La récupération de compte, maillon faible

Éditorial

Toute authentification forte finit par un guichet qui rend l'accès à qui ne peut plus le prouver : questions secrètes, SMS, support humain, codes de secours. L'attaquant raisonnable vise ce guichet plutôt que la porte blindée, et une récupération se conçoit donc comme une authentification à part entière, pas comme une formalité.

Mis à jour le 25 septembre 2026~23 min de lecture10 sections

papy cyber

→ Lire l’explication complète de la marmotte

Le guichet au bout du couloir

Toute forteresse a une poterne. C’est une petite porte, basse, discrète, pratiquée dans la muraille pour les allées et venues qu’on ne veut pas faire par le pont-levis : le ravitaillement, les messagers, le seigneur qui rentre tard. La légende des sièges veut que plus d’une place réputée imprenable soit tombée par là ; qu’elle exagère ou non, les légendes ont parfois plus de bon sens que les archives. Personne n’avait jugé utile de mettre à la poterne la garnison du donjon. Elle était faite pour les amis.

La récupération de compte est la poterne de l’authentification moderne. On a passé une décennie à blinder l’entrée principale : mots de passe robustes, second facteur, puis passkeys liées à l’origine, dont l’éditorial Les passkeys, et ce qui se déplace décrit la solidité remarquable. Et au bout du couloir, il reste un guichet. Il est ouvert, aux heures de bureau et parfois au-delà, à ceux qui ont perdu leur téléphone, oublié leur code, changé de numéro, cassé leur clé, divorcé du compte courriel qui servait à tout. Il faut bien qu’il existe, puisque les gens perdent des choses. Il est même le signe d’un service humain. C’est aussi, par construction, un endroit où l’on obtient l’accès sans présenter la preuve que l’entrée principale exige.

Posons la thèse sans précaution oratoire : le niveau de sécurité réel d’un compte est le minimum entre celui de son authentification et celui de sa récupération. Pas la moyenne, pas une pondération savante : le minimum. Un compte protégé par une passkey et récupérable par un SMS est un compte protégé par un SMS, qui s’est offert une passkey pour les photos. L’attaquant n’est pas obligé de passer par la porte qu’on lui montre ; il est même, sur ce point, le seul acteur du système à lire la documentation jusqu’au bout.

Cet éditorial examine les guichets les plus répandus, pourquoi l’attaquant les préfère, et comment on peut en concevoir un qui ne ruine pas le reste. Il ne prétend pas qu’une récupération parfaite existe. Il prétend qu’on peut en faire une honnête, ce qui est déjà beaucoup plus que ce qu’on rencontre d’ordinaire.

Pourquoi l’attaquant vise la procédure de secours

Il suffit de se mettre un instant à la place de l’attaquant, exercice moralement douteux mais pédagogiquement irremplaçable.

Face à une authentification forte, il a deux options. Attaquer le mécanisme principal, qui a été conçu, revu, audité, souvent par des gens très compétents ; ou attaquer la procédure de secours, qui a été conçue un vendredi après-midi par une équipe produit soucieuse du taux de réussite, puis confiée à un service d’assistance mesuré sur la durée moyenne de traitement des appels. Le choix est vite fait. L’attaquant rationnel ne s’attaque pas à la partie la plus forte d’un système, il cherche la partie qu’on a conçue pour dire oui.

Or la procédure de secours a trois propriétés qui font d’elle une cible idéale.

Elle est conçue pour aboutir. Un parcours d’authentification réussi est celui qui refuse les imposteurs ; un parcours de récupération réussi est celui qui rend l’accès à quelqu’un. Les indicateurs qui pilotent ces deux parcours ne sont pas les mêmes, et ceux de la récupération poussent tous dans le sens de l’acceptation. Personne n’a jamais reçu de prime pour avoir refusé une réinitialisation à un client légitime et furieux.

Elle accepte, par définition, une preuve dégradée. Si l’utilisateur pouvait présenter son facteur principal, il ne serait pas au guichet. La récupération doit donc se contenter d’autre chose : un secret mémorisé qu’on a eu le temps d’oublier, un canal secondaire qu’on a négligé de sécuriser, une connaissance supposée intime qui ne l’est plus, ou la conviction d’un humain au téléphone. Chacun de ces substituts est plus faible que ce qu’il remplace ; sinon, on l’aurait utilisé comme facteur principal.

