Entre une application d’authentification ou le SMS, l’application TOTP offre généralement une meilleure protection. Elle génère le code directement sur votre appareil à partir d’un secret partagé et de l’heure, sans avoir besoin de recevoir ce code par le réseau téléphonique. Le SMS dépend au contraire de votre numéro de téléphone et de l’infrastructure de l’opérateur.
Cette différence expose le SMS à des attaques spécifiques, notamment le SIM swapping et certaines interceptions liées aux réseaux téléphoniques. L’ANSSI recommande ainsi de ne pas utiliser le SMS pour recevoir un facteur d’authentification. Le NIST considère de son côté l’authentification hors bande utilisant le réseau téléphonique comme une méthode « restreinte ».
Le SMS n’est pourtant pas inutile. Lorsqu’un service ne propose aucune autre solution, une double authentification par SMS reste préférable à l’absence de second facteur. Si une application TOTP, une passkey ou une clé de sécurité est disponible, mieux vaut en revanche privilégier l’alternative la plus robuste proposée par le service.
Application d’authentification ou SMS : quelles différences ?
| Critère | Application TOTP | SMS |
|---|---|---|
| Origine du code | Généré sur l’appareil | Envoyé par le service |
| Réseau mobile nécessaire | Non | Oui pour recevoir le SMS |
| Risque de SIM swapping | Non lié au numéro de téléphone | Oui |
| Risque lié au réseau téléphonique | Non pour la génération TOTP | Oui |
| Risque de phishing en temps réel | Oui | Oui |
| Utilisation hors connexion | Oui | Non pour la réception du code |
| Changement de téléphone | Nécessite transfert, synchronisation, sauvegarde ou récupération | Simple si le numéro reste accessible |
La différence fondamentale tient donc moins aux six chiffres affichés qu’à la façon dont ils arrivent jusqu’à vous. Un SMS transporte un secret temporaire à travers une infrastructure extérieure. Une application TOTP calcule ce secret localement.
Pourquoi la double authentification par SMS est-elle moins sûre ?
Avec la 2FA par SMS, le serveur génère un code temporaire puis l’envoie au numéro associé au compte. Toute attaque permettant à un tiers de prendre le contrôle de ce numéro ou d’intercepter le message peut donc fragiliser le second facteur.
L’ANSSI estime qu’une méthode reposant sur la réception d’un code par un canal peu ou pas sécurisé comme le SMS est à proscrire et recommande explicitement de ne pas utiliser le SMS comme moyen de réception d’un facteur d’authentification.
Le NIST adopte une formulation différente. Dans la version 2025 de ses recommandations sur l’identité numérique, l’utilisation du réseau téléphonique public pour l’authentification hors bande figure parmi les mécanismes « restreints ». Cela signifie notamment que son utilisation nécessite de tenir compte des risques associés.
Le SIM swapping peut détourner les codes sans voler le téléphone
Le SIM swapping, ou détournement de carte SIM, illustre particulièrement bien la faiblesse d’une authentification attachée à un numéro de téléphone.
Le principe consiste à obtenir le transfert du numéro de la victime vers une carte SIM ou un abonnement contrôlé par l’attaquant. Selon la méthode employée, celui-ci peut exploiter des informations personnelles ou contourner les procédures de vérification de l’opérateur.
Si le détournement réussit, les appels et SMS destinés au numéro peuvent arriver entre les mains de l’attaquant. Celui-ci n’a donc pas nécessairement besoin de voler physiquement le smartphone pour compromettre une authentification reposant sur la réception de SMS.
Le réseau téléphonique ajoute une surface d’attaque
Le problème ne se limite pas à la carte SIM. Les infrastructures de télécommunication ont également leurs propres vulnérabilités. Le NIST a notamment cité les faiblesses de SS7 parmi les raisons justifiant les restrictions appliquées aux secrets transmis par SMS.
Il faut distinguer ce scénario d’une compromission locale. Un logiciel malveillant disposant de permissions suffisantes sur un smartphone peut chercher à accéder aux messages ou aux informations affichées sur l’appareil. Dans ce cas, l’attaque se déroule sur le terminal lui-même et non au niveau de l’opérateur.
Pourquoi une application TOTP protège-t-elle mieux le second facteur ?
