Activer la 2FA sur son compte, pas à pas
L'assistant en trois étapes (QR code, code à six chiffres, codes de secours), et ce que vous devez faire des dix codes avant de fermer la fenêtre.
Compte et sécurité8 min de lectureUtilisateur connecté, sur son propre compte
Ce que vous obtenez : La double authentification active sur votre compte, avec dix codes de secours notés : les seuls qui vous rouvriront votre compte si vous perdez votre téléphone.
Avant de commencer
- Une application d'authentification installée sur votre téléphone : Google Authenticator, Authy, Bitwarden, 1Password, Aegis… Le nom importe peu, il faut qu'elle sache lire un QR code TOTP ou saisir une clé.
- Un mot de passe local sur le compte. Un compte qui n'en porte pas ne peut pas confirmer les opérations sensibles de la 2FA : ni régénérer ses codes de secours, ni désactiver la double authentification.
- Votre horloge à l'heure. Un téléphone décalé de plus d'une trentaine de secondes produit des codes que le serveur refuse.
1.Où se trouve le réglage
- Barre latérale « Profil »
- Panneau « Authentification à deux facteurs »
- Bouton « Activer la 2FA »
Le panneau tient en une ligne tant que la 2FA est éteinte : la phrase « Ajoutez une couche de sécurité supplémentaire à votre compte avec une application d'authentification (Google Authenticator, Authy, Bitwarden, 1Password…) » et, à droite, le bouton Activer la 2FA. Rien d'autre : aucun réglage intermédiaire, aucune option à cocher avant de commencer.
2.Étape 1 : « Scanner le QR code »
Le clic sur Activer la 2FA ouvre une fenêtre titrée par un indicateur de progression à trois pastilles : QR Code, Code, Sauvegarde. Vous êtes sur la première, et c'est aussi la première requête réseau : la fenêtre appelle le serveur au moment où elle s'ouvre.
- 1
Ouvrez votre application d'authentification
Choisissez « Ajouter un compte », puis « Scanner un QR code ».
- 2
Scannez le QR affiché, ou copiez la clé
Sous le QR code, la phrase « Ou saisissez manuellement la clé : » précède la clé en clair dans un cadre monospace, avec un bouton Copier qui devient Copié pendant deux secondes. C'est cette clé que vous collerez dans l'application si le scan échoue (écran fissuré, webcam absente, QR refusé).
- 3
Cliquez « Suivant »
Le bouton reste grisé tant qu'aucune clé n'a été reçue du serveur, et il devient donc actif dès que le QR s'affiche. En dessous, un lien Annuler referme la fenêtre.
Ce qui se passe pendant que la fenêtre est ouverte
L'ouverture de la fenêtre prépare un secret neuf et vous le montre : le code QR et la clé à saisir à la main correspondent tous deux à ce secret. Tant que vous n'avez pas validé un premier code, la protection n'est pas active.
Rien n'est enregistré à cette étape
Le secret n'est pas écrit en base. Tant que vous n'avez pas validé l'étape 2, votre compte est exactement dans l'état où il était. Fermer la fenêtre ici ne « révoque » donc rien : il n'y a rien à révoquer.
3.Étape 2 : « Saisir le code »
L'écran suivant demande les six chiffres affichés par votre application, avec le texte « Saisissez le code à 6 chiffres affiché dans votre application d'authentification. » Le champ est un cadre large, en chiffres espacés, avec 000000 en gris comme exemple. Seuls les chiffres sont acceptés, et la saisie est coupée à six caractères.
- 1
Lisez le code dans l'application
Six chiffres, renouvelés toutes les 30 secondes.
- 2
Tapez-le puis cliquez « Activer la 2FA »
Le bouton est désactivé tant que la saisie n'atteint pas six chiffres. Pendant l'appel il affiche « Activation… ».
- 3
Si le code est refusé, vous êtes renvoyé à la connexion
Un code faux ferme la session et le navigateur revient sur la page de connexion. Rien n'a été activé : reconnectez-vous, rouvrez l'assistant, et vérifiez l'heure de votre téléphone en lisant le code au dernier moment avant de cliquer.
Un code déjà utilisé ne resservira pas
Le serveur mémorise le dernier code consommé et refuse tout code inférieur ou égal. Concrètement : le code qui vient de servir à vous connecter ne peut pas servir à activer la 2FA. Attendez la fenêtre suivante : même en recalculant le code juste avant l'envoi, celui de la fenêtre déjà consommée revient en 401 INVALID_CODE.
