Se connecter avec un code de secours quand le téléphone est perdu
Le parcours qui sauve un compte : basculer la seconde page de connexion en mode code de secours, saisir un code `XXXX-XXXX`, et comprendre qu'il ne servira qu'une fois.
Compte et sécurité6 min de lectureUtilisateur avec 2FA active, dont l'application d'authentification est perdue ou inaccessible
Ce que vous obtenez : Une session ouverte sur le tableau de bord alors que l'application d'authentification est inaccessible, et un code de secours de moins sur les dix.
Avant de commencer
- Avoir activé la 2FA et conservé au moins un des dix codes de secours.
- Avoir encore le mot de passe du compte : le code de secours remplace le second facteur, jamais le premier.
- Un code à portée de main, sous la forme quatre caractères, un tiret, quatre caractères (par exemple
A1B2-C3D4).
1.À quoi sert ce parcours, et à quoi il ne sert pas
Dix codes de secours sont remis une seule fois, à l'activation de la 2FA. Ils sont le seul moyen d'entrer sur un compte dont l'application d'authentification a disparu : téléphone perdu, volé, réinitialisé, application désinstallée.
| Situation | Ce que le code de secours permet | Ce qu'il ne permet pas |
|---|---|---|
| Téléphone perdu | Ouvrir une session, autant de fois qu'il vous reste de codes | Régénérer des codes ni désactiver la 2FA : ces deux écrans exigent un code TOTP |
| Application réinstallée | Rien de plus que la connexion | Restaurer la 2FA : il faut désactiver puis réactiver, ce qui exige un TOTP |
| Dix codes épuisés | Rien | Aucun écran d'auto-récupération n'existe |
Un code de secours, une seule connexion
Chaque code est consommé définitivement par le serveur au moment où il ouvre la session. Le compteur du profil décroît. Rien ne vous avertit qu'il vous en reste deux, ni qu'il vous en reste zéro : surveillez ce compteur avant d'avoir besoin du suivant.
Le mot de passe reste obligatoire
Le code de secours arrive en seconde étape. Si le mot de passe est perdu lui aussi, c'est la réinitialisation de mot de passe qu'il faut d'abord faire passer, depuis « Mot de passe oublié ? » sur la page de connexion.
2.Première étape : mot de passe, comme d'habitude
- Page « Connexion »
- Adresse e-mail + mot de passe
- Bouton « Connexion »
La connexion se déroule normalement : aucun signe visible à cette étape que la 2FA est active. Ce n'est qu'après l'acceptation du mot de passe que le navigateur vous emmène sur `/login/2fa`, avec un identifiant de défi dans l'adresse (?challenge=…).
Le défi expire en cinq minutes
Le serveur crée un défi valable cinq minutes et à usage unique. Passé ce délai, ou après une première validation réussie, il faut renvoyer le formulaire de connexion pour en obtenir un neuf. Un défi expiré répond 401 CHALLENGE_EXPIRED, un défi déjà consommé 401 CHALLENGE_USED ; ces deux refus s'affichent sur place, sans vous ramener à la page de connexion.
3.Basculer la page en mode « code de secours »
La page Vérification 2FA ouvre en mode code à six chiffres : un champ 000000, un bouton Valider, et sous le formulaire un lien d'apparence discrète : « Utiliser un code de secours ». C'est lui qui change de mode.
- 1
Cliquez « Utiliser un code de secours »
Le champ se vide, son format change et la bascule devient « Utiliser un code TOTP », le seul retour possible vers le mode à six chiffres.
- 2
Tapez le code au format `XXXX-XXXX`
La saisie passe automatiquement en majuscules. Le tiret fait partie du code : sans lui, le navigateur refuse d'envoyer le formulaire (voir les pièges).
- 3
Cliquez « Valider »
Le bouton n'est actif qu'à partir de six caractères saisis. Vous arrivez sur le tableau de bord.
XXXX-XXXX, mais la phrase au-dessus reste « Saisissez le code affiché dans votre app d'authentification. », ce qui n'aide pas dans cette situation. (cliquez la capture pour l'agrandir)Le texte d'aide ne change pas de mode
En mode code de secours, l'instruction affichée reste « Saisissez le code affiché dans votre app d'authentification. » Seuls le format du champ et le libellé de la bascule changent. Si vous cherchez vos six chiffres sur un téléphone que vous n'avez plus, c'est normal : le code à saisir ici est XXXX-XXXX.
