Activer le 2FA sur Google, GitHub et Discord — Guide complet

Activer le 2FA sur Google, GitHub et Discord

Tu as déjà vu ce genre d'alerte : « Connexion depuis un appareil inconnu à Paris, 3h du matin ». Si tu n'as jamais activé l'authentification à deux facteurs, ce genre de nuit cauchemardesque finira par arriver. La bonne nouvelle, c'est qu'il suffit de 10 minutes par service pour fermer cette porte à 99 % des attaquants.

C'est quoi le 2FA exactement ?

Pense à ton compte en ligne comme à ta maison. Ton mot de passe, c'est la clé. Si quelqu'un la copie ou la devine, il entre directement. Le 2FA (authentification à deux facteurs), c'est ajouter un deuxième verrou qui ne s'ouvre qu'avec ton téléphone personnel. Même avec la clé copiée, l'intrus reste bloqué devant la porte.

Concrètement : après avoir saisi ton mot de passe, le site te demande un code à 6 chiffres généré par une application sur ton téléphone. Ce code change toutes les 30 secondes et ne peut pas être réutilisé. Sans ton téléphone physique, impossible d'entrer.

Ce qu'il te faut avant de commencer

• Un smartphone (Android ou iPhone)
• L'application Aegis Authenticator (Android, gratuite et open-source) ou Raivo OTP (iPhone)
• L'accès à tes comptes Google, GitHub et Discord
• 30 minutes tranquilles devant ton ordinateur

> Pourquoi pas Google Authenticator ? Aegis chiffre tes données localement et permet d'exporter facilement tes sauvegardes chiffrées. Google Authenticator a longtemps manqué de ces options essentielles pour la sécurité réelle.

—-

Étape 1 : Installer l'application d'authentification

Sur Android, installe Aegis Authenticator depuis le Play Store. À l'ouverture, l'application te demande de créer un mot de passe maître pour protéger tes codes — note-le soigneusement dans un endroit sûr, tu en auras besoin si tu réinstalles l'app.

Sur iPhone, installe Raivo OTP depuis l'App Store. Même principe.

L'application est prête. On va maintenant l'alimenter avec chacun de tes services.

—-

Étape 2 : Activer le 2FA sur Google

Google est probablement ton compte le plus critique. Si quelqu'un y accède, il peut réinitialiser le mot de passe de presque tous tes autres comptes via les emails de récupération.

1. Va sur myaccount.google.com
2. Clique sur Sécurité dans le menu de gauche
3. Descends jusqu'à Validation en deux étapes et clique dessus
4. Clique sur Commencer
5. Google te propose d'abord son propre système ou un SMS — ignore ça pour l'instant, descends et cherche Application d'authentification
6. Clique sur Configurer à côté de cette option
7. Un QR code s'affiche à l'écran

> Le QR code, c'est simplement une image qui contient une clé secrète. Ton application téléphone la lit pour savoir quel code générer. Ne montre jamais ce QR code à personne.

1. Ouvre Aegis sur ton téléphone, appuie sur le + en bas à droite, puis Scanner un QR code
2. Pointe l'appareil photo vers le QR code affiché sur ton écran
3. Aegis affiche maintenant un compte Google avec un code à 6 chiffres qui change toutes les 30 secondes
4. Saisis ce code sur la page Google pour confirmer la liaison
5. Clique sur Activer

Les codes de secours : Google va te proposer de télécharger des codes de récupération. Fais-le impérativement. Ce sont 10 codes à usage unique qui te permettent de te connecter si tu perds ton téléphone. Stocke-les dans un fichier texte sur une clé USB rangée en lieu sûr, ou imprime-les.

—-

Étape 3 : Activer le 2FA sur GitHub

GitHub est particulièrement sensible si tu développes des projets ou travailles en équipe. Un compte GitHub compromis peut signifier du code malveillant injecté dans des projets publics.

1. Va sur github.com et clique sur ton avatar en haut à droite, puis Settings
2. Dans le menu gauche, cherche Password and authentication (sous la section Access)
3. Clique sur Enable two-factor authentication
4. Choisis Authenticator app et non pas SMS
5. Le QR code s'affiche
6. Dans Aegis, même procédure : + puis Scanner un QR code
7. Saisis le code généré par Aegis dans le champ GitHub
8. Clique sur Continue

GitHub génère aussi des codes de secours. Télécharge-les et stocke-les au même endroit que ceux de Google.

> Attention : GitHub rend le 2FA obligatoire pour tous les contributeurs depuis 2023. Si tu ne l'as pas encore activé, tu risques des restrictions sur ton compte prochainement.

—-

Étape 4 : Activer le 2FA sur Discord

Discord est souvent sous-estimé, mais c'est une cible de choix pour les arnaqueurs qui veulent usurper ton identité ou escroquer tes amis en se faisant passer pour toi.

1. Ouvre Discord (navigateur ou application)
2. Clique sur l'icône d'engrenage ⚙️ en bas à gauche (Paramètres utilisateur)
3. Dans Mon compte, trouve la section Mot de passe et authentification
4. Clique sur Activer l'authentification à deux facteurs
5. Entre ton mot de passe Discord pour confirmer
6. Le QR code apparaît
7. Scanne-le avec Aegis comme pour les étapes précédentes
8. Saisis le code Aegis dans Discord
9. Discord te donne aussi des codes de secours — télécharge-les

—-

Sauvegarder Aegis (étape souvent oubliée)

Si tu perds ton téléphone et que tu n'as pas sauvegardé Aegis, tu te retrouves bloqué dehors même avec tes codes de secours pour certains services. Prends l'habitude de faire un export chiffré régulièrement :

1. Dans Aegis, appuie sur le menu (trois points en haut à droite)
2. Choisis Exporter
3. Sélectionne Export chiffré
4. Stocke ce fichier sur ton cloud personnel ou sur un NAS

Avec ça, même en cas de vol ou de casse de ton téléphone, tu récupères tous tes codes en quelques minutes sur un nouveau téléphone.

—-

Ce que ça change concrètement

Avec le 2FA activé, un attaquant qui récupère ton mot de passe (via une fuite de base de données, par exemple) ne peut absolument rien faire. Il lui faut aussi ton téléphone physique, ce qui rend la majorité des attaques automatisées complètement inefficaces.

Les prochains services à sécuriser : ton hébergeur, tes réseaux sociaux, ton gestionnaire de mots de passe. La méthode est toujours la même : QR code + application TOTP.

Quelques règles simples pour ne jamais perdre l'accès :

• Ne partage jamais un code TOTP, même si quelqu'un te le demande en urgence (c'est une arnaque)
• Avant de changer de téléphone, exporte Aegis et réimporte sur le nouveau
• Teste tes codes de secours une fois par an pour vérifier qu'ils fonctionnent encore

Le 2FA ne te rendra pas invulnérable, mais il transforme un compte facile à pirater en cible qui décourage pratiquement tous les attaquants opportunistes.