Authentification à deux facteurs et applications installées en sideloading

L’authentification à deux facteurs (2FA) est l’une des mesures de sécurité les plus efficaces que vous puissiez utiliser, et elle devient particulièrement importante lorsque vous sideloadez des applications. Utiliser des applications en dehors de l’App Store introduit des considérations uniques en matière de 2FA, qu’il s’agisse de la façon dont certains outils de sideloading interagissent avec votre Apple ID ou du fonctionnement des applications d’authentification une fois sideloadées. Ce guide couvre tout ce que vous devez savoir.

Pourquoi la 2FA compte encore plus avec le sideloading

Le sideloading élargit la surface d’attaque de votre iPhone. Si une application malveillante venait à voler vos identifiants de connexion pour un compte important, la 2FA agit comme un rempart essentiel : l’attaquant a besoin non seulement de votre mot de passe, mais aussi de l’accès à votre appareil d’authentification. Sans 2FA sur les comptes importants, un identifiant compromis suffit à un attaquant. Avec la 2FA, il lui faut également le code à usage unique.

C’est pourquoi activer la 2FA sur chaque compte important devrait être un prérequis, et non une réflexion après coup, pour quiconque sideload des applications.

Types de 2FA et leurs niveaux de sécurité

2FA par SMS

La forme la plus courante, mais aussi la plus faible. Les codes SMS peuvent être interceptés via des attaques par SIM-swapping (où les attaquants convainquent votre opérateur de transférer votre numéro de téléphone vers leur carte SIM). Cela reste mieux que l’absence de 2FA, mais passez à une méthode plus sûre si possible.

Applications d’authentification TOTP

Les applications TOTP (Time-based One-Time Password, comme Google Authenticator, Authy ou 1Password) génèrent des codes localement sur votre appareil, sans aucune communication avec un serveur. Ces codes changent toutes les 30 secondes et sont bien plus difficiles à intercepter que les SMS. C’est la méthode de référence recommandée pour la plupart des comptes.

Clés de sécurité matérielles

Des dispositifs physiques (comme YubiKey) qui doivent être physiquement présents pour l’authentification. La forme de 2FA la plus robuste disponible. Particulièrement utile pour les comptes e-mail, bancaires et de développeur. Certaines YubiKeys prennent en charge le NFC, ce qui facilite leur utilisation avec l’iPhone.

Clés d’accès (Passkeys)

Le système de clés d’accès d’Apple intègre une authentification forte directement dans l’appareil, remplaçant entièrement les mots de passe pour les services pris en charge. Les clés d’accès résistent au phishing : elles se synchronisent via le trousseau iCloud, et il n’y a aucun mot de passe qu’une application malveillante pourrait voler et réutiliser.

Comment les outils de sideloading interagissent avec votre Apple ID

Il s’agit d’un point essentiel à comprendre. Certains services de sideloading demandent votre Apple ID et votre mot de passe pour signer des applications en votre nom. Si vous utilisez un tel service :

• On vous demandera votre code 2FA lors de la procédure de connexion
• Une fois authentifié, le service peut conserver des identifiants valables longtemps, sans nécessiter la 2FA à chaque action ultérieure
• Vous faites confiance au service pour ne pas détourner l’usage de vos identifiants

Scarlet iOS signe les applications avec un certificat partagé plutôt qu’avec votre Apple ID, il ne demande donc pas votre mot de passe Apple ID. La contrepartie est qu’Apple peut révoquer ce certificat partagé à tout moment. Si un service de sideloading demande votre Apple ID, demandez-vous si l’avantage justifie de donner à ce service l’accès à votre compte. Pour les services présentant un risque plus élevé, envisagez de créer un Apple ID distinct réservé uniquement au sideloading.

Applications d’authentification installées par sideloading

Certains utilisateurs choisissent d’installer par sideloading des applications d’authentification indisponibles sur l’App Store, par exemple une application TOTP spécifique, une application compagnon pour clé de sécurité matérielle, ou une solution d’authentification auto-hébergée. Si c’est votre cas, pensez à :

Les codes de secours sont indispensables

Si vous installez par sideloading une application d’authentification et qu’elle cesse de fonctionner (en cas de révocation du certificat, par exemple), vous pourriez être bloqué hors des comptes qui l’utilisent pour la 2FA. Enregistrez toujours les codes de secours lors de la configuration de la 2FA sur n’importe quel service. Conservez ces codes de secours dans un endroit sûr et hors ligne.

Exportez vos graines TOTP

La plupart des applications d’authentification permettent d’exporter vos graines TOTP (les secrets sous-jacents utilisés pour générer les codes). Exportez-les régulièrement et conservez-les en sécurité. Si votre application cesse de fonctionner, vous pourrez les importer dans une autre application d’authentification.

Utilisez plusieurs appareils ou une méthode de secours

Ne comptez pas uniquement sur une application d’authentification installée par sideloading pour vos comptes critiques. Gardez une méthode d’authentification de secours (un second appareil, une clé matérielle, ou des codes de secours) accessible.

Protéger spécifiquement votre Apple ID

Votre Apple ID est la clé maîtresse de votre appareil iOS. Il doit bénéficier de la protection 2FA la plus solide possible :

• Assurez-vous que la 2FA d’Apple est activée : Réglages → [Votre nom] → Connexion et sécurité → Authentification à deux facteurs
• Vérifiez vos appareils de confiance : les numéros de téléphone de confiance se trouvent sous Connexion et sécurité, et les appareils de confiance sont listés en bas de l’écran [Votre nom]
• Supprimez tout appareil ou numéro de téléphone que vous ne reconnaissez pas
• Utilisez un mot de passe fort et unique, non utilisé ailleurs

Recommandations 2FA compte par compte pour les utilisateurs de sideloading

• Apple ID : la 2FA native d’Apple (obligatoire)
• Compte email : clé matérielle ou application TOTP, car l’email est le moyen de récupération pour tous les autres comptes
• Banque : ce que votre banque propose, en vérifiant régulièrement les accès non autorisés
• Réseaux sociaux : application TOTP au minimum
• Gestionnaire de mots de passe : application TOTP, plus un kit de secours conservé en lieu sûr hors ligne

Que faire si les codes 2FA ne fonctionnent pas

Les codes TOTP dépendent du bon réglage de l’horloge de votre iPhone. Si les codes ne fonctionnent pas :

1. Vérifiez que l’heure de votre iPhone est réglée automatiquement : Réglages → Général → Date et heure → Réglage automatique : activé
2. Si vous utilisez une application TOTP, cherchez une option « synchroniser l’heure » ou « corriger l’heure » dans ses réglages
3. Redémarrez l’application d’authentification
4. Utilisez les codes de secours en cas d’urgence si nécessaire

Pour résumer

La 2FA et le sideloading ne sont pas en conflit : ils fonctionnent ensemble pour créer une expérience sécurisée. Activez une 2FA solide sur tous les comptes importants, soyez prudent avec les outils de sideloading qui demandent votre Apple ID, et prévoyez des méthodes d’authentification de secours au cas où une application d’authentification sideloadée serait perturbée.

Pour des pratiques de sécurité plus complètes, consultez notre guide sur la sécurité du sideloading sur iOS et sur comment protéger votre vie privée avec des boutiques d’applications tierces.

Un sideloading sécurisé commence par une base solide : découvrez Scarlet iOS dès aujourd’hui.