4.Étape 3 : les dix codes de secours
La troisième pastille affiche les dix codes de secours en deux colonnes, sous un encadré d'avertissement ambre. C'est la seule fois où ils sont visibles, et le texte de la fenêtre le dit : « Conservez ces codes en lieu sûr », en précisant qu'ils ne s'afficheront plus.
XXXX-XXXX (quatre caractères, un tiret, quatre caractères), chacun à usage unique. (cliquez la capture pour l'agrandir)Ne fermez pas cette fenêtre avant d'avoir noté vos codes
Les dix codes n'existent que dans cette fenêtre. Aucune page ne les relira : le statut de votre profil ne renvoie qu'un compteur. Une fois la fenêtre fermée, ils sont définitivement perdus, et le compteur continuera d'annoncer « 10/10 codes restants » alors que vous n'en connaissez aucun.
- 1
Copiez les dix codes ailleurs que dans cette fenêtre
Gestionnaire de mots de passe, feuille de papier mise à l'abri, coffre numérique : ce qui compte est qu'ils survivent à la perte du téléphone. Un fichier sur le disque du téléphone ne survit pas à sa perte.
- 2
Vérifiez que vous en avez bien dix
Le texte de l'encadré donne le décompte (« Sauvegardez ces 10 codes… »). Le nombre affiché est celui que le serveur vient de créer.
- 3
Cliquez « J'ai sauvegardé mes codes »
La fenêtre se ferme, et le panneau du profil se rafraîchit immédiatement : vous devez voir apparaître « 2FA activée / depuis le … » et le compteur « 10/10 codes restants ».
Échap ou un clic à côté referme la fenêtre sans rien demander
Cette fenêtre se ferme aussi par la touche Échap et par un clic sur le fond assombri, sans confirmation. Dans ce cas, le profil continue d'afficher « Activer la 2FA », comme si rien ne s'était passé, alors que la 2FA est bel et bien active. Si cela vous arrive, rechargez la page : le statut réel apparaît, mais les dix codes, eux, sont perdus.
5.Ce qui change ensuite
- À chaque connexion, après l'adresse e-mail et le mot de passe, une seconde page demande les six chiffres. Le mot de passe seul ne suffit plus.
- Le panneau du profil devient une ligne d'état : « 2FA activée », la date, le compteur de codes, puis deux actions : Régénérer et Désactiver.
- Les deux actions exigent mot de passe ET code TOTP. Sans votre téléphone, elles sont hors d'atteinte : il vous restera les codes de secours pour vous connecter, et rien pour reconstruire.
- Un code de secours consommé ne revient jamais. Le compteur du profil décroît (
n/10 codes restants) et rien ne vous prévient quand vous approchez de zéro.
| Ce que vous voulez faire | Ce qu'il faut fournir | Guide |
|---|---|---|
| Vous connecter normalement | mot de passe + code TOTP | La seconde page de connexion |
| Vous connecter sans téléphone | mot de passe + un code de secours | Se connecter avec un code de secours |
| Obtenir dix nouveaux codes | mot de passe + code TOTP | Régénérer ses codes de secours |
| Retirer la protection | mot de passe + code TOTP | Désactiver la 2FA |
Vérifier l'état de la protection depuis votre profil
La page de votre profil affiche si la double authentification est active et combien de codes de secours il vous reste. Rechargez-la pour en obtenir l'état le plus récent.
Les pièges, en résumé
Une horloge décalée invalide des codes pourtant corrects
Un code juste mais décalé de plus d'une fenêtre de 30 secondes est refusé, et la session est fermée. Avant de douter de la clé, vérifiez l'heure de votre téléphone (réglage « heure automatique »).
Rouvrir l'assistant après activation ne remplace pas vos codes
L'activation d'un compte déjà protégé est refusée par le serveur : 409 ALREADY_ENABLED, « 2FA is already enabled on this account ». C'est volontaire : écraser les codes de secours existants laisserait un compte protégé sans aucun moyen de récupération. Pour de nouveaux codes, utilisez « Régénérer ».
Le QR code partagé est votre seconde clé
Quiconque photographie ce QR code (ou lit la clé manuelle) peut générer vos codes TOTP. Ne le laissez pas dans une capture d'écran partagée ni dans une pièce filmée, et n'ouvrez l'assistant que sur un appareil de confiance.
Ce guide est-il a jour ?
Chaque affirmation de cette page a ete verifiee sur le produit avant publication, et ce qui n'etait pas verifie n'a pas ete ecrit. Une page peut cependant vieillir avant le produit : si un ecran ne correspond plus a ce que vous voyez, dites-le, la page sera reprise.
Prêt à créer vos premières VMs ?
30 secondes d'inscription. 2 secondes pour la première VM. Zéro engagement.