2FA GitHub : comment configurer une application d’authentification

Votre compte GitHub, c’est là que vivent vos dépôts, vos issues et vos pull requests, et sur ce compte, l’authentification à deux facteurs (2FA) n’est souvent pas un choix. Depuis mars 2023, GitHub l’exige pour les comptes qui contribuent du code, et les organisations peuvent l’imposer à leurs membres. GitHub recommande comme méthode principale une application d’authentification, que sa documentation appelle « TOTP app ». Les SMS sont la seule autre façon de commencer ; les clés d’accès, les clés de sécurité et GitHub Mobile peuvent être ajoutés ensuite (GitHub, GitHub). Ce guide utilise Authenticator App - Novaz sur iPhone, mais toute application d’authentification fonctionne de la même façon.

Comment nous avons vérifié ce guide : les étapes concernant GitHub proviennent de GitHub Docs et du GitHub Blog, en lien ci-dessous, que nous avons lus le 20 octobre 2026. Nous ne les avons pas testées sur un compte GitHub : un libellé peut donc légèrement différer. Les étapes concernant Novaz ont été vérifiées dans l’app, version 1.0.5.

La 2FA est-elle obligatoire sur votre compte ?

GitHub sélectionne les comptes selon leur activité : publier une app ou une action, créer une release, être propriétaire d’une organisation, ou contribuer à des dépôts qui publient des paquets ou que GitHub considère comme très importants. Les comptes sélectionnés reçoivent un e-mail et des bannières, et disposent de 45 jours pour configurer la 2FA, plus un délai de grâce de 7 jours. Passé ce délai, GitHub.com reste inaccessible tant que la 2FA n’est pas activée. L’authentification unique (SSO) de votre entreprise ne vous en dispense pas (GitHub).

Vous n’êtes jamais obligé de donner un numéro de téléphone à GitHub : une application d’authentification suffit. C’est aussi la seule option là où GitHub ne propose pas les SMS, et elle compte comme méthode sécurisée pour les organisations qui n’autorisent que les méthodes sécurisées (GitHub).

Activer la 2FA avec une application d’authentification

Les étapes sur GitHub.com (GitHub) :

1. Cliquez sur votre photo de profil en haut à droite, puis sur Settings (paramètres).
2. Dans la section Access (accès) de la barre latérale, cliquez sur Password and authentication (mot de passe et authentification).
3. Sous Two-factor authentication (authentification à deux facteurs), cliquez sur Enable two-factor authentication (activer l’authentification à deux facteurs).
4. Sous Scan the QR code (scanner le code QR), GitHub affiche un code QR. Dans Novaz, touchez +, puis Scanner un QR code. Si le code s’affiche sur le même iPhone, faites une capture d’écran et utilisez Choisir une photo. Consultez scanner un code QR sur le même iPhone.
5. Impossible de le scanner ? Cliquez sur setup key (clé de configuration) pour afficher le secret sous forme de texte. Dans Novaz, touchez +, puis Saisir la clé manuellement, et saisissez-la dans Clé de configuration. GitHub utilise 6 chiffres, 30 secondes et SHA-1 : une clé saisie fonctionne donc. Consultez Qu’est-ce qu’une clé de configuration 2FA ?
6. Saisissez le code de Novaz sous Verify the code from the app (vérifier le code de l’app).
7. Sous Save your recovery codes (enregistrer vos codes de récupération), cliquez sur Download (télécharger), puis sur I have saved my recovery codes (j’ai enregistré mes codes de récupération). C’est ce clic qui active la 2FA.

Le contrôle des 28 jours

Toute nouvelle configuration de la 2FA déclenche un contrôle de 28 jours. Il prend fin dès que vous effectuez une connexion avec la 2FA pendant cette période. Sinon, GitHub demande la 2FA dans l’une de vos sessions ouvertes le 28e jour (GitHub). L’objectif est de repérer les applications d’authentification mal configurées. Si vous n’y parvenez pas, GitHub propose un raccourci pour reconfigurer la 2FA sans être bloqué hors de votre compte (GitHub). Le plus simple : déconnectez-vous peu après la configuration et reconnectez-vous avec un code de Novaz.

Vos codes de récupération

Vous obtenez 16 codes à usage unique de la forme xxxxx-yyyyy, enregistrés par défaut sous le nom github-recovery-codes.txt (GitHub, GitHub). GitHub recommande les applications d’authentification qui sauvegardent dans le cloud (GitHub). Avec Novaz, c’est la Sauvegarde iCloud (PRO). Un fichier de sauvegarde que vous exportez vous-même convient aussi, à condition de le tenir à jour ; sans l’un ni l’autre, ses clés ne se trouvent que sur votre iPhone. Conservez ces codes dans tous les cas, pour le jour où le téléphone aura disparu et où la sauvegarde manquera ou ne sera plus à jour. GitHub conseille de les ranger dans un gestionnaire de mots de passe.

Plus tard, cliquez sur View (afficher) à côté de Recovery codes (codes de récupération) dans Password and authentication pour les télécharger (Download), les imprimer (Print) ou les copier (Copy). Generate new recovery codes (générer de nouveaux codes de récupération) annule l’ancienne série, tout comme désactiver puis réactiver la 2FA. Changer d’application d’authentification, en revanche, ne l’annule pas (GitHub). Consultez Codes de secours 2FA.

