Six chiffres. Six malheureux chiffres qui changent toutes les trente secondes, et pour les avoir, je dois lâcher mon clavier, chercher mon téléphone, le déverrouiller, trouver la bonne appli… alors que je suis déjà devant mon ordinateur. Ça paraît quand même raisonnable de vouloir les récupérer directement dessus, non ?
Et pourtant, j’ai encore cinq ou six applications d’authentification sur le mobile. J’aimais bien Authy quand il existait sur ordinateur. Avec 2FAS Auth, l’extension du navigateur va encore demander le code au téléphone. Et à force de passer d’une appli à l’autre, j’ai toujours la même petite inquiétude : si demain le téléphone me lâche, est-ce que je retrouve mes accès ailleurs ?
Et puis récemment, je suis tombé sur Ente Auth, une application d’authentification gratuite et open source, disponible sur Windows, Mac, Linux, Android, iPhone et iPad. Elle synchronise les comptes dans un coffre chiffré de bout en bout, avec en plus un accès web. Je l’ai installée sur mon téléphone et sur mon ordinateur, puis j’ai transféré mes comptes depuis 2FAS. C’est ce premier retour d’usage que je présente dans la vidéo.
La vidéo complète cet article avec mon premier retour sur téléphone et ordinateur, le transfert de mes comptes depuis 2FAS et les fonctions qui me plaisent. L’auto-hébergement reste une piste à examiner.
Pourquoi Ente plutôt qu’une sixième appli au hasard
Ce que je veux, c’est retrouver mes codes sur le téléphone et sur l’ordinateur, sans devoir faire approuver chaque copie par le mobile. Ente propose des applications qui génèrent les codes sur chacun de ces appareils, une fois les comptes configurés et synchronisés.
L’appli est gratuite, synchronisation hébergée par Ente comprise. Le code est ouvert, et tu peux même choisir ton propre serveur. Ça me tente bien, mais je vais d’abord comprendre le fonctionnement normal avant de me rajouter de l’administration système pour six chiffres (j’en suis tout à fait capable, hein, c’est juste que j’ai aussi une vie).
Ente n’est pas la seule avec des versions ordinateur, Proton Authenticator et Zoho OneAuth en ont aussi. J’ai rangé toutes ces différences dans le comparatif des applications de double authentification, ici je me concentre sur Ente. Les téléchargements sont sur le site officiel d’Ente Auth.
Sur quels appareils on peut l’installer ?
Ente annonce des applications Windows, macOS, Linux et Android, plus une application iOS pour iPhone et iPad. Et une interface web donne accès au coffre synchronisé depuis le navigateur.
Sur Mac, il existe une vraie version desktop, y compris pour les Mac Intel. Je le précise parce qu’une appli iPhone autorisée sur certains Mac Apple Silicon, ce n’est pas tout à fait la même chose qu’une version ordinateur. Côté montres, par contre, pas de version officielle Apple Watch ou Wear OS (dommage, mais je survivrai).
Sans compte, avec compte, ou sur ton propre serveur
Ente Auth peut s’utiliser sans compte. Dans ce cas, les secrets restent sur l’appareil, sans aucune synchro. Ça peut te convenir si tu veux du 100 % local, mais il faut alors organiser une sauvegarde : réinstaller l’appli sur un autre appareil ne fera pas réapparaître tes comptes par magie.
Avec un compte, les appareils récupèrent les mêmes données chiffrées depuis le serveur. Donc oui, le cloud est bien là dès que tu actives la synchro, même avec une appli installée sur ton ordinateur.
Et enfin, tu peux remplacer les serveurs d’Ente par ton installation perso. Les applis doivent alors être configurées pour pointer vers ton instance. C’est un choix de serveur et de maintenance, pas une case magique qui sauvegarde tout sur le NAS dès qu’on la coche (j’aurais bien aimé, remarque).
Où passent tes secrets d’authentification ?
Trois façons d’utiliser Ente Auth, et à chaque fois une réponse différente à la question « qui garde la copie ».
