- Ne réinitialisez pas encore votre ancien téléphone : Conservez votre ancien appareil intact jusqu'à avoir vérifié qu'au moins 2 connexions critiques réussissent avec les codes générés par votre nouveau téléphone.
- Attention aux QR codes en plusieurs pages : Si vous possédez plus de 10 comptes, Google Authenticator segmente les données en plusieurs QR codes consécutifs (ex. 1 sur 3, 2 sur 3). Scannez-les tous sans exception.
- La synchronisation Cloud est une arme à double tranchant : Si la sauvegarde sur compte Google simplifie la récupération, la compromission de votre mot de passe Google exposerait l'intégralité de vos jetons 2FA.
- Adoptez une politique de redondance multi-appareils : Scanner le QR code simultanément sur deux appareils lors de la configuration initiale ou conserver des clés hors ligne chiffrées vous protège définitivement contre le bris de matériel.
Synchronisation Cloud Google vs Exportation QR Hors Ligne : Sécurité & Confidentialité
Google a intégré la synchronisation des comptes avec le Cloud (Google Cloud Sync) afin de résoudre le problème historique des utilisateurs perdant définitivement leurs accès après l'égarement d'un téléphone non sauvegardé. Aujourd'hui, par défaut, la connexion à votre compte Google principal synchronise automatiquement l'ensemble de vos jetons TOTP sur vos appareils connectés.
Bien que très pratique, les architectes en sécurité et les profils exposés doivent mesurer précisément les compromis cryptographiques sous-jacents :
| Critère | Synchronisation Cloud Google | QR Code Hors Ligne Point à Point (Recommandé) |
|---|---|---|
| Simplicité du transfert | Instantanée (connexion au compte Google sur le nouvel appareil) | Modérée (nécessite le scan optique physique d'un QR code) |
| Dépendance au réseau | Exige une connexion Internet active et l'accès aux serveurs Google | 100% hors ligne, transmission optique d'écran à capteur photo |
| Point unique de défaillance (SPOF) | Élevé : la compromission du compte Google dévoile toutes les clés 2FA | Nul : stockage isolé strictement lié au matériel physique |
| Compatibilité multi-plateformes | Nécessite d'être connecté au même compte Google sur les deux appareils | Parfaite entre Android et iOS, sans compte cloud requis |
| Souveraineté Zero Knowledge | Les graines secrètes sont hébergées sur l'infrastructure Google | Absolue : les clés brutes ne quittent jamais la mémoire de l'appareil |
Liste de contrôle préalable et règles de sécurité
Évitez toute interruption soudaine de l'application ou tout échec de reconnaissance optique en validant ces prérequis indispensables avant d'entamer la procédure de migration :
- Vérifiez que les deux téléphones disposent d'au moins 50% de batterie ou sont branchés sur secteur.
- Placez-vous dans une pièce bien éclairée sans reflets directs sur les écrans.
- Nettoyez la lentille de l'appareil photo du nouveau téléphone pour éviter tout flou lors de la capture.
- Installez l'application officielle Google Authenticator depuis l'App Store ou le Google Play Store (méfiez-vous des contrefaçons).
- Accordez l'autorisation d'accès à l'appareil photo à l'application sur le nouvel appareil.
- Mettez à jour Google Authenticator sur l'ancien téléphone vers sa dernière version disponible.
Compatibilité multi-systèmes : Google Authenticator utilise une charge utile standard Protobuf encodée sous la forme d'un URI otpauth-migration://. Le transfert s'opère de manière transparente entre Android et iPhone, ainsi qu'entre iPhone et Android, sans la moindre incompatibilité.
Tutoriel étape par étape : Transfert optique QR sans connexion
Suivez le protocole d'exportation optique officiel pour migrer directement vos comptes 2FA sans faire transiter aucune clé par un serveur tiers :
Étape 1 : Ouvrir le menu de transfert sur l'ancien téléphone
Lancez Google Authenticator sur votre ancien téléphone. Touchez votre avatar de profil en haut à droite (ou l'icône de menu), puis sélectionnez « Transférer des comptes » dans le panneau déroulant.
Étape 2 : Authentification biométrique et sélection des comptes
Le système d'exploitation exige votre confirmation biométrique (Face ID, empreinte digitale) ou votre code de déverrouillage. Une fois authentifié, la liste complète de vos jetons 2FA apparaît avec des cases à cocher.
💡 Par défaut, tous les comptes sont sélectionnés. Vous pouvez décocher les comptes personnels si vous effectuez une migration vers un téléphone professionnel.
Étape 3 : Générer le QR code d'exportation (vérifier la pagination)
Appuyez sur « Exporter » ou « Suivant ». Un QR code à haute densité s'affiche à l'écran.
Étape 4 : Scanner avec le nouveau téléphone via « Importer des comptes »
Ouvrez Google Authenticator sur votre nouveau téléphone. Lors de la première ouverture, choisissez « Transférer des comptes existants ? », ou touchez l'avatar de profil ➔ « Transférer des comptes » ➔ « Importer des comptes ».
