, saisissez Bitbucket sous Service et collez la Key dans Clé de configuration. Consultez Qu’est-ce qu’une clé de configuration 2FA ?
6. Saisissez le code Novaz actuel dans Verification code (code de vérification).
7. Téléchargez ou notez vos codes de récupération.

Les codes comportent 6 chiffres (Bitbucket), mais aucune page n’indique l’intervalle, et une clé saisie donne toujours des codes de 30 secondes dans Novaz : scannez donc si possible. Ensuite, chaque connexion demande un code dans Verification code, puis Verify (vérifier). Bitbucket ne mentionne pas la mémorisation d’un appareil.

Six codes de récupération

Vous obtenez 6 codes de récupération, chacun valable une fois, à saisir dans Verification code comme un code de l’application. Gardez-en au moins deux inutilisés : Bitbucket en exige autant pour générer de nouveaux codes ou désactiver la validation en deux étapes. Show recovery codes (afficher les codes de récupération), sur la page Two-step verification, les affiche ; une fois les 6 utilisés, sélectionnez Can't find codes? (codes introuvables ?) sur cette même page (Bitbucket).

Si vous perdez l’iPhone et n’avez pas de sauvegarde Novaz, ou seulement une sauvegarde antérieure à l’ajout de Bitbucket, ces codes sont votre moyen de revenir. Conservez-les loin du téléphone. Plus d’informations dans Codes de secours 2FA.

Si Bitbucket refuse votre code

L’aide de Bitbucket suggère ces vérifications (Bitbucket, Bitbucket) :

• Saisissez les chiffres d’un seul bloc, sans espace.
• Lisez la bonne entrée. Si la validation du compte Atlassian est aussi activée, vous en aurez deux, et elles ne sont pas interchangeables.
• Ne réutilisez pas un code de récupération.
• Corrigez l’horloge : un décalage de 30 à 60 secondes rend les codes invalides. Sur iPhone, activez Réglages › Général › Date et heure › Réglage automatique, ou désactivez-le puis réactivez-le s’il est déjà activé, puis attendez un nouveau code. Novaz affiche un avertissement dès que l’horloge est décalée de 15 secondes ou plus.

Toujours bloqué ? Utilisez un code de récupération, et consultez Le code d’authentification ne fonctionne pas ?

Passer à un nouveau téléphone

La méthode de Bitbucket consiste à désactiver puis réactiver la validation en deux étapes (Bitbucket). Tant que l’ancien téléphone fonctionne, ouvrez Two-step verification, saisissez son code ou un code de récupération, sélectionnez Disable two-step verification (désactiver la validation en deux étapes), puis configurez-la avec le nouveau téléphone et enregistrez les nouveaux codes.

Dans Novaz, une sauvegarde iCloud ou un fichier de sauvegarde restaure vos comptes sur le nouvel iPhone : les codes continuent donc de fonctionner sans cette étape. Sans sauvegarde, chaque compte doit être ajouté de zéro sur le nouvel iPhone. Consultez Comment transférer votre application d’authentification vers un nouvel iPhone.

Si vous perdez votre application d’authentification

Commencez par un code de récupération. Bitbucket mentionne aussi la possibilité de les récupérer via SSH, sans en donner les étapes.

S’il ne vous reste aucun code, un article de base de connaissances de mars 2026 décrit une récupération par e-mail (Atlassian) :

1. À la demande de code, sélectionnez Forgot code (code oublié), puis Send recovery email (envoyer l’e-mail de récupération). La page d’aide principale appelle cette option Can't find codes? : les libellés peuvent donc différer.
2. Le premier e-mail vous demande simplement de patienter. 24 heures plus tard, un second e-mail apporte un lien de connexion à usage unique (vérifiez le courrier indésirable).
3. Le lien expire au bout de 24 heures et vous connecte avec la validation en deux étapes désactivée. Configurez-la de nouveau.

Le délai ne peut pas être raccourci : « Atlassian cannot disable two-step verification for any Bitbucket user account » (Atlassian ne peut désactiver la validation en deux étapes d’aucun compte utilisateur Bitbucket) (Bitbucket). Si l’e-mail ne fonctionne pas, l’article suggère d’ouvrir un ticket auprès de l’assistance Atlassian.

Si votre compte Atlassian a aussi la validation en deux étapes, levez d’abord cette couche avec sa clé de récupération d’urgence de 24 caractères. Plus d’informations dans Vous avez perdu le téléphone qui contient votre application d’authentification ?

Désactiver la 2FA

Dans Two-step verification, saisissez un code de l’application ou un code de récupération, sélectionnez Disable two-step verification et confirmez avec Disable (désactiver) (Bitbucket). Si vous imposez la validation en deux étapes sur des contenus que vous gérez, décochez d’abord Require two-step verification (exiger la validation en deux étapes) sous Access controls (contrôles d’accès) (Bitbucket). Ensuite, supprimez l’entrée Bitbucket de Novaz avec Supprimer le compte.

Aide officielle de Bitbucket et d’Atlassian

• Enable two-step verification (activer la validation en deux étapes)
• Log into or connect to Bitbucket Cloud (se connecter à Bitbucket Cloud)
• Navigating Bitbucket Cloud and Atlassian Two-Step Verification for Bitbucket Cloud Users (s’y retrouver entre la validation en deux étapes de Bitbucket Cloud et celle d’Atlassian)
• How to Disable/Reset 2FA on Bitbucket Cloud and Atlassian Account (désactiver ou réinitialiser la 2FA sur Bitbucket Cloud et le compte Atlassian)
• Bitbucket Cloud Login Fails with "Invalid two step verification code" error (échec de connexion à Bitbucket Cloud avec l’erreur « Invalid two step verification code »)
• Enforce two step verification (access control) option is greyed out on premium plan (l’option d’imposition de la validation en deux étapes est grisée avec l’offre Premium)
• Control access to private content in a workspace (contrôler l’accès aux contenus privés d’un espace de travail)
• Control access to your private content (contrôler l’accès à vos contenus privés)
• API tokens (jetons d’API)
• Bitbucket Cloud changelog (journal des modifications de Bitbucket Cloud)
• Manage two-step verification for your Atlassian account (gérer la validation en deux étapes de votre compte Atlassian)