Générateur de code 2FA en direct

Vous obtenez la 2FA depuis le compte que vous voulez protéger : ouvrez ses paramètres, cherchez « Sécurité » ou « Connexion et sécurité », puis « Authentification à deux facteurs » ou « Vérification en deux étapes ». Choisissez l’option application d’authentification, scannez le code QR — ou cliquez sur « scanner impossible ? » pour afficher la clé de configuration (une chaîne Base32 ou un URI otpauth://) — et collez-la dans le générateur en haut de cette page. Saisissez le code affiché pour valider la configuration, puis conservez les codes de récupération que le service vous montre.

Quatre étapes, environ deux minutes : 1) Ouvrez les paramètres du compte ou de sécurité et sélectionnez « Authentification à deux facteurs ». 2) Choisissez « Utiliser une application d’authentification » (évitez le SMS quand une meilleure option existe). 3) Scannez le code QR avec votre application — ou affichez et enregistrez plutôt la clé de configuration. 4) Saisissez le code affiché pour terminer, puis téléchargez ou imprimez les codes de secours. Nous publions des guides pas à pas pour Google, GitHub, Discord, Binance et bien d’autres.

Après votre mot de passe, le service demande une deuxième preuve d’identité. Avec la méthode TOTP standard (RFC 6238), votre application calcule un code à 6 chiffres à partir d’un secret partagé et de l’heure actuelle, et le serveur fait exactement le même calcul puis compare les deux résultats. Le code est recalculé toutes les 30 secondes et ne vaut plus rien une fois expiré — un mot de passe divulgué ne suffit donc plus à ouvrir votre compte.

Elle protège toute connexion que quelqu’un d’autre convoite : messagerie et suites cloud (Google, Microsoft, Apple), comptes bancaires et de courtage, plateformes crypto (Binance, Coinbase, Kraken), outils de développement (GitHub, AWS), jeux (Steam, Discord, Twitch) et réseaux sociaux (X, Instagram). Les entreprises l’utilisent aussi pour leurs VPN, leur messagerie et leurs consoles d’administration. Chaque fois qu’un site propose une option « application d’authentification », c’est la voie 2FA.

Non — aucun dispositif de sécurité ne l’est, et les guides honnêtes le disent. La 2FA neutralise les attaques à base de mots de passe volés, mais un code tout frais saisi sur un faux site pendant sa durée de vie de 30 secondes peut quand même être hameçonné, un logiciel malveillant déjà présent sur votre appareil peut détourner la session elle-même, et les codes SMS peuvent céder à une attaque par SIM swap. Malgré ces réserves, un compte protégé par la 2FA reste bien plus difficile à pirater qu’un compte sans.

Aucun gouvernement ne l’impose, mais les grandes plateformes s’en chargent : GitHub l’exige des contributeurs de code depuis 2023, les banques et les plateformes crypto l’activent d’office, et les employeurs la rendent souvent obligatoire pour les connexions professionnelles. Ailleurs, elle est facultative mais fortement recommandée. Traitez-la malgré tout comme obligatoire pour votre compte le plus précieux — votre messagerie — car quiconque contrôle votre boîte mail peut réinitialiser tout le reste.

Parce que les mots de passe échouent toujours de la même façon. Des milliards de mots de passe réels circulent déjà publiquement à la suite de fuites de données, et des attaquants les rejouent sur chaque autre site, jour et nuit (credential stuffing). Microsoft estime que la 2FA bloque plus de 99,9 % des attaques automatisées de prise de contrôle de compte — c’est l’amélioration la moins coûteuse qui protège votre messagerie, votre banque, vos jeux et votre crypto contre les menaces qui arrivent réellement.

