Passkey, TOTP ou SMS : sécuriser son compte d’exchange

Avant de commencer

Utilisez une passkey pour accéder à votre compte si la plateforme la prend en charge, et préparez un accès de secours à l’avance. À défaut, une application d’authentification constitue généralement un meilleur point de départ que les SMS : ses codes ne dépendent pas du contrôle de votre numéro. Une page de phishing peut néanmoins voler un code de l’application. Ce guide compare les options et explique comment tester la récupération avant de perdre votre téléphone.

Ces instructions concernent les comptes personnels sur les plateformes d’échange centralisées. Il vous faut l’accès à l’adresse e-mail enregistrée et un téléphone ou un ordinateur fonctionnel, protégé par un verrouillage d’écran. Une clé de sécurité matérielle compatible peut aussi être nécessaire. Consultez l’aide officielle : connexion, validation des retraits et récupération peuvent utiliser des contrôles différents.

Comprendre chaque méthode

La plateforme envoie un code de vérification par SMS à votre numéro. Un attaquant qui récupère ce numéro par un remplacement frauduleux de carte SIM ou un portage peut recevoir ces messages. Une fausse page de connexion peut aussi intercepter le code SMS et le transmettre à la véritable plateforme.

Une application d’authentification génère des codes à partir d’un secret enregistré lors de la configuration. Nous parlons ici de TOTP, des mots de passe à usage unique fondés sur le temps. L’application peut les produire sans connexion mobile. Le QR code de configuration contient les données nécessaires pour générer les mêmes codes. Ne le partagez pas par messagerie et ne le placez pas dans un dossier partagé de captures d’écran. Une personne disposant du même secret peut générer les mêmes codes.

Une passkey utilise la cryptographie à clé publique. La plateforme conserve la clé publique ; votre appareil ou gestionnaire d’identifiants contrôle la clé privée. Vous autorisez son utilisation par le déverrouillage de l’appareil, avec un code PIN ou une empreinte. Une mise en œuvre correcte lie cette validation au service prévu : un autre domaine de phishing ne reçoit pas de réponse valable pour la véritable plateforme.

Une passkey peut remplacer le mot de passe ou participer à une vérification supplémentaire. La comparaison « passkey ou 2FA » manque donc de précision : l’authentification à deux facteurs décrit les facteurs vérifiés, tandis que passkey désigne une technologie d’identification. Vérifiez l’usage qu’en fait votre plateforme.

Ce que couvre la résistance au phishing

La ligne consacrée à la clé matérielle vise FIDO2/WebAuthn, pas tous les boîtiers affichant des chiffres. Le NIST explique que les codes à usage unique saisis manuellement ne résistent pas au phishing : un imposteur peut les relayer au vrai service. Cette résistance concerne le protocole d’authentification, pas toutes les formes de vol de compte.

Vérifier la récupération avant de changer la connexion

Ouvrez la plateforme depuis son application officielle ou votre favori enregistré. Listez les modes de connexion et vérifiez la récupération. La plateforme accepte-t-elle une autre clé enregistrée, fournit-elle des codes de récupération ou exige-t-elle une vérification d’identité lorsque la méthode principale manque ?

Lisez les délais d’attente et les restrictions d’opérations dans sa documentation. L’expérience d’un autre utilisateur ne fixe pas le délai de votre compte. Conservez un accès fonctionnel jusqu’à ce que vous ayez testé son remplaçant.

Sécurisez aussi l’adresse e-mail enregistrée. Vérifiez son mot de passe, sa protection de connexion et ses coordonnées de récupération. Un attaquant ayant accès à cette boîte peut parfois engager une procédure distincte de récupération du compte de la plateforme, même si votre connexion habituelle est robuste.

Configurer et tester une passkey

1. Mettez à jour le système et le navigateur. Activez le verrouillage d’écran et utilisez un appareil personnel que vous contrôlez.
2. Ouvrez les paramètres de sécurité de la plateforme et trouvez l’option passkey. Comparez les étapes avec son aide actuelle.
3. Choisissez le stockage. Le système peut proposer un gestionnaire d’identifiants, un téléphone ou une clé matérielle compatible. Vérifiez si l’option choisie se synchronise entre appareils.
4. Terminez la validation du système. Vérifiez que la nouvelle méthode apparaît dans le compte et donnez-lui un nom reconnaissable si possible.
5. Gardez votre session fonctionnelle ouverte. Testez une nouvelle connexion depuis un autre profil du navigateur ou un appareil de confiance. Évitez les ordinateurs publics pour ce test.
6. Enregistrez et testez un accès de secours. Réexaminez ensuite les anciennes méthodes, dont les SMS, selon les règles de la plateforme.