4.Quand le code est refusé
Un code refusé affiche en rouge, sous le champ, une phrase générique qui porte le code d'erreur du serveur : « Une erreur est survenue (code INVALID_CODE) » en français, « Something went wrong (code INVALID_CODE) » en anglais. Et rien ne dit si le code était faux, mal recopié ou déjà utilisé : on reste sur la même page, avec le même défi, qu'on peut retenter.
| Ce que vous voyez | Ce qui s'est passé | Quoi faire |
|---|---|---|
| « Une erreur est survenue (code INVALID_CODE) » | Code faux, mal recopié, ou déjà utilisé | Vérifiez le tiret et les caractères ambigus (0/O, 1/I) ; essayez le code suivant |
| « Challenge manquant. » | Vous êtes arrivé sur /login/2fa sans défi dans l'URL | Repassez par le formulaire de connexion |
| Rien ne se passe au clic sur « Valider » | Le navigateur bloque le format (8 caractères sans tiret) | Remettez le tiret au milieu |
| « Une erreur est survenue (code CHALLENGE_EXPIRED) » | Le défi a expiré (5 minutes) | Cliquez « Retour à la connexion », en bas, puis ressaisissez votre mot de passe : un défi neuf sera émis |
Aucun avertissement quand le stock s'épuise
L'écran de connexion ne dit jamais « il vous reste un code ». Le seul endroit qui affiche le décompte est le panneau du profil, après connexion. Si vous n'avez plus accès à ce panneau, vous ne saurez pas où vous en êtes.
5.Une fois entré : reconstruire, pas seulement dépanner
- 1
Vérifiez votre compteur de codes
Sur le profil, la ligne « 2FA activée » affiche « n/10 codes restants ». Chaque code de secours consommé a fait baisser ce compteur.
- 2
Si vous avez retrouvé le téléphone
Regénérez vos codes de secours (mot de passe + code TOTP) : les dix anciens, y compris ceux qui n'ont pas servi, cessent immédiatement de fonctionner.
- 3
Si le téléphone est perdu définitivement
Désactivez la 2FA depuis le profil : mot de passe + un code TOTP ! Cette porte exige ce que vous n'avez plus. Dans ce cas, la seule voie réaliste est de consommer vos codes de secours pour vous connecter le temps de prendre vos dispositions. Chaque code ne sert qu'une fois : utilisez-les dans l'ordre, et gardez-en pour la fin.
Le dixième code consommé vous ferme la porte
Une fois les dix codes utilisés, vous ne pouvez plus vous connecter : traitez vos codes de secours comme la dernière clé de la maison. Notez-les autre part que sur le téléphone, et vérifiez régulièrement qu'ils sont encore lisibles.
Les pièges, en résumé
Un code sans tiret est bloqué par le navigateur, pas par le serveur
Le champ n'accepte que huit caractères au format quatre, un tiret, quatre. Avec huit caractères collés les uns aux autres, le navigateur refuse d'envoyer le formulaire : Chrome affiche « Please match the requested format. » et aucune requête n'est envoyée. Ce message vient du navigateur et n'est pas traduit par l'application.
Chaque code ne sert qu'une fois
Le compteur de codes restants passe de 10 à 9 dès la première utilisation, et le même code rejoué est refusé. Notez le code que vous venez de consommer pour ne pas le retenter en boucle.
Le refus ne distingue pas une erreur de frappe d'un code épuisé
La phrase est identique pour un code faux et pour un code déjà consommé : rien à l'écran ne les distingue. Il faut essayer le code suivant.
Ce bouton n'est pas un bouton « récupérer mon compte »
Il ouvre une session, rien de plus. Régénérer les codes et désactiver la 2FA exigent tous deux un code TOTP courant : un compte dont le téléphone est perdu peut être utilisé, mais pas réparé.
Ce guide est-il a jour ?
Chaque affirmation de cette page a ete verifiee sur le produit avant publication, et ce qui n'etait pas verifie n'a pas ete ecrit. Une page peut cependant vieillir avant le produit : si un ecran ne correspond plus a ce que vous voyez, dites-le, la page sera reprise.
Prêt à créer vos premières VMs ?
30 secondes d'inscription. 2 secondes pour la première VM. Zéro engagement.