Double authentification impôts : 3 failles surprenantes

Temps de lecture : 9 minutes

Un lecteur m’a écrit la semaine dernière avec une question toute simple. Il venait d’installer une application d’authentification sur son téléphone, il était plutôt content de lui, et il voulait savoir comment s’en servir pour protéger son compte impots.gouv.fr et son accès FranceConnect.

J’ai dû lui répondre que ce n’était possible ni sur les impôts, ni sur Ameli, ni sur FranceConnect, ni sur sa banque.

Ce n’est pas un défaut de son application. C’est que ces services ne proposent tout simplement pas cette option, et qu’à la place ils ont mis en place un dispositif qui porte le même nom mais qui ne fait pas le même travail. La double authentification impôts existe bel et bien depuis juin 2025, elle est même obligatoire, mais quand on regarde comment elle fonctionne réellement, on découvre trois problèmes dont personne ne parle.

Je vais vous montrer lesquels, et surtout ce que vous pouvez faire à la place, parce qu’il y a une action utile à mener et elle prend vingt minutes.

Le TOTP, ce standard que la France ignore

Commençons par le vocabulaire, parce que tout le malentendu vient de là.

Quand vous installez Proton Authenticator, Aegis ou 2FAS, vous utilisez un standard ouvert appelé TOTP. Le principe est élégant. Le service et votre téléphone partagent un secret au moment de l’activation, puis chacun de son côté calcule un code à six chiffres à partir de ce secret et de l’heure qu’il est. Le code se renouvelle toutes les trente secondes. Rien ne circule sur le réseau, rien ne transite par un opérateur, rien n’arrive dans une boîte mail.

C’est ce qui en fait un véritable second facteur. Le code est calculé par un objet que vous possédez, et cet objet n’est joignable par personne d’autre. Proton Authenticator, pour ne citer que celui-là, est gratuit, open source, fonctionne hors ligne et ne demande même pas de compte Proton.

Google, Microsoft, Amazon, GitHub, votre gestionnaire de mots de passe, à peu près tout ce qui compte sur internet accepte le TOTP. J’ai détaillé ailleurs comment fonctionne l’authentification à double facteur et pourquoi c’est la meilleure protection gratuite que vous puissiez activer.

Sur les services publics français destinés aux particuliers, ce standard n’existe nulle part…

FranceConnect ne vous authentifie pas, il délègue

Première chose à comprendre, et elle surprend beaucoup de monde : FranceConnect ne vérifie jamais votre identité lui-même.

C’est un aiguillage. Quand vous cliquez sur le bouton bleu, il vous demande de choisir un fournisseur d’identité, vous envoie chez lui, et se contente de récupérer le résultat. Six fournisseurs sont aujourd’hui disponibles : impots.gouv.fr, ameli.fr, l’Identité Numérique La Poste, la MSA, France Identité et TrustMe. Le compte YRIS, qui figurait dans cette liste, n’est plus disponible depuis le 1er juillet 2026.

La conséquence est directe. Chercher à sécuriser FranceConnect n’a aucun sens, il n’y a rien à sécuriser dedans. La sécurité de votre accès à plus de 1500 services publics ne dépend que d’une chose, celle du fournisseur que vous avez choisi.

Et aucun des six n’accepte une application d’authentification!

Il y a d’ailleurs un piège dans lequel je suis tombé moi-même en préparant cet article. ProConnect, le portail destiné aux agents publics et aux professionnels, accepte lui parfaitement le TOTP et les clés d’accès. Sa documentation explique même comment scanner le QR code avec l’application de son choix. Mais ProConnect n’est pas FranceConnect, ce sont deux systèmes différents pour deux publics différents. Ce qui existe pour un agent de l’État n’existe pas pour vous. Et comme les pages de ProConnect remontent très bien dans les moteurs de recherche, beaucoup de gens croient avoir trouvé la solution avant de comprendre qu’elle ne les concerne pas.

Faille 1 : la double authentification impôts n’est pas un second facteur, c’est un second compte

Voyons maintenant ce que l’État a réellement mis en place.

Depuis le 25 juin 2025, la double authentification est généralisée sur l’espace particulier d’impots.gouv.fr. Après votre numéro fiscal et votre mot de passe, vous devez saisir un code à six chiffres reçu par courriel depuis l’adresse otp@authentification.impots.gouv.fr. Pas de SMS, pas d’application, pas de clé physique. Le courriel, et uniquement le courriel.

Ameli fonctionne exactement pareil. Le code à six chiffres part sur l’adresse mail enregistrée dans votre compte, il n’est valable que quinze minutes, et au bout de trois échecs de saisie votre compte est bloqué un quart d’heure. L’Assurance Maladie conseille d’ailleurs d’ouvrir sa boîte mail sur un second appareil ou dans un autre onglet pour ne pas perdre la page de connexion, ce qui en dit long sur le confort du dispositif.

