Obtenir votre code 2FA

Ce dont vous avez besoin avant de commencer

L’accès à votre compte, évidemment — vous devez déjà être connecté au service que vous voulez protéger. Au-delà, deux choses comptent. D’abord, le service doit proposer une option application d’authentification comme second facteur : c’est le cas de Google, Microsoft, GitHub, Discord, Steam, AWS, Coinbase, Kraken, Binance, X, et de la plupart des banques et plateformes d’échange. Ensuite, il vous faut un endroit oùfaire tourner l’authentificateur : une application de téléphone, ou — tout l’objet de ce site — cet outil de navigateur, qui calcule des codes identiques sans rien installer.

Une remarque sur les noms : les services appellent ce second facteur « authentification à deux facteurs », « 2FA », « vérification en deux étapes », « TOTP » ou « application d’authentification ». Derrière les étiquettes, c’est la même chose — un code à usage unique fondé sur le temps et dérivé d’un secret partagé. Si vous voulez comprendre le mécanisme plutôt que simplement l’utiliser, lisez Qu’est-ce que la 2FA ? Comment fonctionne le TOTP.

Étape 1 : activez la 2FA et affichez la clé de configuration

Ouvrez les paramètres de sécurité de votre compte et trouvez la section consacrée à l’authentification à deux facteurs. Choisissez l’option application d’authentification. Le service affiche un code QR à scanner avec un téléphone — et cet écran propose presque toujours une alternative : un lien libellé « scanner impossible ? », « saisir le code manuellement » ou « clé de configuration ». Ce lien révèle le véritable secret : une chaîne Base32 du type JBSWY3DPEHPK3PXP, parfois emballée dans un URI otpauth:// complet qui transporte aussi le libellé du compte, le nombre de chiffres, la période de renouvellement et l’algorithme de hachage.

Cette clé est le justificatif d’identité — l’équivalent déplaçable de votre mot de passe pour le second facteur. Traitez cet écran comme un écran de récupération : personne de sérieux ne vous demandera jamais de coller une clé de configuration dans un e-mail ou une discussion. Copiez-la, terminez l’activation de la 2FA (la plupart des services réclament un code valide pour confirmer), et conservez l’original dans un endroit chiffré, comme un gestionnaire de mots de passe.

Étape 2 : collez la clé dans le générateur

Dans le générateur en haut de notre page d’accueil, collez ce que vous avez copié — la chaîne Base32 seule ou le lien otpauth:// complet, les deux conviennent. Un code à 6 chiffres en direct apparaît en quelques secondes et se renouvelle toutes les 30 secondes. Vous pouvez aussi importer la clé depuis une image : collez une capture d’écran du code QR directement sur la page avec Ctrl+V, déposez un fichier image dessus, ou scannez le code QR avec votre caméra — le décodage se fait en local, et rien n’est téléversé. Si le service impose une configuration non standard (codes à 8 chiffres, périodes de 15/30/60 secondes, SHA-256 ou HOTP à compteur), un URI otpauth:// complet transporte tous ces paramètres, et le générateur les respecte automatiquement.

Étape 3 : copiez le code en direct et terminez la connexion

Saisissez le code courant dans la demande de vérification avant qu’il ne tourne. Chaque code est valable pour une fenêtre de 30 secondes (plus courte ou plus longue pour les services à périodes personnalisées) : si le compteur arrive dans ses dernières secondes, attendez le code suivant plutôt que de courir après un code périmé. Désormais, chaque connexion à ce service répète la même boucle : ouvrir le générateur → copier le code → le coller. Votre dernière clé reste mémorisée uniquement dans le stockage local de votre navigateur, pour que la prochaine visite soit à un clic d’ici.

Où trouver la clé de configuration sur les services les plus utilisés

Chaque service enterre l’option d’authentificateur à un endroit un peu différent ; nous publions donc des guides de configuration pas à pas qui accompagnent ce générateur — jusqu’au moment où vous collez la clé ici et terminez la configuration. Les plus demandés : Google, Microsoft, Discord, GitHub, Steam, AWS, Coinbase, Kraken et Binance.

Dépannage : que faire quand ça ne fonctionne pas

Le code est refusé. En pratique, la cause est presque toujours un décalage d’horloge sur l’appareil qui fait tourner le générateur. Le TOTP compare votre code avec un code dérivé de l’horloge du service : si l’heure de votre système est fausse de trente secondes au plus, les deux divergent. Réglez votre système d’exploitation pour synchroniser l’heure automatiquement (Windows : « Synchroniser maintenant » dans les paramètres de date et d’heure ; macOS : « Régler la date et l’heure automatiquement »), puis essayez le code suivant.

Le code QR ne veut pas se scanner. Utilisez plutôt le lien « scanner impossible ? » pour afficher la clé de configuration — la clé en texte est toujours plus fiable que la photographie d’un écran. Si vous ne disposez que d’une capture d’écran, recadrez-la sur le code QR seul ; les clichés fortement compressés ou pris de biais refusent souvent de se décoder.

Vous avez perdu le téléphone qui contenait la clé. C’est exactement la situation pour laquelle cet outil a été conçu : si vous aviez rangé le secret d’origine dans votre gestionnaire de mots de passe — ou si vous l’aviez collé ici pendant que le téléphone fonctionnait encore — vous pouvez régénérer des codes depuis n’importe quel ordinateur. Sans téléphone, sans restauration, sans ticket au support.

Deux habitudes qui valent la peine

Enregistrez les codes de récupération du service hors ligne dès que vous activez la 2FA : ce sont la roue de secours si vous perdez un jour l’appareil qui détient le secret. Et ne considérez jamais un code 2FA en direct comme quelque chose à partager : aucun agent du support, aucune banque, aucune plateforme d’échange n’a jamais besoin de votre code courant sans que vous l’ayez demandé. Un code n’est utile que pendant sa fenêtre de 30 secondes, sur l’écran de connexion que vous avez choisi.