Pointez le capteur photo vers l'écran de l'ancien téléphone. L'appareil vibre à chaque page validée et vous invite à faire glisser vers le QR code suivant jusqu'à l'importation complète.
Étape 5 : Test de connexion obligatoire (Ne sautez jamais cette étape !)
Tous les comptes transférés s'affichent instantanément sur votre nouvel écran, avec des codes dynamiques se renouvelant toutes les 30 secondes.
La règle d'or : Ouvrez immédiatement votre ordinateur ou une fenêtre de navigation privée, connectez-vous à 1 ou 2 services essentiels (ex. GitHub ou votre boîte mail principale) et saisissez le code à 6 chiffres affiché sur votre nouveau téléphone. Ce n'est qu'après la validation de cette connexion que la migration est certifiée réussie.
Nettoyage de l'ancien téléphone : Règle du zéro résidu
De nombreuses failles de sécurité surviennent lorsqu'un ancien smartphone est donné à un proche, repris en échange d'un nouvel appareil ou revendu d'occasion sans effacement cryptographique complet :
myaccount.google.com ➔ Sécurité ➔ Vos appareils. Repérez l'ancien téléphone et cliquez sur « Déconnexion » pour révoquer l'ensemble des jetons de session actifs.
Architecture de redondance à froid multi-appareils
Compter sur un unique téléphone physique vous expose à la perte, au vol, à l'immersion ou à une défaillance soudaine de carte mère. Mettez en place une architecture de redondance 2FA 3-2-1 pour garantir une continuité d'accès absolue :
Smartphone du quotidien
Utilisé tous les jours avec déverrouillage biométrique pour la génération instantanée des codes.
iPad ou téléphone de secours à domicile
Scanné en simultané lors de la configuration et conservé en lieu sûr dans un bureau ou coffre.
Coffre-fort KeePassXC / Sauvegarde papier
Clés secrètes Base32 brutes enregistrées dans un conteneur hors ligne ou imprimées sous pli sécurisé.
Vérification préalable avec 2FA-Tool : Lorsque vous configurez un nouveau service 2FA ou enregistrez une clé secrète Base32 alphanumérique (ex. JBSWY3DPEHPK3PXP), vous pouvez la tester localement sur 2FA-Tool. Passez votre navigateur en mode avion, collez la clé dans le générateur et vérifiez que le code à 6 chiffres produit correspond exactement à celui de votre application. Tous les calculs s'exécutent côté client via l'API Web Crypto du navigateur.
Dépannage & Foire Aux Questions (FAQ)
Q1 : Les nouveaux codes à 6 chiffres sont rejetés partout comme invalides. Pourquoi ?
99% des rejets de codes proviennent d'une dérive de l'horloge système (Clock Drift). L'algorithme TOTP calcule les jetons HMAC sur des fenêtres strictes de 30 secondes Unix. Si l'horloge de votre nouveau téléphone dévie ne serait-ce que de 15 à 20 secondes, le code produit appartient à la mauvaise tranche horaire.
Comment corriger le problème :
• Android : Dans Google Authenticator, rendez-vous dans Paramètres ➔ « Correction de l'heure pour les codes » ➔ « Synchroniser maintenant ».
• iPhone : Rendez-vous dans Réglages iOS ➔ Général ➔ Date et heure ➔ Désactivez puis réactivez « Réglage automatique » pour forcer la synchronisation avec les serveurs NTP.
Q2 : Que faire si l'écran de mon ancien téléphone est brisé et ne peut plus afficher de QR code ?
Si la synchronisation Google Cloud était activée sur le téléphone endommagé, connectez-vous simplement à ce même compte Google dans l'application Google Authenticator de votre nouvel appareil. Vos comptes réapparaîtront immédiatement.
Si la synchronisation Cloud était désactivée et sans second appareil configuré, les données optiques sont irrécupérables depuis l'écran cassé. Vous devrez alors utiliser les codes de secours d'urgence (Recovery Codes) générés lors de l'inscription à chaque service, ou effectuer une procédure de vérification d'identité auprès du support de chaque plateforme.
Q3 : L'ancien et le nouveau téléphone peuvent-ils générer les mêmes codes en même temps ?
Testez votre clé secrète 2FA dans 2FA-Tool
Transfert terminé ? Vérifiez vos clés de sauvegarde Base32 grâce à notre générateur Web Crypto côté client. 100% hors ligne, rapide et sécurisé.
📚 Guides de sécurité recommandés
Conformité 2FA obligatoire, sauvegarde des codes de secours, interaction avec les clés SSH et déblocage de compte.
Procédures détaillées de reprise d'urgence pour Google, Microsoft, Apple, Steam, Binance, Twitter et Discord.
De la RFC 4226 à la RFC 6238 : troncature dynamique, dérive d'horloge et raisons du triomphe de TOTP.