Maintenant, posez-vous la question de fond. Un facteur d’authentification, c’est censé être quelque chose que vous savez, quelque chose que vous possédez, ou quelque chose que vous êtes. Le mot de passe relève de la première catégorie. Le code envoyé par courriel, lui, ne prouve rien d’autre que votre capacité à ouvrir une autre boîte. Il ne démontre la possession d’aucun objet.

Autrement dit, celui qui entre dans votre messagerie récupère les deux facteurs d’un seul coup. Il a votre mot de passe s’il l’a hameçonné, et il a le code puisqu’il lit vos mails. Ce que propose l’État est donc une vérification en deux étapes, pas une authentification à deux facteurs. La nuance a l’air théorique, elle ne l’est pas du tout : elle décide de qui peut entrer dans votre dossier fiscal.

Le plus honnête dans cette histoire, c’est que l’administration le reconnaît. Sur sa propre page d’explication, l’administration fiscale écrit que la sécurité de votre espace dépend aussi de celle de la messagerie dont vous avez renseigné l’adresse. C’est écrit noir sur blanc, et presque personne ne le lit.

Il y a même un détail que peu de gens ont remarqué. Depuis fin janvier 2026, il est possible d’enregistrer une seconde adresse dite de secours, et à chaque connexion on choisit sur laquelle recevoir le code. Cette possibilité a été ouverte après des demandes des experts-comptables, qui ne pouvaient plus accéder aux espaces de leurs clients sans les appeler pour obtenir le code. Utile en pratique, mais notez ce que ça signifie : le code d’accès à votre dossier fiscal peut désormais atterrir chez un tiers. C’est un aveu de plus que ce fameux second facteur n’est pas attaché à vous.

Faille 2 : votre second facteur est un cookie

Celle-ci, je ne l’ai vue nulle part et elle mérite qu’on s’y arrête.

Pour ne pas exaspérer les utilisateurs, les impôts ont prévu une exception. Une fois que vous avez saisi un premier code, vous vous reconnectez sans nouveau code pendant six mois. L’administration fiscale explique elle-même que cette validité est assurée par un cookie déposé dans votre navigateur, et que si vous supprimez vos cookies ou changez d’appareil ou de navigateur, un nouveau code vous sera adressé.

Prenez la mesure de ce que ça implique. Pendant six mois, sur cet ordinateur, votre fameux second facteur se réduit à un fichier posé dans votre navigateur.

Ce n’est pas une inquiétude théorique. Le vol de cookies de session est devenu l’une des techniques principales des logiciels voleurs d’identifiants, ces infostealers qui siphonnent en silence les données des navigateurs. Le principe est simple et redoutable : l’attaquant n’essaie plus de casser l’authentification, il récupère le jeton qu’elle a produit et le rejoue depuis sa propre machine. Microsoft a indiqué que la grande majorité des contournements récents d’authentification multifacteur reposaient sur cet abus de jetons de session, et l’éditeur SpyCloud relève que chaque infection par infostealer permet de récolter en moyenne plusieurs centaines à plusieurs milliers de cookies.

Petit effet de bord assez ironique, ceux qui nettoient leurs cookies par réflexe de vie privée, ou qui utilisent la navigation privée, se voient redemander un code à chaque connexion. La rigueur est punie, la négligence est récompensée.

Faille 3 : côté banque, la DSP2 a enterré le standard

La question de mon lecteur portait aussi sur sa banque, et là le constat est différent mais le résultat identique.

La directive européenne DSP2 a rendu l’authentification forte obligatoire pour l’accès aux comptes et les paiements en ligne. Bonne intention, exécution discutable. Chaque banque française a développé sa propre application maison plutôt que d’adopter le standard existant. Résultat, vous avez aujourd’hui une application par banque, aucune ne parle aux autres, et le TOTP n’est quasiment jamais proposé au grand public.

Pour ceux qui n’ont pas de smartphone, des solutions matérielles existent et elles sont d’ailleurs plutôt bonnes. Au Crédit Mutuel, le Digipass demande de scanner le QR code affiché à l’écran puis de saisir son code sur le boîtier, ce qui génère un code à huit chiffres à usage unique. La Banque Populaire propose le lecteur Pass Cyberplus, dans lequel on insère sa carte bancaire avant de saisir son code, ce qui produit là aussi un code à huit chiffres.

Ces boîtiers fonctionnent hors réseau, ce qui les met à l’abri du SIM swap. Renseignez-vous auprès de votre banque sur les conditions d’obtention et le tarif, ils varient d’un établissement à l’autre et changent régulièrement.

Ce qu’il faut retenir, c’est que si votre banque valide encore vos opérations par SMS, vous restez exposé au SIM swap, cette attaque où quelqu’un fait transférer votre numéro sur sa propre carte SIM. J’ai détaillé le problème dans mon article sur l’authentification bancaire par SMS.

Ce que vous pouvez faire ce soir, en vingt minutes

Assez de constats. Voici le plan d’action, et il découle logiquement de tout ce qui précède.

