Comment choisir une application d’authentification : sauvegarde, synchronisation et récupération

Une application d’authentification peut générer des codes temporaires à saisir en plus du mot de passe lors de la connexion. Pour de nombreux services, l’utilisateur enregistre l’application en scannant un code QR pendant la configuration ; ensuite, l’application génère des codes qui changent périodiquement. Le code constitue un second facteur, mais ne remplace ni le mot de passe ni les autres méthodes de récupération du compte. Il est donc préférable de le considérer comme un élément de l’accès, et non comme une méthode autonome qui résout toutes les situations imprévues.

Il faut distinguer cet usage des notifications d’approbation et des clés d’accès. Même si une même application rassemble plusieurs fonctions, elles ne sont pas nécessairement copiées ni restaurées de la même façon. Par exemple, la documentation de Google Authenticator décrit l’obtention de codes de validation ; les instructions de Microsoft traitent séparément les sauvegardes de comptes et la restauration des identifiants. Le nom de l’application ne suffit pas à savoir de quel type d’identifiant il s’agit ni comment le récupérer.

Lors de la configuration d’un compte, l’application reçoit ou dérive les éléments nécessaires à la génération des codes. Le QR d’inscription peut contenir des informations sensibles : ce n’est pas une image anodine, et une copie accessible à des tiers pourrait leur permettre de générer des codes pour ce compte. Ne le publiez pas, ne l’envoyez pas par messagerie sans protection et ne l’enregistrez pas sous forme de capture dans un dossier partagé. L’application protège un secret d’authentification ; elle ne sécurise pas automatiquement tous les emplacements où ce secret est copié. Si le service propose une procédure officielle pour configurer à nouveau le second facteur, consultez-la avant de vous fier à une image enregistrée.

Avant de choisir, cherchez ce que l’application entend exactement par « sauvegarde ». Il peut s’agir d’une exportation manuelle, d’une sauvegarde dans un compte cloud ou d’un transfert direct entre appareils. Ce sont des mécanismes différents, qui n’ont ni les mêmes exigences ni les mêmes conséquences. Une exportation téléchargeable peut faciliter le changement de plateforme, mais crée un fichier qu’il faut protéger ; la synchronisation peut réduire le risque de perdre les codes si le téléphone tombe en panne, mais dépend de la façon dont le compte associé est authentifié et protégé. Le terme commun de « sauvegarde » n’indique pas à lui seul quelles données sont incluses ni comment les récupérer.

Cherchez des réponses précises dans la documentation officielle, pas seulement dans une description de boutique d’applications. Vérifiez si la fonction concerne les codes de services tiers, si une connexion est nécessaire, quel stockage est utilisé, si elle fonctionne entre Android et iOS, si la sauvegarde est chiffrée et quelles étapes permettent de la restaurer. Si la documentation ne précise pas un point, notez-le comme inconnu : ne prenez pas le silence pour une garantie implicite. Il importe également que les instructions correspondent à la plateforme et à la version prévues, car les étapes disponibles peuvent varier.

Les différences entre applications montrent pourquoi il faut lire les conditions propres à chacune. Google documente les options permettant d’obtenir des codes avec Authenticator. Microsoft publie des instructions distinctes pour sauvegarder et restaurer les identifiants. WatchGuard indique, de son côté, que sa sauvegarde dans iCloud ou Google Drive concerne les jetons tiers, et non ses propres jetons WatchGuard. Cette distinction ne permet pas de généraliser les règles d’un produit à un autre. Une fonction décrite pour une catégorie d’identifiants ne doit pas être présumée disponible pour les autres.

La présence d’une sauvegarde ne signifie pas nécessairement qu’une restauration complète est possible. La sauvegarde peut ne contenir que certains types de comptes, la restauration peut dépendre du même système d’exploitation, ou il peut être nécessaire de se connecter d’abord à un compte cloud. Certains comptes peuvent aussi exiger de réenregistrer le second facteur sur le site du service. La bonne question n’est pas seulement « existe-t-il une sauvegarde ? », mais « puis-je récupérer chaque compte dans la situation qui m’importe ? »

Consultez les instructions pour trois situations : perte du téléphone, changement planifié d’appareil et changement de plateforme. Vérifiez si l’application exige l’ancien téléphone, un code PIN, un compte auprès du fournisseur, l’accès à iCloud ou Google Drive, ou une étape de vérification supplémentaire. La documentation de Microsoft décrit des procédures de sauvegarde et de restauration ; cela ne signifie pas que tous les types de comptes de Microsoft Authenticator fonctionnent de manière identique. Consultez le guide spécifique et les limites en vigueur pour votre cas. Vous pourrez ainsi distinguer les exigences d’une migration préparée de celles qui s’appliquent lorsque l’ancien appareil est déjà indisponible.

Une restauration ne rétablit pas forcément l’accès au compte protégé si les codes ont été perdus et qu’aucune sauvegarde utilisable n’existe. Chaque service peut proposer des codes de récupération, une clé de sécurité, une vérification alternative ou une assistance. Conservez les codes de récupération dans un endroit protégé et séparé du mot de passe. Ne les confondez pas avec les codes temporaires générés par l’application : ils servent en cas d’urgence et peuvent être à usage unique. Vérifiez aussi les instructions du service sur leur conservation, afin qu’ils restent disponibles quand vous en aurez réellement besoin.

