Applications d’authentification : je cherche encore la bonne

Les applications d’authentification, c’est un peu comme les partis politiques… elles ont toutes deux ou trois bonnes idées, mais à la fin, tu choisis le moins mauvais. Celui que tu prends un peu par dépit, parce que chez les autres il y a toujours un truc qui te gonfle (et comme en politique, tu finis par en garder plusieurs en même temps, histoire de ne vexer personne).

Moi, j’en ai encore cinq ou six sur mon téléphone. Zoho OneAuth, Microsoft Authenticator, 2FAS Auth, Authy, Google Authenticator… rien qu’avec celles-là, j’ai de quoi monter une coalition, alors que tout ce que je veux, c’est me connecter à mes comptes (pas former un gouvernement).

Pendant longtemps, j’aimais bien Authy, justement parce que je retrouvais mes codes sur l’ordinateur. Et puis les applications desktop ont été arrêtées, et hop, retour au téléphone. Avec 2FAS, l’extension du navigateur me demande aussi de valider sur le mobile… ça convient sûrement à plein de monde, mais perso, c’est exactement ce geste-là que j’aimerais arrêter de faire.

Donc j’ai tout repris depuis le début, avec une question simple : quelle application de double authentification choisir quand on veut retrouver ses codes sur plusieurs appareils, garder une sauvegarde et savoir où partent ses données ? J’en ai retenu onze. Parce que « elle fait la double authentification », franchement, ça ne me suffit plus tellement comme programme électoral.

Les onze applications côte à côte

Le premier tableau, c’est celui des fonctions. Tu peux filtrer les applis gratuites, open source, disponibles sur ordinateur ou hébergeables chez toi, puis basculer sur la partie sécurité et sauvegardes. Les appareils, je les ai mis dans un second tableau un peu plus bas, parce qu’entre une vraie application Windows, une page web et une extension qui va réveiller ton téléphone, il y a quand même trois réalités différentes (que les fiches marketing adorent ranger dans la même case).

Ce que je demande, moi, à une appli de codes

Alors, les trois quarts du temps, quand un service me demande un code, je suis devant mon ordinateur. J’ai le clavier sous les doigts, l’écran devant les yeux, et il faut quand même aller chercher un autre appareil pour recopier six chiffres… qui expirent pendant que je les tape, évidemment.

Ensuite, je veux retrouver les mêmes comptes partout. Si j’en ajoute un sur le téléphone, j’aimerais le voir arriver sur l’ordinateur sans tout reconfigurer. Et si demain le téléphone me lâche, j’ai pas envie de perdre l’accès à mes comptes en même temps. Quand tu commences à penser à tout ce qui est configuré dessus, tu le regardes déjà un peu différemment, ton téléphone.

Voilà mes critères. Si tu n’utilises qu’un téléphone et que tu ne veux rien synchroniser, tu peux choisir autre chose et avoir parfaitement raison. Mon « moins mauvais » dépend surtout de ce que je lui demande (et apparemment, je lui demande déjà beaucoup).

Onze candidats, et chacun son petit défaut

Ente Auth : celle que j’ai commencé à utiliser

Ente Auth coche à peu près toutes mes cases : gratuit, open source, avec des applications Windows, macOS, Linux, Android, iPhone et iPad, plus un accès web. La synchronisation est chiffrée de bout en bout, et le serveur peut être celui d’Ente… ou le tien.

Je l’ai installée sur mon téléphone et sur mon ordinateur, puis j’ai transféré mes comptes depuis 2FAS. J’en parle dans mon premier retour sur Ente Auth. Le transfert s’est bien passé dans mon cas ; l’auto-hébergement et la restauration complète d’un export restent à vérifier.

Proton Authenticator : l’autre option gratuite avec des apps ordinateur

Proton Authenticator existe lui aussi sur Windows, macOS, Linux, Android, iPhone et iPad, avec en prime une version Apple Watch. Gratuit, open source, synchronisation chiffrée via un compte Proton, et sans compte tu peux quand même l’utiliser en local.

Si tu es déjà chez Proton, ça vaut le coup d’œil. Attention quand même : avoir Proton Mail ne veut pas dire que tes codes sont déjà synchronisés quelque part, il faut configurer l’authentificateur pour ça.

