Ne traitez pas un QR de migration comme une simple illustration

Identifier la fonction de l'image

Pendant l'activation d'un TOTP, le QR otpauth:// transmet une clé de configuration. Pendant l'export Google Authenticator, un QR peut contenir plusieurs entrées de compte.

Ces images sont différentes du code temporaire à six chiffres que vous entrez lors d'une connexion. Leur durée de sensibilité peut être bien plus longue que trente secondes.

Choisir une méthode de lecture maîtrisée

Dans 2FASync, la caméra n'est sollicitée qu'après une action et votre autorisation. Vous pouvez aussi choisir un fichier image local compatible pour une opération d'importation.

Avant de valider, examinez la liste reconnue. Un intitulé affiché par le QR n'est pas une preuve de provenance : comparez-le aux comptes et services dont vous avez vous-même activé le facteur.

Limiter les copies et réagir aux fuites

Évitez les captures synchronisées dans un album partagé, les dépôts publics et les échanges de support non prévus pour des secrets. Supprimer un message réduit sa diffusion mais ne fait pas oublier la clé déjà copiée.

Si vous constatez une exposition, faites renouveler la configuration sur le service émetteur et vérifiez les autres méthodes de récupération avant de désactiver l'ancienne.

Puis-je utiliser un QR trouvé sur Internet pour tester ?

Choisissez des données de test synthétiques. Un QR réel trouvé en ligne peut contenir les moyens d'accès au compte d'une autre personne.