Elle est rarement exercée, donc rarement surveillée. Un compte ordinaire passe par la récupération une fois tous les quelques années, si jamais. Les équipes de sécurité regardent les connexions, qui sont nombreuses, et oublient les réinitialisations, qui sont rares. C’est l’inverse de ce qu’il faudrait : une réinitialisation est un événement statistiquement exceptionnel, et un événement exceptionnel qui donne les clés du compte mérite plus d’attention qu’un millier de connexions de routine.

Les intrusions publiques les plus commentées de ces dernières années contiennent, avec une régularité lassante, un épisode de ce genre : un appel au service d’assistance, une personne qui se fait passer pour un employé ayant perdu son téléphone, un facteur réinitialisé, puis tout le reste. Je ne détaillerai pas d’affaire particulière, faute de connaître le dossier de l’intérieur. Le mécanisme, lui, n’a pas besoin de détails pour être compris : quand la porte résiste, on sonne à l’interphone.

Petit bestiaire des guichets

Examinons les guichets les plus courants, dans l’ordre approximatif de leur popularité et à peu près dans l’ordre inverse de leur mérite. Le lecteur sensible voudra bien pardonner le ton de naturaliste : on décrit mieux une espèce quand on a renoncé à l’aimer.

Les questions secrètes

La question secrète est un monument. Elle a traversé les décennies avec l’aplomb des institutions qui n’ont jamais eu à justifier leur existence. Le nom de jeune fille de votre mère, votre premier animal de compagnie, la ville de votre naissance, le nom de votre instituteur de CE1 : autant de secrets que vous partagez, au bas mot, avec votre famille, vos amis d’enfance, vos anciens camarades, l’état civil, et quiconque a lu vos publications sur un réseau social à l’époque où l’on y racontait sa vie avec l’innocence des premiers colons.

Le défaut n’est pas l’implémentation, il est conceptuel. Une question secrète est un secret non choisi, non renouvelable et souvent public. Non choisi, parce que c’est la vie qui a décidé de la ville de votre naissance, pas un générateur aléatoire. Non renouvelable, parce qu’on ne change pas de mère après une fuite de données. Public, parce que les faits biographiques sont faits pour circuler. L’utilisateur averti, qui l’a compris, répond n’importe quoi (« Ma première voiture ? Brouette quantique »), transformant la question secrète en un second mot de passe qu’il ne retrouvera jamais. L’utilisateur moyen répond la vérité, et offre un facteur d’authentification à tous ceux qui le connaissent.

Les recommandations publiques des grands référentiels ont, depuis plusieurs années, déconseillé ce mécanisme. Il survit pourtant, comme survivent les fauteuils de salle d’attente : parce qu’il est déjà là, et que personne n’a de budget pour le remplacer.

Le SMS

Le code envoyé par SMS a un mérite indiscutable : tout le monde a un téléphone. C’est aussi son défaut principal, parce qu’un numéro de téléphone n’est pas un appareil, c’est un contrat avec un opérateur, et un contrat peut être transféré.

L’échange de carte SIM (convaincre un opérateur de porter le numéro de la victime sur une carte que l’attaquant détient) transforme le numéro en outil d’attaque. Cette manœuvre ne demande ni compétence technique ni logiciel ; elle demande un peu d’aplomb, quelques informations personnelles et un conseiller de boutique dont la priorité, légitime, est de servir le client qu’il a en face de lui. On retrouve le schéma général de cet éditorial, à une échelle réduite : le guichet de l’opérateur est la poterne du guichet du service. Il y a des poternes dans les poternes, comme il y a des poupées dans les poupées.

S’y ajoutent le recyclage des numéros (un numéro abandonné est réattribué, et son nouveau titulaire reçoit les codes de l’ancien), l’interception sur les réseaux de signalisation téléphonique dans certains contextes, et les logiciels malveillants mobiles qui lisent les messages entrants. Le SMS reste utile comme canal de notification : prévenir l’utilisateur qu’une réinitialisation est en cours est une excellente idée. Il est médiocre comme canal de preuve, et il devrait être présenté comme tel.

Le courriel

La réinitialisation par courriel est le guichet universel du web. On clique sur « mot de passe oublié », on reçoit un lien, on choisit un nouveau secret. Le mécanisme est simple, et sa conséquence l’est tout autant : le compte courriel est la clé maîtresse de tous les comptes qui s’y réinitialisent. Toute la sécurité de ces comptes se ramène à celle d’une boîte aux lettres, qui elle-même se récupère par… un SMS, le plus souvent. La chaîne de confiance ressemble alors à une généalogie de famille royale : tout le monde descend de tout le monde, et l’on finit toujours par découvrir un ancêtre embarrassant.