Zoho OneAuth : il ne sert pas qu’aux comptes Zoho

Zoho OneAuth est gratuit et génère les codes des services tiers, pas seulement ceux de Zoho. On le trouve sur Windows, Mac, Android, iPhone, iPad et Apple Watch. La synchro passe par un compte Zoho, le mode invité garde tout en local, et pour la sauvegarde cloud, Zoho demande une phrase secrète qui chiffre les données avant l’envoi.

Je l’ai déjà sur le téléphone, donc ses versions ordinateur font partie des pistes à creuser avant de rajouter encore une appli à ma collection. Par contre, son code n’est pas publié en open source.

2FAuth : tes codes sur ton propre serveur

2FAuth, c’est une application web gratuite et open source, pensée pour tourner sur ton VPS ou ton NAS. Tu ouvres ton instance dans le navigateur, et tu as tes codes, avec une API pour ceux qui aiment brancher des trucs ensemble (suivez mon regard).

Le fonctionnement est différent des autres : c’est le serveur qui génère les codes, et c’est lui qui détient la clé de déchiffrement quand le chiffrement de la base est activé. Il doit donc rester joignable. Pas de serveur, pas de code, contrairement à une appli installée qui calcule tout hors ligne.

Google Authenticator : si, il synchronise

Google Authenticator synchronise bien les codes entre appareils mobiles, avec le même compte Google. Tu peux aussi l’utiliser sans compte et transférer tes données par QR code. La documentation parle d’un chiffrement en transit et au repos, sans parler de chiffrement de bout en bout.

Mon souci avec lui, c’est l’ordinateur : Google ne propose pas d’application desktop officielle. Dire qu’il ne synchronise pas serait faux, dire qu’il ne répond pas à mon besoin sur PC ou Mac, c’est plus juste (la nuance, c’est important, surtout en campagne).

Microsoft Authenticator : quand le boulot te l’impose

Microsoft Authenticator fait plusieurs choses à la fois : codes temporaires, validations de connexion et connexion sans mot de passe pour les comptes compatibles. Il propose une sauvegarde, mais la restauration reste limitée au même système : une sauvegarde iPhone ne revient pas sur Android.

Pas d’application PC ou Mac non plus. Et attention, mettre tes codes dans une autre appli ne remplace pas les demandes de validation d’un compte professionnel. Dans certains cas, il faudra le garder, même avec la meilleure volonté de faire du ménage.

Authy : j’aimais justement sa version ordinateur

Authy fonctionne toujours sur plusieurs appareils mobiles, avec les sauvegardes activées. Le réglage Multi-device sert à autoriser l’ajout de nouveaux appareils, et un mot de passe de sauvegarde protège les données chiffrées.

Ce qui me manque, c’est l’ordinateur : Twilio a arrêté les applications desktop le 19 mars 2024. Et comme il n’y a pas d’export natif, partir vers une autre appli demande un peu de patience (beaucoup, en fait, quand tu as pas mal de comptes).

2FAS Auth : l’extension te renvoie toujours au téléphone

2FAS Auth est gratuit et open source. Sa synchro passe par iCloud sur Apple ou Google Drive sur Android, et entre les deux mondes, c’est export puis import. Il gère aussi l’Apple Watch.

Sur ordinateur, l’extension envoie une demande au téléphone, tu approuves, et le code revient dans le navigateur. Je comprends l’intérêt de cette validation, vraiment… mais c’est précisément le moment où je dois aller chercher le téléphone, donc pour moi, ça coince.

Aegis Authenticator : garder la main sur Android

Aegis est gratuit, open source et réservé à Android. Il propose un coffre chiffrable, des exports et des sauvegardes automatiques, et un autre outil peut envoyer le fichier de sauvegarde vers un NAS ou un stockage distant.

Par contre, cette copie ne devient pas une synchronisation automatique entre ordinateur et téléphone. Aegis, c’est pour ceux qui veulent une appli locale sur Android et qui acceptent de gérer leurs sauvegardes eux-mêmes.