Quand GitHub demande un code

GitHub demande un code après votre mot de passe lorsque vous vous connectez. Il ne le redemande que si vous vous êtes déconnecté, utilisez un nouvel appareil, si votre session expire ou si vous effectuez une action sensible (GitHub). Les actions sensibles comprennent la modification d’une adresse e-mail, l’ajout d’une clé SSH, la création d’un jeton d’accès personnel et l’affichage des codes de récupération. Après l’une d’elles, GitHub ne redemande rien pendant deux heures (GitHub).

Git en ligne de commande ne demande jamais le code : HTTPS utilise un jeton d’accès personnel, et SSH fonctionne comme avant (GitHub).

Si GitHub refuse votre code

Un code erroné affiche Two-factor authentication failed (échec de l’authentification à deux facteurs). Les vérifications conseillées par GitHub : lisez le code dans l’app et dans l’entrée que vous avez configurée, réglez la date et l’heure de votre téléphone automatiquement, et saisissez immédiatement un nouveau code, sans espaces (GitHub). Sur iPhone : Réglages › Général › Date et heure › Réglage automatique. Novaz vous avertit lorsque l’horloge est décalée de 15 secondes ou plus.

La même page indique que l’assistance GitHub « cannot assist with troubleshooting your 2FA methods » (ne peut pas vous aider à résoudre les problèmes liés à vos méthodes 2FA) (GitHub). Consultez Le code d’authentification ne fonctionne pas ?

Passer à un nouvel iPhone

Inutile de désactiver la 2FA. Dans Password and authentication, sous Two-factor methods (méthodes à deux facteurs), cliquez sur Edit (modifier) à côté de l’application d’authentification (si vous avez plusieurs méthodes, ouvrez d’abord le menu à côté). Scannez le nouveau code QR avec Novaz sur le nouvel iPhone, saisissez un code et cliquez sur Save (enregistrer). Vos codes de récupération restent les mêmes (GitHub). Ensuite seulement, retirez GitHub de Novaz sur l’ancien iPhone : ouvrez le compte et touchez Supprimer le compte. Faites-le avant de vous séparer de l’ancien appareil. Si vous avez la Sauvegarde iCloud ou un fichier de sauvegarde Novaz, vous pouvez plutôt restaurer vos comptes sur le nouvel iPhone, et l’entrée GitHub continue de fonctionner. Consultez Comment transférer votre application d’authentification sur un nouvel iPhone.

Si vous perdez votre application d’authentification

Les options de GitHub, dans l’ordre (GitHub) :

1. Une autre méthode que vous avez ajoutée : clé d’accès, clé de sécurité, GitHub Mobile ou SMS.
2. Un code de récupération. Après votre mot de passe, choisissez 2FA recovery code (code de récupération 2FA) sous More options (plus d’options), saisissez un code et cliquez sur Verify (vérifier).
3. La récupération de compte. Sur cet écran, choisissez Begin account or email recovery (commencer la récupération du compte ou de l’e-mail), puis I understand, get started (je comprends, commencer). Saisissez le mot de passe à usage unique que GitHub vous envoie par e-mail, puis prouvez votre identité avec Verify with this device (vérifier avec cet appareil, si vous vous y êtes déjà connecté), SSH key (clé SSH) ou Personal access token (jeton d’accès personnel). L’assistance GitHub examine la demande et répond par e-mail sous trois jours ouvrés.

Vous avez aussi oublié votre mot de passe ? Commencez par le réinitialiser ; GitHub propose ensuite les mêmes options.

L’option 3 ne fonctionne que si vous vous y êtes préparé. GitHub suggère une clé SSH ajoutée comme clé d’authentification, ou un jeton d’accès personnel classique avec le scope repo (GitHub). N’effacez pas vos cookies tous les jours : c’est grâce à un cookie que GitHub reconnaît un appareil que vous avez déjà utilisé (GitHub).

Si rien ne fonctionne, le compte est définitivement perdu. L’assistance ne le restaurera pas et n’accepte pas de vérification d’identité (GitHub). Vous pouvez toujours dissocier votre adresse e-mail et l’utiliser sur un nouveau compte. Consultez Vous avez perdu le téléphone qui contient votre application d’authentification ?

Désactiver la 2FA

Dans Password and authentication, ouvrez le menu à trois points, choisissez Disable two-factor authentication (désactiver l’authentification à deux facteurs) et confirmez. Vous perdez l’accès aux organisations qui exigent la 2FA, et si GitHub vous a sélectionné pour la 2FA obligatoire, vous ne pouvez pas la désactiver du tout (GitHub). Pour changer d’app, modifiez plutôt la méthode.

Aide officielle de GitHub

• About mandatory two-factor authentication
• Configuring two-factor authentication
• Accessing GitHub using two-factor authentication
• Configuring two-factor authentication recovery methods
• Changing your two-factor authentication method
• Troubleshooting two-factor authentication issues
• Recovering your account if you lose your 2FA credentials
• GitHub Account Recovery Policy
• Disabling two-factor authentication for your personal account
• Sudo mode
• Requiring two-factor authentication in your organization
• Raising the bar for software security: GitHub 2FA begins March 13 (GitHub Blog)