Pour qui conçoit un service, cela implique au minimum que le lien de réinitialisation soit à usage unique, de courte durée, lié à la demande qui l’a produit, et que l’adresse de destination ne puisse pas être modifiée dans la même session que celle où la réinitialisation est demandée. Il faudrait ajouter une précaution que l’on oublie dès qu’on la connaît : la page « mot de passe oublié » ne doit pas révéler si une adresse possède un compte. Un message qui répond « aucun compte ne correspond à cette adresse » offre à quiconque un annuaire gratuit des clients du service, et à l’attaquant ciblé la confirmation qu’il frappe à la bonne porte. La formule neutre (« si un compte existe, un message a été envoyé ») est moins aimable ; elle est aussi moins bavarde, ce qui en sécurité revient au même.

Ce sont des évidences. Ce sont aussi des évidences qu’on retrouve régulièrement absentes, ce qui prouve qu’une évidence n’est qu’une idée que personne n’a vérifiée.

Le support humain

Le guichet humain est le plus noble et le plus fragile. Noble, parce qu’il est le seul à pouvoir traiter l’imprévu : la personne qui a tout perdu dans un incendie, l’héritier qui doit clore le compte d’un défunt, l’employé dont le téléphone est tombé dans un lac pendant la seule semaine de congés de sa vie. Fragile, parce qu’il est un humain chargé de dire oui à un autre humain qu’il ne voit pas, sous la pression d’un temps de traitement et d’une satisfaction client.

L’ingénierie sociale n’y est pas une attaque technique ; c’est une conversation bien préparée. L’attaquant connaît le nom de la personne, son poste, le nom de son responsable, le jargon interne, le prénom de la collègue d’à côté ; tout cela se trouve sur des profils professionnels publics et dans des fuites antérieures. Il appelle un lundi matin, quand la file d’attente est longue. Il est pressé, poli, un peu désemparé, exactement comme un vrai utilisateur. Le conseiller qui refuse doit assumer le risque d’avoir éconduit un collègue légitime, et la hiérarchie de ce conseiller ne l’en félicitera jamais. Le conseiller qui accepte n’assume, dans la plupart des organisations, aucun risque visible. Une procédure qui fait porter tout le coût du refus sur l’individu et aucun coût de l’acceptation n’est pas une procédure de sécurité, c’est une procédure d’acceptation avec des étapes.

Les codes de secours

Les codes de secours sont le guichet le moins décrié et le plus mal compris. Une liste de codes à usage unique, générée à l’enrôlement, que l’utilisateur est censé conserver « en lieu sûr ». Cryptographiquement, c’est excellent : des secrets aléatoires, à haute entropie, stockables côté serveur sous forme de condensats, inutilisables après usage. Humainement, c’est une énigme : où est ce lieu sûr ?

L’utilisateur consciencieux les imprime et les range quelque part, puis déménage. L’utilisateur pressé les copie dans un fichier sur le bureau de l’ordinateur, ou dans le gestionnaire de mots de passe qui protège le compte qu’ils servent à récupérer, ce qui a l’élégance circulaire d’une clé de coffre-fort enfermée dans le coffre-fort. L’utilisateur normal ne les télécharge pas du tout, et découvre leur existence le jour où il en a besoin, sur un écran qui lui en demande un. Les codes de secours ne sont pas un mauvais mécanisme. Ils sont un bon mécanisme dont la sécurité dépend entièrement d’un comportement humain qu’on ne vérifie jamais.

La poterne dans l’ère des passkeys

On aurait pu espérer que les passkeys simplifient la récupération. Elles la déplacent, ce qui est leur spécialité.

Pour une passkey synchronisée, la récupération du service devient rare : l’utilisateur qui perd son téléphone retrouve ses clés sur le suivant. C’est un progrès. Mais la récupération ne disparaît pas ; elle remonte d’un étage, vers le compte de plateforme qui synchronise le coffre. Au lieu de cent guichets médiocres, un seul guichet, dont dépend tout le reste. Ce guichet est tenu par un fournisseur qui dispose de moyens considérables, et qui doit servir une population considérable ; sa procédure est calibrée pour cette population, pas pour vos administrateurs.

Pour une passkey liée à un appareil, la récupération reste un problème du service. Si l’utilisateur n’a enrôlé qu’une clé et qu’il la perd, il revient au guichet local, avec ses questions secrètes, ses SMS et son support humain. La meilleure clé du monde est alors protégée par le plus faible des recours. C’est la raison pour laquelle l’enrôlement d’au moins deux authentificateurs n’est pas une recommandation de confort, c’est la condition pour que la récupération reste une exception.