Pas de synchronisation. Il faut prévoir un export ou une sauvegarde locale, sinon un téléphone perdu emporte tout avec lui.
La synchronisation passe par les serveurs d’Ente, qui ne reçoivent que des données chiffrées. Chaque appli retrouve les mêmes comptes.
Même principe, mais sur ton VPS ou ton NAS. L’hébergement, les mises à jour et les sauvegardes du serveur deviennent ton affaire.
Dans les trois cas, les codes sont calculés dans l’application. Ce qui change, c’est l’endroit où le coffre chiffré est copié, et qui doit s’occuper de le sauvegarder.
Non, le serveur ne t’envoie pas un code toutes les trente secondes
Quand un site te donne un QR code pour configurer sa double authentification, ce QR contient notamment un secret. L’authentificateur garde ce secret, puis utilise l’heure pour calculer les codes temporaires, et le service a de quoi vérifier le résultat de son côté.
Une fois configurée, l’appli peut donc continuer à calculer les codes hors ligne. La synchro sert à retrouver les comptes et leurs changements sur les autres appareils. C’est pour ça qu’une panne du serveur de synchro n’a pas du tout le même effet qu’une panne du seul téléphone qui contenait les secrets… la deuxième est nettement plus pénible.
Par contre, il faut que l’appareil soit à la bonne heure. Si deux appareils affichent des codes différents, l’horloge fait partie des premières choses à vérifier (avant de tout réinstaller en râlant, conseil d’ami).
Moi c'est Xavier
Je teste le matériel sur la durée, en van et au quotidien, et je dis ce qui ne va pas. Si ça vous évite un mauvais achat, laissez votre adresse.
Ce que vous souhaitez recevoir :
Ce que protège vraiment le chiffrement de bout en bout
Le contenu du coffre est chiffré avant d’être envoyé. Les clés qui servent à le lire sont protégées côté client, le serveur ne reçoit pas simplement la liste de mes secrets en clair. Ça limite ce qu’une copie de la base du serveur pourrait révéler.
Ça ne protège pas de tout, évidemment. Un ordinateur infecté, un appareil déverrouillé entre de mauvaises mains ou une interface web modifiée peuvent exposer les données au moment où elles sont utilisées. Et un mot de passe faible reste un mauvais départ, même avec le meilleur chiffrement du monde.
Je préfère donc regarder ce que fait le produit plutôt que de lui coller une étiquette « sécurisé » à côté du logo (vingt-cinq ans de marketing, je sais ce que vaut une étiquette). L’état de ton ordinateur et la façon dont tu ranges tes sauvegardes comptent tout autant.
L’héberger sur mon VPS ou mon NAS ?
Le serveur d’Ente est open source et peut se déployer notamment avec Docker. Il faut ensuite gérer l’accès, la configuration et les sauvegardes. Le service peut aussi rester sur un réseau privé accessible par VPN, si c’est compatible avec les appareils que tu veux utiliser.
Cette option me plaît, j’aime bien garder la main sur l’hébergement. Mais elle me rend aussi responsable de la maintenance. Et une sauvegarde rangée uniquement sur le serveur qui vient de tomber en panne… ne résout pas grand-chose. Je garderais un export chiffré ailleurs, et un moyen indépendant de récupérer l’accès à l’hébergeur.
Pour ce premier article, je ne vais pas te présenter une installation Ente perso comme si elle était déjà faite. La procédure officielle existe, le choix de notre déploiement reste à faire.
Mon transfert depuis 2FAS et les précautions à garder
J’ai exporté mes comptes depuis 2FAS, puis Ente Auth les a tous récupérés. Ça s’est bien passé dans mon cas. Pour changer d’application, mieux vaut ensuite vérifier les connexions sur chaque appareil et tester la restauration d’un export avant de supprimer l’ancienne configuration.
Pour Google Authenticator et 2FAS, il existe des possibilités d’export à examiner. Avec Authy et Microsoft Authenticator, la migration peut demander de reconfigurer les comptes directement sur les services. Tout dépend de l’appli de départ et du type de compte.