Comparez les données associées à un compte et l’emplacement de stockage des sauvegardes. Si un service cloud est utilisé, la protection dépend de la sécurité de ce compte, de ses options de récupération et de la conception de l’application. Le mot « chiffré » ne répond pas à tout : il est utile de savoir si le fournisseur peut accéder au contenu, si une clé que seul l’utilisateur contrôle est nécessaire et ce qui se passe si cette clé est oubliée. La récupération de la sauvegarde et la protection de son contenu sont liées, mais ce ne sont pas des questions identiques.

Avec une exportation locale, l’utilisateur peut éviter une partie de la dépendance à un compte cloud, mais il doit protéger et conserver le fichier. Un fichier non protégé enregistré sur l’ordinateur, dans le courrier électronique ou dans un dossier synchronisé peut exposer les secrets. Avec la synchronisation, il faut plutôt évaluer l’accès au compte, la récupération de ce compte et les appareils qui y sont déjà associés. L’option la plus pratique n’est pas automatiquement la plus privée ni la plus facile à récupérer.

Considérez les déclarations de sécurité comme des renseignements sur la conception annoncée, et non comme une preuve absolue de sécurité. Vérifiez qui publie la documentation, sa date de mise à jour et les fonctions concernées. Les avis de tiers peuvent aider à repérer des questions ou des alternatives, mais la documentation du développeur est préférable pour connaître une procédure à jour. Si une application permet l’exportation, vérifiez aussi si le format exporté peut être lu par d’autres applications et comment il est protégé. Vous pourrez ainsi évaluer non seulement l’emplacement de la sauvegarde, mais aussi les possibilités de la transférer ou de la réutiliser.

Tant que l’ancien téléphone fonctionne, utilisez-le pour préparer et vérifier le transfert. Ne réinitialisez pas l’appareil et ne supprimez pas l’ancienne application avant d’avoir vérifié que vous pouvez vous connecter à vos comptes importants avec le nouveau téléphone. Si un compte permet d’enregistrer plusieurs méthodes de second facteur, envisagez d’en activer une autre avant la migration, en suivant les instructions du service. Garder l’ancien téléphone disponible pendant les essais permet de corriger un problème de transfert sans perdre immédiatement la méthode qui fonctionne déjà.

Une séquence prudente consiste à :

• Consulter la documentation de l’application et de chaque compte important ; déterminer ce qui sera transféré et ce qui nécessite une connexion Internet ou un compte cloud.
• Préparer le nouveau téléphone et effectuer l’importation ou la restauration au moyen de la fonction documentée, plutôt que de photographier les codes QR existants.
• Tester l’accès à chaque service tout en gardant l’ancien appareil disponible.
• Conserver les codes de récupération dans un endroit protégé et vérifier que vous savez les utiliser.
• Ce n’est qu’après avoir vérifié l’accès sur le nouveau téléphone qu’il faut retirer l’ancien appareil des paramètres de sécurité de chaque service et l’effacer de manière sécurisée.

Il n’existe pas de réponse universelle : le choix dépend de l’importance que vous accordez au transfert local, à la synchronisation entre appareils, à l’intégration avec un compte ou à l’indépendance vis-à-vis d’un fournisseur. La documentation de Google Authenticator, Microsoft Authenticator et 2FAS Auth permet de vérifier des fonctions précises, mais ces pages ne constituent pas, à elles seules, une comparaison exhaustive de sécurité et ne garantissent pas la compatibilité avec tous les comptes. La comparaison doit donc porter sur vos besoins et sur les informations publiées pour chaque fonction, plutôt que sur un classement général des applications.

Avant l’installation ou la migration, complétez cette liste à partir des informations correspondant à la version et à la plateforme que vous utiliserez réellement :

• Transfert : existe-t-il une exportation, une restauration depuis une sauvegarde ou une migration directe ? Fonctionne-t-elle entre systèmes d’exploitation ?
• Portée : comprend-elle tous les codes ou exclut-elle certains types de comptes ?
• Dépendances : exige-t-elle un compte fournisseur, un stockage cloud, l’ancien appareil ou une connexion ?
• Protection : que dit la documentation sur le chiffrement, le verrouillage de l’application et la protection du fichier exporté ?
• Récupération : que se passe-t-il si vous perdez le téléphone, le mot de passe cloud ou la clé de chiffrement ?
• Sortie : pouvez-vous transférer vos codes vers une autre application ou récupérer chaque compte directement auprès du service ?
• Maintenance : le guide concerne-t-il la version et la plateforme actuelles, et existe-t-il des instructions officielles pour votre situation précise ?

Une application peut générer correctement des codes sans répondre à vos besoins de migration ou de récupération. La décision doit prendre en compte ensemble la méthode d’authentification, le contrôle des sauvegardes, la facilité de changer d’appareil et les solutions de remplacement proposées par chaque service protégé. Ne choisissez pas uniquement parce qu’une application propose la synchronisation : vérifiez ce qui est synchronisé, comment la restauration fonctionne et qui peut accéder au compte où les données sont conservées.

La documentation évolue et les options peuvent varier selon la plateforme, la version et le type de compte. Avant de transférer les codes, confirmez la procédure dans les pages officielles pertinentes et conservez l’ancien accès jusqu’à la fin des essais. Si une affirmation sur le chiffrement, la récupération ou la compatibilité n’est pas clairement documentée, traitez-la comme une inconnue à résoudre, et non comme une propriété acquise. Cette vérification préalable n’élimine pas tous les risques, mais aide à décider en comprenant mieux les étapes nécessaires et les dépendances acceptées.