Il existe une troisième voie, que les services soucieux de l’utilisateur envisagent de plus en plus : la récupération par un autre appareil déjà enrôlé, ou par des personnes de confiance désignées à l’avance. Elles ont leurs mérites et leurs pièges. Un contact de récupération est un humain, et un humain se trompe, se fâche, ou disparaît. Mais au moins le guichet est-il tenu par quelqu’un que l’utilisateur a choisi, et non par un inconnu payé pour être aimable.

Concevoir une récupération qui ne ruine pas le reste

Assez de moqueries ; elles ne coûtent rien, ne protègent personne, et l’auteur commence à y prendre un plaisir suspect. Voici ce qu’un concepteur peut faire, en partant d’un principe simple : la récupération est une authentification, et elle se conçoit avec les mêmes exigences, ou alors elle se présente explicitement comme une dégradation, avec des contreparties.

Rendre la récupération rare

La meilleure procédure de récupération est celle qu’on n’utilise pas. Exiger deux authentificateurs à l’enrôlement des comptes sensibles, proposer activement l’ajout d’un second, rappeler périodiquement à l’utilisateur de vérifier qu’il a toujours accès à ses moyens de secours. Chaque récupération évitée est une occasion de moins pour l’attaquant. C’est une mesure sans gloire, et c’est probablement la plus efficace.

Rendre la récupération lente

Notre époque tient la lenteur pour un défaut d’ergonomie ; en matière de récupération, c’est une vertu cardinale, et je le dis avec l’autorité de quelqu’un qui n’a jamais été rapide pour rien. L’attaquant est pressé ; l’utilisateur légitime l’est aussi, mais il peut attendre, et surtout il peut s’opposer. Un délai entre la demande de récupération et sa prise d’effet, accompagné d’une notification sur tous les canaux enregistrés, transforme une prise de contrôle silencieuse en affrontement public. L’utilisateur reçoit un message : « une réinitialisation de votre compte prendra effet dans tant d’heures ; si ce n’est pas vous, cliquez ici ». La durée précise est un arbitrage que chaque service doit faire selon son contexte. Le principe, lui, ne se discute pas : le temps est le seul facteur d’authentification que l’attaquant ne peut pas voler.

Rendre la récupération bruyante

Toute récupération, toute modification d’un moyen d’authentification, tout ajout d’une nouvelle passkey doit produire un événement visible : notification à l’utilisateur sur ses autres canaux, journalisation spécifique, et, pour les comptes à privilèges, alerte vers une équipe qui la regarde vraiment. Un compte qui change de clé en silence est un compte qui change de propriétaire en silence.

Rendre la récupération complète

Une récupération réussie doit invalider toutes les sessions actives et tous les jetons de rafraîchissement du compte. Sans cela, un attaquant qui avait obtenu une session avant la réinitialisation la conserve après, et la victime a changé la serrure en laissant le cambrioleur dans le salon. Le fonctionnement des jetons et de leur révocation est rappelé dans la page Authentifier les personnes et les services et dans l’entrée de glossaire JWT, dont la durée de validité ne se négocie pas après coup.

Protéger les codes de secours comme des mots de passe

Les codes de secours se stockent côté serveur sous forme de condensats, avec les mêmes précautions que des mots de passe, parce que ce sont des mots de passe (la page Transformer mots de passe et secrets applicatifs en clés expose pourquoi on ne stocke pas un secret, mais la trace d’un secret). Ils s’affichent une seule fois, se consomment à l’usage, et leur régénération est un événement bruyant au sens précédent. On évite aussi de les présenter comme une formalité : un écran qui dit « téléchargez vos codes » avec un bouton « plus tard » bien visible a déjà choisi pour l’utilisateur.

Outiller le support, et le protéger

Le guichet humain ne se supprime pas, il se protège. Cela suppose :

une procédure écrite qui dit ce que le support a le droit de faire et, surtout, ce qu’il n’a pas le droit de faire, quelle que soit l’insistance de l’appelant ;
une vérification qui ne repose pas sur des connaissances biographiques : rappel sur un numéro connu de l’annuaire (et non sur celui que donne l’appelant), validation par le responsable hiérarchique par un canal indépendant, présentation en personne pour les comptes les plus sensibles ;
une séparation des rôles : la personne qui reçoit la demande n’est pas celle qui l’exécute, pour les comptes à privilèges ;
un droit au refus assumé par l’encadrement. Un conseiller qui refuse une réinitialisation en appliquant la procédure doit être couvert, explicitement, même si l’appelant était légitime et a écrit trois courriels furieux à la direction.