Tout dépend du deuxième facteur. Les codes SMS sont les plus fragiles : le SIM swap permet de voler votre numéro et de recevoir les codes à votre place. Les codes TOTP d’application d’authentification — les codes valables 30 secondes — sont solides sur le plan informatique : rien n’est transmis, un attaquant hors ligne ne peut pas les déduire, et chacun expire en quelques secondes. Les clés de sécurité matérielles et les clés d’accès (passkeys) sont les plus robustes de tous : elles résistent au hameçonnage et sont cryptographiquement liées au vrai domaine.

Parce que l’ère du mot de passe seul s’est effondrée. Des fuites industrielles ont exposé des milliards d’identifiants, le credential stuffing automatisé a rendu le piratage de comptes presque gratuit, et les plateformes en avaient assez de payer les conséquences. Les régulateurs ont suivi — le NIST a déconseillé l’authentification par SMS dans ses normes américaines, et la DSP2 européenne exige une authentification forte du client. Après que quelques géants ont banalisé la 2FA, tous les autres services ont emboîté le pas.

Non. Il s’agit d’un outil 2FA dans le navigateur : il fonctionne sur tout ordinateur portable, tablette ou PC de bureau doté d’un navigateur moderne, en ligne ou totalement hors ligne une fois installé comme application. Il remplace l’application du téléphone quand celui-ci est perdu, vendu, cassé, à plat — ou simplement interdit là où vous travaillez.

Oui. Chaque calcul s’effectue localement dans votre navigateur avec la Web Crypto API. Vos clés secrètes ne sont jamais envoyées à — ni vues par — un quelconque serveur. Vous pouvez charger la page, vous déconnecter d’Internet : le générateur continue de fonctionner.

Tout à fait. Installez 2FA COUNTER comme application (« Ajouter à l’écran d’accueil » / « Installer ») et il fonctionne entièrement hors ligne, à la manière d’un authenticateur natif. Les codes sont dérivés de votre secret et de l’horloge de votre appareil — aucun réseau n’est nécessaire.

Presque toujours à cause d’un décalage d’horloge. Les codes TOTP reposent sur l’heure : si l’horloge de votre appareil est décalée de trente secondes seulement, le code est invalide. Vérifiez que l’heure de votre système est réglée pour se synchroniser automatiquement (par exemple « Synchroniser maintenant » dans les paramètres de date et d’heure de Windows, « Régler la date et l’heure automatiquement » sur macOS), puis réessayez. Le générateur calcule à partir de l’heure que votre appareil lui rapporte — il n’a pas sa propre horloge à corriger.

Ce sont des applications pour téléphone ; voici un authenticateur pour navigateur. Il utilise exactement le même algorithme TOTP RFC 6238 et fonctionne avec tout service qui accepte une application d’authentification standard — mais vous ne perdez jamais l’accès parce qu’un téléphone est cassé, vendu ou à plat.

Uniquement dans votre propre navigateur. Votre dernière clé et une courte liste de « clés récentes » (jusqu’à 8) sont conservées dans le stockage local de cet appareil, pour que le générateur survive à un rafraîchissement et que vous puissiez changer de clé en un clic — jamais sur nos serveurs, puisqu’il n’y en a pas. Les clés sont stockées en texte brut : quiconque peut ouvrir ce profil de navigateur peut les lire — traitez ce profil comme le coffre de votre gestionnaire de mots de passe. « Tout effacer » au-dessus de la liste — qui vous demande une confirmation —, vider le champ ou supprimer les données du navigateur les efface définitivement ; conservez le secret d’origine dans votre gestionnaire de mots de passe comme copie maîtresse.

Oui. Collez l’URI otpauth:// complet fourni par votre service et chaque paramètre qu’il contient est respecté automatiquement — 6, 7 ou 8 chiffres, période de 15/30/60 s, hachage SHA-1/SHA-256/SHA-512, et HOTP à compteur. Une clé Base32 seule utilise les valeurs par défaut standard (6 chiffres, 30 s, SHA-1), celles qu’utilisent presque tous les services.

Oui — sans compte, sans offre premium, sans connexion. C’est un outil, pas un service.