2FA Authenticator (2FAS)

2FA Authenticator est une application d’authentification à deux facteurs axée sur la confidentialité. Elle sert à générer des jetons de sécurité temporaires — notamment des codes de vérification à usage unique de type TOTP ou HOTP composés de six chiffres — afin de sécuriser l’accès à différents comptes en ligne. Cela peut concerner des réseaux sociaux, un compte Google ou Microsoft, ainsi que des plateformes professionnelles. L’application permet d’activer l’authentification à deux facteurs sur les services compatibles en scannant un QR code ou en saisissant une clé manuelle.

C’est l’entreprise américaine Two Factor Authentication Service qui développe et édite l’application. Le projet a été lancé afin de répondre au manque de solutions considérées comme éthiques et réellement sécurisées sur le marché de l’authentification. Le code source de 2FA Authenticator — notamment disponible sur GitHub sous licence GPLv3 pour sa version Android — est public. Cela permet à des experts indépendants en cybersécurité de l’auditer afin de vérifier l’absence de failles ou de portes dérobées.

Comment fonctionne 2FA Authenticator ?

Le fonctionnement de 2FA Authenticator repose sur des protocoles de cryptographie industrielle, une architecture purement locale et un système de communication chiffré de pair à pair (P2P). L’application utilise principalement le protocole TOTP (time-based one-time password) et prend également en charge le protocole HOTP (HMAC-based one-time password).

Lors de l’activation de la double authentification sur un site web, celui-ci génère une clé secrète unique, généralement présentée sous la forme d’un QR code. En scannant ce code avec 2FA Authenticator, la clé secrète est enregistrée localement dans la mémoire sécurisée du téléphone. Toutes les 30 secondes, l’application combine mathématiquement cette clé avec l’heure actuelle de l’appareil. L’algorithme applique ensuite une fonction HMAC basée sur un algorithme de hachage cryptographique — généralement SHA-1 — afin de générer un code unique à six chiffres. De son côté, le site web effectue exactement le même calcul au même instant. Si les deux codes correspondent, l’accès est validé. Aucune connexion Internet n’est nécessaire puisque tout repose sur la synchronisation temporelle.

Pour éviter la perte des accès en cas de destruction ou de perte du téléphone, 2FA Authenticator intègre un système de sauvegarde sans héberger lui-même les données sur ses propres serveurs. L’application exporte le fichier de sauvegarde chiffré directement vers Google Drive sous Android ou vers iCloud sous iOS. Les données des jetons sont chiffrées de bout en bout (E2EE) directement sur l’appareil avant l’envoi, notamment à l’aide de l’algorithme de chiffrement AES-256.

La liaison sans fil entre l’application mobile et l’extension de navigateur sur ordinateur fait également partie des particularités de 2FA Authenticator. Cette communication fonctionne sans nécessiter la création d’un compte cloud centralisé.

Sur quels appareils peut-on installer 2FA Authenticator ?

Vous pouvez télécharger 2FA Authenticator pour iOS ou Android en suivant notre lien direct.

Son extension de navigateur étend également son utilisation aux ordinateurs sous Windows, macOS, Linux ou ChromeOS.

De plus, Two Factor Authentication Service propose une application compagnon officielle pour watchOS. Celle-ci permet d’afficher et de trier les codes de double authentification directement depuis la montre connectée, sans avoir à sortir le téléphone.

2FA Authenticator est-il payant ?

2FA Authenticator est entièrement gratuit. Aucun frais, abonnement ou publicité n’est imposé, et aucune fonctionnalité n’est verrouillée derrière une formule payante.

Toutes les options — y compris la sauvegarde chiffrée dans le cloud et l’extension de navigateur — sont accessibles gratuitement.

Quels sont les logiciels équivalents à 2FA Authenticator ?

Vous pouvez trouver sur le marché plusieurs applications d’authentification à double facteur similaires à 2FA Authenticator. Leurs modèles économiques reposent généralement sur la gratuité. Les différences se situent surtout au niveau technique.

Ente Auth fait partie des concurrents open source les plus sérieux de 2FA Authenticator. Développée par l’entreprise Ente — également connue pour son alternative chiffrée à Google Photos — cette application mise principalement sur le cloud souverain et le chiffrement de bout en bout. Elle sauvegarde les jetons sur ses propres serveurs cloud sécurisés, majoritairement situés en Europe. Son utilisation nécessite la création d’un compte Ente afin d’activer la synchronisation. Un mode hors ligne reste toutefois disponible pour une utilisation strictement locale sans compte. Ente Auth existe également en version web en plus de son application mobile.

Twilio Authy Authenticator est l’un des pionniers de la double authentification grand public. L’application est éditée par le géant américain des télécommunications Twilio. Il s’agit d’une solution propriétaire et centralisée nécessitant obligatoirement un numéro de téléphone ainsi qu’une adresse e-mail pour la synchronisation. Les clés secrètes sont chiffrées avec un mot de passe principal avant d’être sauvegardées sur les serveurs de Twilio. Vous pouvez télécharger Twilio Authy Authenticator sur smartphone ou tablette. Son éditeur privilégie essentiellement l’expérience mobile.

FreeOTP est une application historique créée et maintenue par Red Hat, société appartenant à IBM. Cette solution se veut particulièrement minimaliste et technique. Elle fonctionne de manière strictement locale et ne propose aucun système de synchronisation cloud automatique. Les jetons restent stockés uniquement dans la mémoire sécurisée du téléphone. En cas de perte ou de vol de l’appareil, les codes deviennent donc définitivement inaccessibles si les clés de secours initiales n’ont pas été conservées lors de la configuration des comptes. L’expérience proposée par FreeOTP reste exclusivement mobile.