Ce dernier point est le plus difficile, parce qu’il ne relève pas de la technique mais de la culture. Il est aussi le seul qui rende les autres efficaces. Une procédure que la hiérarchie désavoue à la première plainte n’existe que sur le papier, et l’attaquant, qui ne lit pas le papier, le sait.

Traiter les comptes à privilèges à part

Pour un administrateur, la récupération « normale » ne devrait pas exister. La récupération d’un compte à privilèges est un événement de sécurité à part entière : plusieurs personnes, un canal hors bande, une traçabilité, et un délai. Les comptes de secours (break-glass) destinés aux situations où tout le reste a échoué relèvent de la même logique, avec une exigence supplémentaire : ils doivent être testés régulièrement, sans quoi on découvre le jour de la crise que le coffre qui les contient est lui-même protégé par le compte qu’on essaie de récupérer. La rubrique Identités, accès et habilitations les range parmi les privilèges, et c’est leur place.

Pour un service qui gère lui-même ses comptes, un premier état des lieux tient souvent en une requête de lecture. Supposons une table des moyens de récupération dans le schéma d’authentification :

-- Lecture seule. Schéma hypothétique : adapter les noms de tables et de colonnes.
-- Quels moyens de récupération protègent les comptes à privilèges ?
SELECT r.method, count(DISTINCT a.id) AS comptes
FROM accounts a
JOIN recovery_methods r ON r.account_id = a.id
WHERE a.role IN ('admin', 'finance')
GROUP BY r.method
ORDER BY comptes DESC;

Si le SMS ou les questions secrètes apparaissent dans ce résultat pour des comptes d’administration, la sécurité réelle de ces comptes est celle du SMS ou des questions secrètes, quoi que dise la politique d’authentification.

Le meilleur argument contre cet éditorial

Il faut maintenant laisser parler la partie adverse, et elle a de bons avocats, ce qui, dans le domaine judiciaire comme ailleurs, n’est pas toujours une garantie de vérité mais l’est ici.

Une récupération trop sûre produit des victimes, elle aussi. Chaque utilisateur légitime qui ne parvient pas à récupérer son compte est un échec de sécurité au sens large : perte de données, perte d’argent, perte d’accès à des services essentiels, parfois perte d’un pan de vie numérique. Pour un particulier âgé qui a perdu son téléphone et ne se souvient d’aucun code, un délai de plusieurs jours, un refus du support et l’exigence d’un second authentificateur qu’il n’a jamais compris sont une violence réelle. La disponibilité est une propriété de sécurité, et une récupération impraticable la sacrifie. Pour la plupart des services grand public, le nombre d’utilisateurs légitimes bloqués par une procédure trop stricte dépasserait de loin le nombre d’attaques qu’elle déjoue.

Ensuite, l’attaquant ciblé trouvera toujours un autre chemin. Si la récupération est inattaquable, il volera la session, compromettra le poste ou corrompra un initié. Durcir le guichet à l’extrême revient à déplacer l’attaque sans l’empêcher, au prix de l’expérience de millions de gens.

Ces deux arguments sont justes, et je ne vois pas de manière honnête de les écarter. Ils conduisent à une conclusion que je partage : il n’existe pas de procédure de récupération unique qui convienne à tous les comptes. Le particulier et l’administrateur système ne doivent pas passer par le même guichet. Pour le premier, la tolérance à l’erreur et la bienveillance priment, avec du délai et du bruit pour compenser. Pour le second, la rigueur prime, et l’inconfort fait partie de la fonction : un compte qui peut éteindre l’entreprise peut bien attendre un jour et un second avis avant d’être rendu. L’erreur la plus répandue n’est ni l’excès de rigueur ni l’excès de souplesse : c’est d’appliquer la même procédure aux deux, et c’est toujours celle du particulier qui l’emporte, parce qu’il est plus nombreux.

Ce que je ne sais pas

Je ne sais pas mesurer la part des compromissions qui passent par la récupération. L’intuition du métier, et le récit des intrusions publiques, la placent haut. Je n’ai pas de chiffre fiable, et je me méfie de ceux qui circulent, dont la méthode est rarement publiée. Le raisonnement de cet éditorial repose sur la structure du problème, qui me paraît solide, pas sur une statistique, qui me manque.