Une application TOTP repose sur le principe de l’authentification à deux facteurs (2FA) : après la saisie du mot de passe, l’utilisateur doit fournir un second élément permettant de vérifier son identité. Dans le cas de TOTP, ce second facteur prend la forme d’un code temporaire généré par l’application.
Lors de son activation, le service et l’application partagent un secret, généralement transmis lors de la configuration au moyen d’un QR code.
À partir de ce secret et de l’heure, l’application calcule un mot de passe à usage unique. La norme TOTP prévoit un intervalle de temps de 30 secondes par défaut. Le téléphone et le serveur peuvent ainsi produire ou vérifier le même code sans qu’il soit nécessaire de l’envoyer par SMS.
On peut comparer le SMS à une information confiée à un circuit de livraison : elle doit parvenir jusqu’à vous. Avec TOTP, le mécanisme nécessaire à la fabrication du code se trouve déjà dans votre application.
Autre avantage pratique : une application comme Google Authenticator peut générer ses codes sans connexion Internet ni service mobile. Elle continue donc à fonctionner dans un avion, à l’étranger ou dans une zone sans réseau, sous réserve que l’horloge de l’appareil soit correctement réglée.
Une application d’authentification peut-elle quand même être piratée ?
Oui. TOTP est plus robuste que le SMS face aux attaques visant le réseau téléphonique, mais il n’est pas invulnérable.
Le principal piège reste le phishing en temps réel. Un faux site peut demander votre identifiant, votre mot de passe puis votre code TOTP et transmettre immédiatement ces informations au véritable service avant l’expiration du code.
Le NIST précise d’ailleurs que les systèmes nécessitant la saisie manuelle d’un code OTP ne sont pas considérés comme résistants au phishing. Pour les comptes qui le permettent, les méthodes cryptographiques conçues pour résister à ce type d’attaque, notamment certaines passkeys et clés de sécurité, peuvent donc apporter une protection supplémentaire.
Une compromission profonde du smartphone peut également menacer les données d’authentification qui y sont stockées. Verrouiller son téléphone, maintenir son système à jour et protéger les sauvegardes reste donc indispensable.
Comment passer du SMS à une application d’authentification ?
La migration prend généralement quelques minutes lorsque le service accepte les applications TOTP.
- Installez une application d’authentification reconnue.
- Ouvrez les paramètres de sécurité du compte à protéger.
- Recherchez « authentification à deux facteurs », « 2FA », « MFA » ou « application d’authentification ».
- Sélectionnez l’option permettant d’utiliser une application.
- Scannez avec celle-ci le QR code affiché par le service.
- Saisissez le code temporaire généré afin de confirmer l’association.
- Enregistrez immédiatement les codes de récupération fournis par le service dans un emplacement sûr.
- Vérifiez enfin les méthodes de récupération encore attachées au compte.
Cette dernière étape est souvent négligée. Activer TOTP ne sert que partiellement si un attaquant peut ensuite contourner cette protection grâce à une procédure de récupération reposant simplement sur le même numéro de téléphone.
Que se passe-t-il si vous perdez votre téléphone ?
C’est le principal inconvénient pratique d’une application d’authentification : le secret permettant de générer les codes doit rester accessible lorsque vous changez ou perdez votre appareil.
Les solutions modernes ne fonctionnent cependant pas toutes de la même façon. Google Authenticator permet par exemple de synchroniser les codes entre plusieurs appareils lorsque l’utilisateur se connecte à son compte Google. Il reste également possible de l’utiliser sans compte et de transférer manuellement les codes d’un ancien appareil vers un nouveau.
Microsoft Authenticator propose lui aussi des mécanismes de sauvegarde et de restauration, avec des modalités qui varient selon le système utilisé et le type de compte.
Avant d’abandonner ou de réinitialiser un téléphone, vérifiez donc la procédure propre à votre application. Surtout, conservez les codes de récupération générés par chaque service lors de l’activation de la 2FA. Ils permettent souvent de reprendre le contrôle du compte lorsqu’aucun code TOTP ne peut plus être produit.
Quelle application d’authentification choisir ?