Yubico Authenticator : les secrets voyagent dans une clé

L’application Yubico Authenticator est gratuite et son code est publié, mais il te faut une YubiKey compatible avec les codes OATH/TOTP, et ça, ça s’achète. Les secrets restent dans la clé, que tu branches sur les appareils compatibles. Donc pas de cloud du tout.

Windows, Mac, Linux, Android et iPhone sont annoncés, avec des contraintes de connecteur à vérifier selon ta clé. Et il faut prévoir un moyen de secours, parce que perdre la clé, c’est perdre… bon, tu as compris.

Bitwarden Authenticator : l’appli dédiée, pas le gestionnaire

Bitwarden Authenticator est une application mobile gratuite et open source, sur Android, iPhone et iPad. Elle garde les codes en local ou les relie à un coffre Bitwarden pour les synchroniser, et l’appli distingue bien les deux.

Je parle ici de l’authentificateur dédié, à ne pas confondre avec le gestionnaire de mots de passe de la même marque. Petit détail que la documentation précise : la base locale n’est pas chiffrée par l’appli elle-même, même si le système protège l’appareil et chiffre ses sauvegardes.

Moi c'est Xavier

Je teste le matériel sur la durée, en van et au quotidien, et je dis ce qui ne va pas. Si ça vous évite un mauvais achat, laissez votre adresse.

Votre adresse e-mail

Recevoir mes essais

Vous pouvez vous désinscrire à tout moment. Aucune adresse n'est transmise à un tiers.

Quels appareils sont vraiment pris en charge ?

« Multiplateforme », c’est un mot qui peut cacher des choses très différentes. Dans ce tableau, « App » veut dire application officielle, « Web » un accès par le navigateur. Et quand la prise en charge d’une tablette ou d’une montre n’est pas clairement établie, je préfère le dire plutôt que cocher au hasard (le tableau aurait été plus joli, mais faux).

Synchroniser, sauvegarder, utiliser hors ligne : trois choses différentes

La synchronisation fait suivre tes comptes d’un appareil à l’autre. La sauvegarde sert à les restaurer. Et une extension peut simplement aller demander un code au téléphone. On peut avoir l’une sans les autres, et c’est souvent là que tout se mélange.

Les codes TOTP sont calculés avec une clé secrète et l’heure (pour les gens normaux : l’appli et le site partagent un secret, et l’horloge fait le reste). Une appli déjà configurée continue donc à générer ses codes sans Internet, la connexion sert surtout à synchroniser les changements. Avec un service web comme 2FAuth, par contre, ton navigateur dépend du serveur qui génère les codes.

Pour le cloud, je regarde surtout qui peut lire les secrets. Avec un coffre chiffré de bout en bout, les clés restent de ton côté. Un chiffrement dont la clé est sur le même serveur protège autrement. Et l’open source permet d’inspecter le code, ce qui ne garantit pas pour autant qu’il n’y a aucune faille.

Celle que je regarderais selon ton usage

Pour mon besoin à moi, ordinateur et téléphone avec une synchro gratuite, je regarderais d’abord Ente Auth, Proton Authenticator et Zoho OneAuth. Ente ajoute la possibilité de choisir son serveur. Et si ce que tu veux, c’est un service web perso, 2FAuth mérite qu’on le compare à part.

Pour garder tes codes en local sur Android, Aegis répond à une autre logique. Yubico parlera plutôt à ceux qui veulent porter leurs secrets sur une clé physique. Et si ton entreprise utilise des validations Microsoft particulières, une autre appli TOTP ne remplacera pas forcément Microsoft Authenticator.

Moi, j’ai commencé par essayer Ente Auth. L’idée, c’est de retrouver mes codes là où je me connecte, et d’arrêter d’ajouter une appli chaque fois qu’une autre me déçoit… on va déjà essayer de réduire le nombre de candidats sur mon téléphone.

Changer d’appli sans perdre ses accès

Pendant le transfert, je garde l’ancienne application. On importe ce qui peut l’être, on teste les connexions, on vérifie la sauvegarde, et seulement après, on supprime. Quand l’export n’existe pas, il faut reconfigurer la double authentification sur chaque service concerné (oui, un par un, c’est le prix de la liberté).

PS : onze candidats pour un seul poste… et dire qu’on se plaint des premiers tours d’élection.