Définition
L'authentification à deux facteurs (2FA) exige deux types de preuve différents pour se connecter ou valider une action : généralement quelque chose que vous savez (un mot de passe) et quelque chose que vous possédez (un téléphone recevant un code à usage unique, une application d'authentification ou une clé de sécurité).
Les trois types de facteurs sont la connaissance (mot de passe, code PIN), la possession (téléphone, clé matérielle, application) et l'inhérence (empreinte digitale, visage). Deux vérifications du même type, comme un mot de passe et une question secrète, ne constituent pas une véritable 2FA. L'authentification multifacteur (MFA) est le terme général désignant deux facteurs ou plus.
Les OTP envoyés par message sont le facteur de possession le plus répandu, car ils ne nécessitent l'installation d'aucune application. Ils sont moins robustes que les méthodes par application ou résistantes à l'hameçonnage : attaques par SIM swap, pages d'hameçonnage qui relaient les codes en temps réel et interceptions existent bel et bien. La norme NIST SP 800-63B classe les OTP transmis par le réseau téléphonique public (SMS ou voix) comme authentificateurs « restreints » et demande aux vérificateurs de tenir compte de signaux tels qu'un changement de SIM ou une portabilité du numéro avant de les utiliser.
Pour les services grand public dans le CCG et la région MENA, l'OTP par SMS et WhatsApp reste la solution par défaut la plus pratique pour l'inscription, la connexion et la validation des paiements ; les banques et prestataires de paiement appliquent souvent des règles plus strictes fixées par leur banque centrale ou leur régulateur. Proposez une option plus robuste (application d'authentification ou passkey) pour les actions à risque élevé.
Conseils de conception : n'envoyez le second facteur qu'une fois le mot de passe validé, liez les codes à une session et à une action uniques, et expliquez dans le message à quoi sert le code (« pour valider un virement de 500 AED »).