Puisque les impôts et Ameli envoient leurs codes par courriel et non par SMS, une bonne nouvelle d’abord : un SIM swap ne les atteint pas directement. Voler votre numéro ne donne accès à rien sur ces comptes.

Mais le point faible s’est déplacé. Il est désormais dans votre boîte mail. Et ça, vous le contrôlez entièrement.

Étape 1, blindez la messagerie qui reçoit les codes. C’est l’action la plus rentable de la liste. Activez le TOTP sur votre boîte mail avec Proton Authenticator, Aegis ou 2FAS. Là, ça fonctionne, contrairement aux sites de l’État. Si vous utilisez encore une adresse créée il y a quinze ans avec un mot de passe recyclé, c’est le moment de faire le ménage. Une messagerie chiffrée comme Proton Mail prend cinq minutes à configurer et vous n’aurez plus à vous poser la question.

Étape 2, mettez une clé physique sur cette boîte mail si vous le pouvez. Le TOTP est bon, mais il reste hameçonnable : un faux site peut vous demander le code et le rejouer dans la foulée. Une clé de sécurité YubiKeyélimine ce risque parce qu’elle vérifie l’adresse du site avant de répondre. Elle ne marche pas sur les impôts, mais elle protège très bien la boîte qui reçoit les codes des impôts.

Étape 3, vérifiez quelle adresse est réellement enregistrée. Beaucoup de gens ont laissé une vieille adresse dans leur espace fiscal sans y penser. Connectez-vous, allez dans « Mon profil » puis « Mes moyens de contact », et regardez. Vérifiez au passage qu’aucune adresse de secours ne traîne, surtout si vous avez changé de comptable.

Étape 4, choisissez mieux votre fournisseur FranceConnect. Si vous avez le choix, préférez l’Identité Numérique La Poste. Elle repose sur la combinaison d’un identifiant, d’une application mobile et d’un code secret à quatre chiffres, et vous recevez une demande de confirmation dans l’application à chaque tentative de connexion. Aucun code ne circule sur le réseau et rien ne traîne dans une boîte mail, contrairement aux impôts. C’est le seul dispositif grand public de cette liste qui ressemble à une vraie authentification forte, et La Poste indique qu’il est attesté conforme au niveau substantiel du règlement européen eIDAS par l’ANSSI.

Étape 5, côté banque, abandonnez le SMS. Si votre établissement propose la validation dans son application, activez-la. Ce n’est pas parfait, tout se retrouve sur le même téléphone, mais c’est nettement mieux que le SMS. Si vous n’avez pas de smartphone, demandez le boîtier.

Ce que cet article ne résout pas

Je préfère annoncer les limites moi-même plutôt que les lire en commentaire.

D’abord, aucune de ces étapes ne sécurise le compte fiscal lui-même. Elles sécurisent ce qui gravite autour. Tant que la DGFiP n’ouvrira pas le TOTP ou les clés de sécurité, votre espace particulier restera protégé par un mot de passe et un code qui transite en clair dans un courriel.

Ensuite, ça bougera peut-être. La feuille de route de sécurité numérique de l’État, rendue publique en avril 2026, impose de déployer l’authentification multifacteur sur les systèmes d’information à enjeux avant le 28 février 2027, puis sur l’ensemble des systèmes de l’État à horizon février 2028. Attention à ne pas mal lire ce calendrier : il vise les systèmes de l’État et ses agents, pas directement les comptes citoyens. Le portail ProConnect reconnaît d’ailleurs devoir prendre le relais avec un simple code par courriel en attendant que ses propres fournisseurs d’identité se mettent en conformité. La direction est la bonne, le rythme reste lent, et rien ne garantit que le grand public en bénéficie au même moment.

Enfin, je n’ai pas testé les six fournisseurs FranceConnect un par un dans leurs moindres réglages, et les procédures évoluent. Si vous constatez qu’un service public accepte aujourd’hui une application d’authentification, écrivez-moi, je corrigerai l’article avec plaisir.

Ce qui me dérange le plus dans cette affaire, ce n’est pas le retard technique. C’est le mot. On vous annonce une double authentification, vous entendez sécurité renforcée, et vous ne vérifiez plus rien. Alors que le vrai coffre-fort, celui qui garde les clés de votre dossier fiscal et de votre dossier médical, c’est cette boîte mail que vous avez ouverte en 2009 et dont vous ne vous méfiez plus depuis longtemps.

On ne vous a jamais demandé si vous vouliez confier tout ça à l’État. On vous a juste demandé de faire confiance. La différence est là, et elle n’est pas anodine.

Marc

---

Cet article contient des liens affiliés. Si vous souscrivez via ces liens, je touche une commission sans aucun surcoût pour vous. Cela ne change rien à mes recommandations, qui restent indépendantes.

Les manipulations décrites ici touchent à l’accès de vos comptes. Lisez chaque étape avant de l’exécuter et conservez un moyen de récupération, codes de secours ou adresse alternative, avant de modifier vos paramètres d’authentification.