Un code éphémère calculé à partir d'un secret durable

D'où vient la clé de départ ?

Lorsque vous activez une application d'authentification, le service présente souvent un QR ou une clé alphanumérique. Cette configuration permet de calculer les futurs codes, généralement par tranches de 30 secondes.

Il faut donc protéger le QR aussi soigneusement qu'un secret de connexion. Sa copie peut permettre de générer les mêmes codes même quand le numéro affiché sur votre écran a expiré.

Pourquoi le code peut-il être refusé ?

Le code dépend de la période en cours. Une horloge mal réglée, un mauvais compte sélectionné ou quelques secondes perdues lors de la saisie peuvent expliquer un échec.

Commencez par activer la synchronisation automatique de l'heure avant de désactiver votre second facteur. Si le service a remplacé la clé, une ancienne configuration ne pourra plus produire les valeurs attendues.

Ce que TOTP ne désigne pas

Un code reçu par SMS, une notification à approuver et une clé de sécurité physique peuvent tous participer à la double authentification. Ils ne deviennent pas des TOTP pour autant.

Le code temporaire complète les protections du service ; il ne garantit pas qu'une page de connexion frauduleuse ne parviendra jamais à le capturer. Vérifiez toujours l'adresse du site de destination.

Un TOTP reste-t-il utilisable sans réseau ?

Le calcul local ne demande pas de connexion permanente quand l'appareil possède la clé et une horloge correcte. Le site distant doit néanmoins être joignable pour valider la connexion.