Utilisez une clé de sécurité ou une passkey résistante au phishing lorsque l’exchange la prend en charge ; à défaut, choisissez une application d’authentification dédiée. Conservez les codes de récupération hors ligne, enregistrez un second facteur de secours et supprimez les voies de récupération par SMS qui peuvent affaiblir discrètement le compte.
Liste d’exécution#
- Changez d’abord le mot de passe et fermez les autres sessions. Pour configurer la 2FA crypto, terminez cette étape avant qu’une valeur ou une autorité de signature ne change de mains, puis vérifiez l’état obtenu.
- Enregistrez deux clés FIDO, ou une clé accompagnée d’une solution de secours soigneusement protégée. Effectuez cette étape avant tout transfert d’autorité, puis contrôlez le résultat.
- Téléchargez les codes de récupération et conservez-les hors ligne, séparément du mot de passe. Faites-le avant d’exposer une valeur importante et vérifiez ensuite que la sauvegarde est exploitable.
- Exigez la 2FA pour la connexion, les retraits et les modifications de sécurité. Définissez d’abord ce périmètre par écrit afin que l’urgence ne puisse pas étendre discrètement ce que le compte est autorisé à exposer.
- Testez le facteur de secours dans une fenêtre de navigation privée avant d’en dépendre. Limitez la première exposition afin qu’une hypothèse erronée puisse être corrigée sans perte importante.
Avant d’agir#
L’authentification à deux facteurs n’aide que si le second facteur ne peut pas être capturé ou réinitialisé aussi facilement que le mot de passe. Un fraudeur peut détourner les SMS par SIM swap, tandis que les codes à usage unique peuvent être hameçonnés en temps réel. Un identifiant FIDO protégé par hardware vérifie le domaine légitime avant d’authentifier.
Lors de la configuration de la 2FA, distinguez ce qui peut être vérifié avant l’action de ce qui ne pourra être surveillé qu’ensuite. Fixez des limites strictes autour de la seconde catégorie.
Une configuration par défaut plus sûre#
Lorsqu’un compte accepte les passkeys ou clés de sécurité, préférez-les aux codes à saisir. Si TOTP reste la meilleure option disponible, utilisez une application d’authentification distincte, protégez ses sauvegardes et ne lisez jamais un code à un agent du support.
Ce qui peut encore mal tourner#
- Considérer le SMS comme le facteur le plus robuste disponible. Cela retire une information essentielle de la décision et rend le résultat apparent peu fiable.
- Conserver le secret TOTP à côté du mot de passe du compte. Le secret racine peut alors être exposé ; un changement ultérieur de mot de passe n’éliminera pas nécessairement l’accès de l’attaquant.
- Ne garder qu’une seule clé de sécurité sans plan de récupération. Cela affaiblit une mesure censée limiter l’étendue d’un incident.
- Approuver une demande de connexion que vous n’avez pas initiée. Ce geste neutralise une mesure destinée à réduire les conséquences d’un vol d’identifiants.
Preuves à conserver#
Ne jugez pas la réussite de la configuration de la 2FA uniquement parce que l’interface affiche un message de succès. Appuyez-vous sur des éléments encore vérifiables après la fermeture de la page.
| Point de contrôle | Preuve | Condition d’arrêt |
|---|---|---|
| Changer d’abord le mot de passe et fermer les autres sessions | Contrôle daté, test de récupération ou capture authentifiée des réglages dont les secrets ont été retirés | Considérer le SMS comme le facteur le plus robuste |
| Enregistrer deux clés FIDO ou une clé et un secours protégé | Contrôle daté, test de récupération ou capture authentifiée des réglages sans secrets | Conserver le secret TOTP à côté du mot de passe |
| Télécharger les codes de récupération et les stocker hors ligne, loin du mot de passe | Contrôle daté, test de récupération ou capture authentifiée des réglages sans secrets | N’avoir qu’une seule clé de sécurité sans plan de récupération |
Conservez les hashes de transaction, numéros de dossier officiels ou captures datées lorsqu’ils documentent utilement la configuration, mais excluez toute phrase de récupération, clé privée et code d’authentification.
Questions fréquentes#
Un code d’application d’authentification peut-il être hameçonné ?
Oui. Une fausse page de connexion peut relayer le code actuel avant son expiration. L’authentification FIDO liée au domaine résiste à ce type de relais.
Faut-il conserver le SMS comme solution de secours ?
Uniquement si l’exchange ne propose aucune méthode de récupération plus sûre. Une voie de récupération peut devenir le chemin le plus facile pour l’attaquant.
Que faire si je perds mon téléphone ?
Restaurez l’application depuis une sauvegarde protégée ou utilisez un code de récupération hors ligne, puis renouvelez l’ancien facteur après vous être connecté.
Guides associés#
Sources#
Avertissement sur les risques : les opérations crypto peuvent être irréversibles. Ne partagez jamais une phrase de récupération, une clé privée, un mot de passe ou un code d’authentification, et vérifiez indépendamment chaque domaine et demande du wallet.
Règles éditoriales
Ce guide est éducatif et fondé sur des sources. Les mesures de sécurité, règles des plateformes et exigences légales peuvent évoluer ; vérifiez les étapes importantes auprès des sources officielles.