Google Authenticator et Microsoft Authenticator font partie des applications les plus connues. D’autres solutions prennent également en charge TOTP, notamment certains gestionnaires de mots de passe et applications spécialisées.
Le choix dépend notamment de la manière dont vous souhaitez gérer la sauvegarde et la synchronisation. Avant d’adopter une application, vérifiez où sont conservés les secrets TOTP, comment ils sont protégés, comment fonctionne leur sauvegarde et quelle procédure permet de migrer vers un nouveau téléphone.
Pour un utilisateur possédant de nombreux comptes, la récupération est presque aussi importante que l’utilisation quotidienne : perdre simultanément l’accès à tous ses codes peut transformer un simple téléphone cassé en problème majeur.
Pourquoi les banques utilisent-elles encore des SMS ?
Parce que sécurité et authentification bancaire ne se résument pas au choix entre SMS et TOTP. En Europe, la réglementation issue de la DSP2 impose notamment une authentification forte dans plusieurs situations, dont l’accès au compte en ligne et l’initiation de certaines transactions électroniques. Elle prévoit également des exigences spécifiques pour les paiements électroniques à distance.
Les banques peuvent mettre en œuvre ces obligations de différentes manières. Beaucoup utilisent des applications bancaires permettant de valider directement une opération, tandis que des mécanismes reposant sur le téléphone peuvent subsister dans certains parcours.
La présence d’un SMS dans un processus bancaire ne signifie donc pas, à elle seule, que l’ensemble du mécanisme d’authentification se réduit à un simple code SMS. Il faut examiner le parcours complet et les facteurs effectivement utilisés.
Faut-il désactiver immédiatement tous ses codes par SMS ?
Lorsqu’une alternative plus robuste est disponible, remplacer le SMS est une mesure raisonnable, en priorité sur les comptes les plus sensibles : messagerie principale, gestionnaire de mots de passe, services financiers, stockage cloud et comptes permettant de réinitialiser d’autres accès.
Si le SMS constitue la seule 2FA proposée, mieux vaut généralement le conserver plutôt que revenir à un simple mot de passe. L’ANSSI reconnaît elle-même qu’en l’absence d’alternative, la réception d’un code temporaire par SMS peut contribuer à limiter ou détecter certaines tentatives frauduleuses.
Entre application d’authentification ou SMS, TOTP élimine donc plusieurs faiblesses propres au réseau téléphonique et au numéro de mobile. Il faut néanmoins préparer la récupération de ses codes et garder à l’esprit que TOTP reste vulnérable au phishing en temps réel. Lorsque le service propose une méthode véritablement résistante au phishing, celle-ci mérite également d’être envisagée.
Questions fréquentes sur les applications d’authentification et les SMS
Pourquoi la double authentification par SMS est-elle considérée comme moins sûre ?
Parce que le code dépend du réseau téléphonique et du contrôle du numéro. Le SIM swapping et certaines attaques contre l’infrastructure télécom peuvent notamment permettre de détourner ou d’intercepter des codes. Le NIST classe l’utilisation du réseau téléphonique pour l’authentification hors bande parmi les méthodes restreintes.
Une application d’authentification fonctionne-t-elle sans Internet ?
Oui pour une application TOTP classique. Le code est calculé localement à partir d’un secret partagé et de l’heure. Google Authenticator indique notamment que ses codes peuvent être générés sans connexion Internet ni service mobile.
Un pirate peut-il voler un code Google Authenticator ?
Un code TOTP peut notamment être dérobé par phishing si l’utilisateur le saisit sur un faux site et que l’attaquant l’utilise immédiatement. Le NIST ne considère pas les OTP saisis manuellement comme résistants au phishing.
Que faire avant de changer de téléphone ?
Vérifiez le mécanisme de transfert, de synchronisation ou de sauvegarde de votre application et assurez-vous de posséder les codes de récupération de vos comptes avant d’effacer l’ancien appareil.
Le SMS vaut-il mieux que pas de double authentification ?
Oui, lorsque le SMS est la seule méthode supplémentaire proposée, il peut ajouter une barrière utile par rapport à l’utilisation du mot de passe seul. Dès qu’une solution plus robuste est disponible, l’ANSSI recommande cependant de ne pas utiliser le SMS pour recevoir un facteur d’authentification.
