2FASync
Les sigles se ressemblent ; les mécanismes sont différents
Dans les consignes de sécurité françaises, on rencontre double authentification, validation en deux étapes, OTP et TOTP. Le terme affiché ne suffit pas à connaître la méthode utilisée.
Un OTP n'est pas nécessairement un TOTP
OTP signifie code ou mot de passe à usage unique. Un TOTP est la forme calculée à partir d'un secret et d'une période temporelle. Un code SMS ou une valeur basée sur un compteur peut relever d'une autre méthode.
Pour 2FASync, le cas attendu est une clé Base32 ou une URI otpauth://totp correspondant à un profil admis. Il n'existe pas de bouton qui transforme n'importe quel OTP en TOTP.
2FA et MFA parlent du contrôle d'identité
Une double authentification associe deux facteurs, comme un mot de passe et la possession d'un authentificateur. L'authentification multifacteur désigne plus généralement une combinaison de facteurs.
Une clé physique, une application d'approbation ou un code temporaire ne présentent pas les mêmes risques. Le choix dépend des options proposées par chaque service et de vos moyens de récupération.
Lire l'écran du service avant d'agir
Si vous voyez un QR TOTP de configuration, vérifiez l'émetteur et le compte avant de l'ajouter. Si le site demande d'approuver une opération dans sa propre application, utilisez cette application.
Ne recherchez pas une clé secrète inexistante sous prétexte que la page mentionne « 2FA ». Les recommandations générales de Cybermalveillance.gouv.fr et de la CNIL expliquent ces familles de solutions sans certifier 2FASync.
2FASync traite-t-il HOTP ?
2FASync reconnaît les profils non pris en charge lors de certaines importations, mais ne convertit ni n'importe quel OTP ni HOTP en TOTP.