Ente propose aussi ses propres exports chiffrés. Le mot de passe de l’export doit être conservé précieusement, et il faut vérifier qu’on arrive à réimporter le fichier avant de compter dessus.
Une sauvegarde qui n’a jamais été restaurée, c’est une sauvegarde dont tu ne sais pas si tu sauras te servir. Je garderais l’ancienne application et les codes de récupération sous la main pendant toutes les vérifications.
Ce qui m’a plu dans ce premier essai
Ce qui me plaît, c’est de retrouver mes codes sur l’ordinateur sans sortir le téléphone. J’apprécie aussi l’affichage du prochain code : j’arrive souvent au moment où le précédent va expirer. Les groupes et la recherche permettent de retrouver le bon service sans parcourir toute la liste.
Pour l’instant, j’ai choisi la synchronisation hébergée par Ente. L’idée d’utiliser mon propre NAS ou mon VPS m’intéresse, mais ce déploiement n’est pas fait. La restauration complète d’une sauvegarde reste aussi un point à vérifier ; ce premier retour ne remplace pas ce test.
Bref, je pars d’un besoin assez terre à terre : retrouver mes codes sur mes appareils, et savoir comment les récupérer si l’un d’eux me lâche. Ente répond déjà à plusieurs choses qui m’agaçaient avec mes autres applications. Il reste à voir si j’aurai toujours le même avis à l’usage.
Questions fréquentes sur Ente Auth
Faut-il payer Ente Photos pour utiliser Ente Auth ?
Non. Ente Auth est une application gratuite, distincte du service photo. Sa synchronisation ne demande pas de souscrire une offre payante Ente Photos.
Peut-on garder Ente Auth et son ancienne application en parallèle ?
Oui. Si les deux applications ont le même secret et la bonne heure, elles affichent le même code. Ce n’est pas une synchronisation pour autant : un compte ajouté dans l’une n’apparaîtra pas dans l’autre.
Supprimer un code dans Ente désactive-t-il la double authentification du site ?
Non. Le site continuera à demander son second facteur. Il faut changer la configuration dans les paramètres de sécurité du site ; supprimer seulement l’entrée dans l’application peut te priver du code dont tu as besoin.
Ente Auth peut-il remplacer les validations reçues par SMS ou par notification ?
Seulement si le service propose un authentificateur TOTP compatible. Les validations propres à une banque ou à un compte professionnel peuvent nécessiter leur application dédiée.
Que se passe-t-il si j’oublie le mot de passe de mon compte Ente ?
Avec un chiffrement de bout en bout, Ente ne peut pas déchiffrer ton coffre à ta place. C’est la clé de récupération affichée à la création du compte qui permet de retrouver l’accès : elle se note et se range à l’abri, comme les codes de récupération de tes services.
Pourquoi le fichier exporté a-t-il un autre mot de passe ?
Le mot de passe choisi au moment de l’export protège ce fichier précis. Il n’est pas forcément identique au mot de passe du compte Ente, et changer le mot de passe du compte ne modifie pas celui d’un export déjà créé.
Peut-on se contenter de copier les fichiers de l’app en mode local ?
Ente indique que le coffre local dépend d’une clé protégée par le système. Une copie de la base ou un transfert du système peut donc ne pas suffire. Les exports chiffrés et les sauvegardes locales prévus dans l’app sont les moyens de récupération documentés.
Peut-on verrouiller l’accès à l’application ?
Oui, l’application propose un verrouillage de son interface. Il empêche quelqu’un qui a ton appareil en main d’ouvrir directement tes codes, mais c’est une protection distincte du chiffrement du coffre.
Connecté partout, et le reste du voyage
Deux ans de van à temps plein, et l'Algarve comme port d'attache depuis. On continue de partir, en van ou autrement, et on raconte ce qu'on trouve en chemin. Un e-mail quand on a quelque chose à dire, pas plus.
Ce que vous souhaitez recevoir :