Coinbase cite notamment une passkey avec une clé de sécurité de secours, ou deux clés de sécurité. D’autres plateformes peuvent proposer d’autres combinaisons. La disponibilité peut dépendre du compte et des appareils compatibles.

Pour une passkey synchronisée, examinez les protections de récupération du gestionnaire. Apple décrit le chiffrement de bout en bout du trousseau iCloud et des contrôles supplémentaires d’accès. Ne supposez pas que tous les fournisseurs suivent cette conception. Un identifiant FIDO2 lié à l’appareil reste généralement sur sa clé physique : enregistrez un autre secours adapté avant de vous y fier.

Utiliser une application si les passkeys sont indisponibles

Installez l’application choisie depuis sa fiche officielle dans le magasin d’applications. Activez ses codes dans les paramètres de la plateforme, scannez le QR code et saisissez le code actuel pour terminer. Vérifiez que la méthode apparaît comme active.

Examinez le stockage de l’application. Certaines configurations gardent les secrets sur l’appareil ; d’autres les synchronisent par un compte. Google Authenticator permet les deux. Sans compte Google, le transfert des codes exige une étape distincte. Testez-le tant que l’ancien téléphone fonctionne.

Si un code échoue, vérifiez l’heure automatique de l’appareil et l’entrée de plateforme sélectionnée. Ne supprimez pas cette entrée pour tenter une réparation rapide. Vous pourriez perdre un identifiant fonctionnel si vous n’avez plus son secret initial.

Sauvegardez les codes de récupération fournis par la plateforme, le cas échéant. Gardez-les accessibles sans le téléphone et sans connexion au compte lui-même. Une copie à l’intérieur du compte qu’elle doit récupérer peut devenir inaccessible au moment nécessaire.

Répéter un scénario de téléphone perdu

Imaginez votre téléphone oublié dans un taxi et une connexion depuis votre ordinateur personnel. Cet ordinateur a-t-il déjà accès à la passkey synchronisée ? Quelle validation le gestionnaire demande-t-il ? Si l’identifiant existe uniquement sur le téléphone perdu, quel secours enregistré pourrez-vous utiliser ?

Testez cet accès pendant que la méthode principale reste disponible. Vérifiez que vous pouvez ouvrir les paramètres de sécurité. Ne lancez pas une réinitialisation du compte pour un simple test. Rangez le secours séparément : une clé dans la même coque peut disparaître avec le téléphone.

Après une perte réelle, suivez les instructions de la plateforme et du fabricant. Une fois le contrôle retrouvé, supprimez l’identifiant perdu, examinez les sessions et enregistrez un remplaçant. Google explique comment retirer d’un compte Google la passkey d’un appareil perdu ; cela ne remplace pas la procédure de récupération de votre plateforme.

Examiner les retraits et accès connectés

Vérifiez les contrôles nécessaires pour ajouter une adresse de retrait, changer un mot de passe ou désactiver l’authentification. Si une liste d’adresses autorisées existe, lisez ses délais et conditions de modification avant de vous y fier.

Examinez les clés API et applications connectées. Supprimez les accès inutilisés et contrôlez les permissions restantes. Lire un solde et retirer des fonds impliquent des risques différents. Accordez uniquement les droits nécessaires à la tâche confiée au service.

Si un prétendu agent d’assistance demande des codes, des secrets de configuration ou un accès à distance, interrompez l’échange et vérifiez la demande dans l’application officielle. Notre guide sur la fausse assistance des plateformes traite de ce scénario.

Si vous avez déjà communiqué un code

Depuis un appareil de confiance, utilisez le blocage du compte ou des transferts si la plateforme le permet. Coinbase décrit par exemple Security Lock, qui déconnecte les appareils et limite les opérations jusqu’au déblocage. Votre plateforme peut suivre une procédure différente.

Contactez l’assistance officielle et conservez l’heure, l’adresse de la page de phishing et les détails des opérations suspectes. Vérifiez l’accès à la messagerie et les modifications de connexion. Si vous avez autorisé un accès à distance, utilisez un autre appareil de confiance pour récupérer le contrôle. Ajouter une passkey après l’incident n’annule pas les transactions déjà exécutées.