Je ne sais pas quelle durée de délai est la bonne. Quelques heures laissent peu de temps à la victime pour réagir ; plusieurs jours rendent le service inutilisable pour qui en a un besoin urgent. Toute valeur que je donnerais serait une préférence déguisée en recommandation. La bonne valeur dépend de ce que le compte protège et de la probabilité que l’utilisateur légitime voie la notification à temps.

Je ne sais pas ce que deviendra la vérification d’identité à distance. Les parcours fondés sur un document d’identité et une vidéo en direct se répandent pour la récupération des comptes sensibles. Leur robustesse face aux contenus synthétiques de plus en plus convaincants est un sujet qui bouge vite, et je n’ai pas d’avis assez informé pour dire s’ils seront, dans quelques années, un rempart ou une nouvelle poterne.

Je ne sais pas si les utilisateurs peuvent être amenés à gérer des moyens de secours. Tout ce qui précède suppose qu’un second authentificateur, des codes de secours ou des contacts de confiance soient effectivement configurés. L’expérience collective de la sauvegarde domestique incite au pessimisme, mais je n’exclus pas que de meilleures interfaces fassent mentir ce pessimisme.

Ce qui reste

La récupération de compte n’est pas une fonction annexe de l’authentification, c’est son envers. On peut concevoir une porte admirable ; si le guichet d’à côté rend les clés à qui les demande poliment, la porte est un décor.

Trois idées me semblent tenir. Que la sécurité d’un compte est le minimum de celle de ses chemins d’accès, et que la récupération en est un, souvent le plus faible. Que l’on peut rendre ce chemin rare, lent, bruyant et complet, et que ces quatre propriétés coûtent peu comparées à ce qu’elles évitent. Et que la procédure de secours d’un administrateur ne doit pas être celle d’un particulier, ce qui paraît évident et se trouve démenti dans une proportion inquiétante des systèmes où personne n’a posé la question.

Reste un angle que cet éditorial a laissé de côté, et qui n’est pas mince. On a parlé tout du long de personnes qui perdent leur téléphone. Il existe, dans chaque système d’information, une population bien plus nombreuse qui n’a pas de téléphone, pas de mère, pas de ville natale, et pas de guichet : des comptes qui ne dorment jamais, que personne ne récupère parce que personne ne se souvient de les avoir créés. Ils mériteront leur propre éditorial.

🐝 Ce qui arrive si on s’en passe

Une récupération conçue comme une formalité ne se contente pas d’ouvrir le compte : elle remet à l’attaquant des moyens d’authentification parfaitement valides, émis par le service lui-même. Toutes ses actions ultérieures portent alors l’identité de la victime, et les journaux, qui n’enregistrent que des connexions régulières, les lui imputent sans hésiter. Il lui suffit ensuite de remplacer le courriel et le téléphone de secours pour que la victime, à son tour, ne puisse plus rien prouver au guichet par lequel il est passé. La poterne, une fois franchie, se referme derrière le nouveau propriétaire.

🦫 Explication de la marmotte 🍫

Un compte en ligne est protégé par une méthode principale d’authentification : mot de passe, code reçu en second facteur, ou clé d’accès liée à l’appareil. Quand une personne perd ce moyen, le service lui propose une procédure de récupération pour retrouver l’accès. Par définition, cette procédure accepte une preuve plus faible que la méthode principale, sinon la personne n’en aurait pas besoin. Le niveau réel de sécurité du compte est donc celui du plus faible des deux chemins. Les procédures courantes ont chacune leurs défauts. Les questions secrètes reposent sur des faits de la vie souvent connus d’autres personnes et impossibles à changer. Le code envoyé par message texte dépend d’un numéro de téléphone, qu’un attaquant peut faire transférer sur sa propre carte en trompant l’opérateur. Le courriel de réinitialisation rend tous les comptes dépendants d’une seule boîte aux lettres. Le support humain peut être manipulé par un appelant bien renseigné. Les codes de secours sont solides, mais souvent perdus ou mal rangés. Pour limiter ces risques, on rend la récupération rare, en demandant deux moyens d’authentification ; lente, avec un délai avant qu’elle prenne effet ; bruyante, avec des notifications sur tous les canaux ; et complète, en fermant toutes les sessions ouvertes. Le support suit une procédure écrite, vérifie par un canal indépendant et peut refuser sans être désavoué. Les comptes d’administrateurs suivent une procédure plus stricte que ceux des particuliers.

Pages voisines

La citent

La récupération de compte, maillon faible

Elle cite

: les deux pages se citent l’une l’autre.