Avec plus de 200 millions d'utilisateurs actifs par mois, Discord est une cible privilégiée des attaquants. Le client officiel Discord reposant sur le framework Electron, il stocke ses jetons d'authentification en clair ou de façon faiblement protégée dans les bases de données LevelDB locales (%APPDATA%\Discord\Local Storage\leveldb). Les logiciels malveillants de type infostealers (W4SP, PirateStealer) peuvent exfiltrer votre session en quelques millisecondes. L'activation de la 2FA empêche l'attaquant de changer vos identifiants essentiels.
Génération de codes à 6 chiffres toutes les 30 secondes. Bloque le bourrage d'identifiants.
10 codes à usage unique. Le seul moyen certifié de restaurer l'accès en cas de perte du mobile.
Impose le 2FA à tous les administrateurs et modérateurs pour empêcher les raids et suppressions.
01. Modèle de menaces : Pourquoi les comptes Discord sont volés
Un mot de passe complexe ne suffit plus dans le contexte actuel. Trois vecteurs principaux d'attaque compromettent quotidiennement les comptes Discord :
1. Voleurs de jetons (Token Grabbers) et chevaux de Troie Infostealers
Les malwares camouflés en faux jeux vidéo ou bots Discord ciblent les fichiers LevelDB du client pour extraire le jeton de session chiffré ou non chiffré. Le jeton permet à l'attaquant d'effectuer des requêtes API avec votre identité sans mot de passe initial.
2. Campagnes de Phishing par QR Code (Faux abonnements Nitro)
Discord propose une fonction pratique « Scanner pour se connecter ». Des escrocs génèrent des pages Web imitant un cadeau « Discord Nitro 3 mois offerts » qui affichent en réalité le QR code de connexion de l'attaquant. Si vous le scannez avec l'application Discord, vous transférez instantanément votre session au pirate.
3. Prise de contrôle de serveurs via la compromission du personnel
Si un seul modérateur ou administrateur n'a pas activé la double authentification et se fait pirater, l'attaquant peut expulser des milliers de membres, effacer les canaux, ou poster des liens de phishing Web3 malveillants à toute la communauté.
02. Exigence de 2FA pour la modération de serveurs
Pour tout serveur communautaire ou professionnel, activer le paramètre « Exigence d'authentification à deux facteurs pour la modération » est une mesure impérative.
Comment l'activer dans votre serveur :
- Ouvrez les Paramètres du serveur (clic sur le nom du serveur en haut à gauche).
- Dans le menu de gauche, rendez-vous dans la section Sécurité ou Modération.
- Faites défiler jusqu'à Exigence 2FA pour la modération et cliquez sur Activer.
- Saisissez votre code TOTP actuel à 6 chiffres pour confirmer.
03. Configuration pas-à-pas du 2FA TOTP sur Discord
Cliquez sur la roue crantée en bas à gauche de Discord à côté de votre avatar pour ouvrir les Paramètres utilisateur, puis sélectionnez Mon compte.
Dans la section « Authentification à deux facteurs », cliquez sur le bouton Activer l'application d'authentification. Saisissez votre mot de passe pour continuer.
Scannez le code QR affiché avec votre application (Google Authenticator, Microsoft Authenticator, 2FAS, Ente Auth). Important : Cliquez sur « Vous ne pouvez pas scanner ? » pour copier et archiver la clé secrète Base32 hors ligne !
Saisissez le code à 6 chiffres généré par votre application d'authentification et validez. Votre compte Discord est désormais protégé par TOTP !
04. Codes de secours à 8 chiffres : Votre bouée de sauvetage
Dès l'activation de la 2FA, Discord vous invite à télécharger vos codes de secours de secours (10 codes à 8 chiffres).
Le support technique de Discord applique une politique de non-intervention stricte. Si vous perdez votre smartphone sans avoir sauvegardé ces codes de secours, votre compte ne pourra jamais être récupéré par le service client. Vous devrez créer un nouveau compte et repartir de zéro.
Bonnes pratiques de conservation des codes de secours :
- Imprimez-les sur papier physique et conservez-les dans un endroit sûr ou coffre-fort.
- Enregistrez-les dans un gestionnaire de mots de passe chiffré (Bitwarden, 1Password, KeePassXC).
- Ne les stockez jamais sous forme de capture d'écran non chiffrée sur le cloud.
05. Récupération SMS : Praticité face aux risques d'échange de carte SIM
Discord permet d'ajouter un numéro de téléphone comme méthode de secours en cas d'oubli ou d'inaccessibilité de l'application TOTP. Bien que pratique, le SMS expose votre compte au risque de SIM swapping (détournement de carte SIM via ingénierie sociale auprès de l'opérateur mobile).
Si votre compte Discord administre des serveurs importants ou détient des objets virtuels de valeur, il est recommandé de privilégier les clés de sécurité physiques WebAuthn ou la double application TOTP plutôt que la récupération par SMS non chiffré.
06. Clés de sécurité physiques FIDO2 et Passkeys
Discord prend désormais en charge les clés de sécurité matérielles (YubiKey, Titan Security Key) et les clés d'accès (Passkeys / WebAuthn). Ces dispositifs constituent le niveau de protection le plus élevé de l'industrie, car ils lient cryptographiquement l'authentification au domaine discord.com, rendant le phishing par faux domaine ou proxy inverse (Evilginx) mathématiquement impossible.
07. Dépannage et réponse aux incidents
Problème 1 : Discord indique « Code invalide »
Cause principale : Horloge décalée. L'algorithme TOTP tolère un décalage de quelques secondes tout au plus.
Solution : Activez l'heure automatique fournie par le réseau sur votre smartphone ou synchronisez l'horloge dans Google Authenticator (Paramètres > Correction de l'heure pour les codes).
Problème 2 : Smartphone perdu, cassé ou réinitialisé
Solution : Lors de la connexion, cliquez sur « Utiliser un code de secours » et collez l'un de vos codes à 8 chiffres non utilisés. Une fois connecté, rendez-vous immédiatement dans les paramètres utilisateur pour générer un nouveau secret TOTP ou enregistrer un nouvel appareil.
Problème 3 : Suspicion d'infection par un voleur de jeton (Token Grabber)
Action d'urgence : Changez immédiatement votre mot de passe Discord. Changer de mot de passe invalide instantanément tous les jetons d'authentification existants sur tous les appareils, déconnectant tout intrus.
08. Foire aux questions (FAQ)
Le support Discord peut-il retirer la 2FA de mon compte si j'ai perdu mon téléphone ?
Non. Pour des raisons de sécurité strictes, le personnel d'assistance de Discord n'a pas l'autorisation d'annuler manuellement une authentification 2FA sans vos codes de secours.
Puis-je utiliser un générateur TOTP sur ordinateur pour Discord ?
Oui. Tant que l'outil respecte le standard RFC 6238, vous pouvez utiliser des clients comme KeePassXC, 1Password ou notre outil en ligne 100 % côté client pour valider vos clés.
Testez votre clé secrète Discord hors ligne
Validez vos clés secrètes Base32 en toute sécurité avec notre générateur Web Crypto local sans qu'aucune donnée ne quitte votre machine.
Lancer le Générateur Gratuit →