Nouveau smartphone : transférer vos codes d'authentification

Pourquoi les codes peuvent-ils se perdre lors d'un changement de téléphone ?

Une application d'authentification génère des codes à usage unique pour vous connecter. Pour cela, elle conserve pour chaque compte un secret que le service connaît aussi. C'est l'un des moyens de confirmation que cite Cybermalveillance.gouv.fr pour la double authentification : un code reçu par SMS, ou une confirmation « via une application ou une clé spécifique que vous contrôlez ».

L'endroit où ce secret est stocké dépend de l'application et de ses réglages. Google Authenticator, par exemple, garde les codes uniquement sur l'appareil si vous l'utilisez sans compte Google. Les autres appareils, y compris votre nouveau téléphone, ne les ont alors pas.

Cybermalveillance.gouv.fr résume l'intérêt du dispositif : grâce à cette confirmation, vous seul pouvez autoriser un nouvel appareil à se connecter à vos comptes protégés. C'est précisément pour cela qu'un changement de téléphone se prépare. Pour comparer les différentes méthodes, consultez SMS, application ou clé d'accès : quelle protection supplémentaire choisir ?.

Que vérifier avant de transférer quoi que ce soit ?

Tant que l'ancien téléphone fonctionne, toutes les options restent ouvertes. Préparez donc d'abord le changement :

1. Ouvrez l'application d'authentification sur l'ancien téléphone et notez les comptes pour lesquels elle génère des codes. Les noms suffisent, pas besoin des codes eux-mêmes.
2. Regardez dans les réglages de l'application si elle utilise une sauvegarde ou une synchronisation, et avec quel compte.
3. Retrouvez les codes de secours de vos comptes les plus importants (messagerie, banque, impôts, réseaux sociaux).
4. Vérifiez que le numéro de téléphone et l'adresse e-mail de récupération de vos comptes sont toujours à jour.
5. Rechargez l'ancien téléphone et gardez-le à portée de main jusqu'à la fin.

Pour ranger ces codes de façon à les retrouver le jour où vous en avez besoin, consultez Conserver ses codes de récupération en lieu sûr et les retrouver.

Quelle méthode de transfert convient à votre application ?

Ces méthodes se combinent. Si un compte ne suit pas avec la sauvegarde, vous ne reconfigurez que celui-là.

Comment transférer Google Authenticator et Microsoft Authenticator ?

Google Authenticator

Si vous utilisez Google Authenticator avec votre compte Google, vos codes sont synchronisés. En vous connectant avec le même compte sur le nouveau téléphone, ils y apparaissent automatiquement. Google indique chiffrer les codes lors de leur transfert et de leur stockage.

Si vous avez choisi d'utiliser l'application sans compte Google, les codes se trouvent seulement sur l'ancien téléphone. Vous les transférez alors par QR code d'un appareil à l'autre.

Microsoft Authenticator

Microsoft Authenticator restaure les comptes à partir d'une sauvegarde dans le cloud. Selon Microsoft, vous ne pouvez sauvegarder et restaurer que sur le même type d'appareil : une sauvegarde faite sur iPhone ne se restaure pas sur Android. Sur iPhone, trois fonctions iCloud doivent être activées.

Après la restauration, les codes des comptes tiers comme Amazon ou Gmail sont de nouveau disponibles, indique Microsoft. Pour les comptes professionnels ou scolaires, seul le nom du compte est restauré : vous devez vous reconnecter.

Que faire pour les comptes sans sauvegarde ?

Toutes les applications ne savent pas transférer les codes, et tous les comptes ne suivent pas. Dans ce cas, reconfigurez la double authentification auprès du service lui-même, tant que l'ancien téléphone génère encore des codes.

1. Connectez-vous au service et confirmez avec un code de l'ancien téléphone.
2. Ouvrez les paramètres de sécurité du compte et ajoutez l'application d'authentification du nouveau téléphone, en suivant les indications du service.
3. Confirmez la configuration avec un code du nouveau téléphone.
4. Retirez seulement ensuite l'ancien appareil du compte.

Dans l'ordre inverse, vous risquez de vous retrouver un moment sans second facteur valable. Les administrations, les banques et les employeurs utilisent parfois leurs propres applications ou procédures : lisez leurs consignes de changement d'appareil avant de passer au nouveau téléphone.

Quand pouvez-vous réinitialiser l'ancien téléphone ?

Seulement après vous être connecté à chaque compte de votre liste avec un code du nouveau téléphone. Gardez l'ancien appareil quelques jours de plus au cas où un compte peu utilisé, oublié sur la liste, referait surface.

Attention aux codes synchronisés : si vous supprimez dans Google Authenticator un code synchronisé avec votre compte Google, il disparaît de tous les appareils. Ne supprimez donc pas les comptes un par un sur l'ancien téléphone. Réinitialisez plutôt l'appareil entier, comme expliqué dans Donner son ancien téléphone : sauvegarder d'abord, puis bien se déconnecter.

Si l'ancien téléphone est perdu ou volé, Google demande de vous assurer immédiatement que personne ne peut accéder aux codes qu'il contient : effacez-le à distance, retirez-le de votre compte Google si les codes étaient synchronisés, sinon supprimez les codes sur chaque site. Voir aussi Téléphone perdu : bloquer, utiliser les solutions de secours et prévenir vos contacts.

France, Belgique, Luxembourg, Suisse : quels repères ?

Les étapes de transfert viennent des éditeurs des applications. Les organismes publics donnent en revanche des recommandations sur la double authentification.

En Suisse, ces recommandations viennent de l'administration fédérale ; le droit de l'Union européenne ne s'y applique pas automatiquement. Pour le transfert lui-même, les consignes des éditeurs des applications restent la référence, quel que soit le pays.

Un exemple : Léa transfère ses codes

Exemple fictif : Léa, qui habite à Lyon, change de smartphone. Elle utilise son application d'authentification sans compte, les codes se trouvent donc uniquement sur l'ancien appareil. Elle recopie d'abord sur une feuille les huit noms de comptes affichés par l'application et cherche ses codes de secours. Pour sa messagerie, elle n'en trouve pas et en génère de nouveaux.

Elle exporte ensuite les comptes par QR code, les scanne avec le nouveau téléphone et teste chaque compte avec un nouveau code. Sept fonctionnent tout de suite ; elle avait oublié un compte rarement utilisé lors de l'export. Comme l'ancien téléphone marche encore, elle corrige cela en quelques minutes. Elle ne le réinitialise qu'après une semaine sans problème.