L'email comme facteur : code, lien, réinitialisation

Tu as oublié le mot de passe de ton outil de facturation. Tu cliques sur « mot de passe oublié », tu ouvres ta boîte email, tu suis le lien, tu choisis un nouveau mot de passe. Vingt secondes, et te voilà connecté. Le trajet que tu viens de faire est celui qu'emprunterait aussi quelqu'un qui tiendrait ta boîte à ta place, et lui non plus n'aurait pas eu besoin de ton mot de passe.

La question qu'on se pose devant ce facteur, c'est en général de savoir si un code reçu par email compte vraiment comme un second facteur. Elle n'a pas de réponse propre, parce qu'elle suppose que les facteurs se comptent à l'unité. Ce qui se compte, ce sont les chemins d'entrée distincts. Le code par email et la réinitialisation par email n'en font qu'un.

L'email sert à trois choses dans une page de connexion : recevoir un code, recevoir un lien qui ouvre la session, réinitialiser un mot de passe perdu. Les trois s'appuient sur le même objet. Voici ce que cet objet protège, ce qu'il ouvre, et pourquoi le simulateur place presque toujours la réinitialisation avant le mot de passe dans la liste des chemins les moins chers.

D'où ça vient

La réinitialisation par email est aussi ancienne que les comptes web. Dès qu'un service a stocké un identifiant et un mot de passe, il a fallu répondre à « et si la personne l'oublie ». La réponse a toujours été la même : envoyer un message à l'adresse déclarée à l'inscription. Personne n'a décidé un jour que la boîte email deviendrait la serrure de tout le reste. C'est arrivé par accumulation, un service après l'autre, et à chaque fois quelqu'un a coché une case sans regarder le périmètre qu'elle ouvrait.

Le lien de connexion par email, ce qu'on appelle le lien magique, est venu ensuite, avec les outils collaboratifs des années 2010. Slack l'a rendu familier à des millions de personnes : un bouton, un message dans la boîte, un lien qui ouvre la session sans mot de passe. L'argument commercial était l'inscription sans obstacle.

Le code par email a suivi, pour une raison prosaïque. Les filtres de sécurité des messageries d'entreprise ouvrent les liens contenus dans les messages pour vérifier où ils mènent. Un lien à usage unique ainsi visité est consommé avant que la personne clique dessus. Plusieurs services ont donc remplacé le lien par six chiffres à recopier. Le mécanisme d'authentification n'a pas bougé pour autant : la preuve reste « je lis cette boîte ».

Le problème que ça résout

Contre l'opportuniste automatisé, l'email retire la prise la plus rentable. Le rejeu d'identifiants fuités, que le simulateur compte à 0,90 sur un mot de passe réutilisé, n'a rien à rejouer sur un compte qui n'a pas de mot de passe. Le cassage hors ligne après une fuite du service n'a pas d'empreinte à casser. Les listes vendues par lots ne servent à rien ici.

Pour la personne, le gain est net : rien à retenir, rien à installer, un canal qu'elle possède déjà. Le simulateur chiffre cet effort à presque zéro, là où un gestionnaire de mots de passe coûte 3 et une paire de clés physiques 10. Ça explique la place que l'email a prise dans les inscriptions : il enlève l'obstacle qui fait abandonner le formulaire.

Le service y gagne aussi. Une base de comptes sans mot de passe stocké est une base qui ne fuite pas de mot de passe.

Les problèmes que ça ajoute

Le même facteur compté deux fois. Un service qui demande un mot de passe puis un code par email affiche deux étapes. Le compte n'a pourtant gagné qu'un facteur : la boîte. Comme la réinitialisation passe déjà par cette boîte, l'attaquant qui la tient n'a même pas besoin du mot de passe. Le simulateur franchit les deux obstacles avec une seule technique, la prise de contrôle de la boîte email, et l'étape supplémentaire ne rapporte aucun point.

Qui tient la boîte efface l'avertissement. Les services envoient un message quand un mot de passe change, quand un second facteur est retiré, quand une session s'ouvre depuis un appareil inconnu. Ces messages arrivent dans la boîte. Quelqu'un qui la tient les lit avant toi et les supprime. Le signal qui devait te prévenir n'arrive jamais.

Le lien détourné. Personne n'a besoin de deviner quoi que ce soit pour déclencher l'envoi d'un lien de connexion sur ton compte : le bouton est public. Reste à obtenir que le lien change de main. Un message qui semble venir du service, une demande d'assistance urgente, un appel qui te demande de lire le code que tu viens de recevoir. Le simulateur compte ce détournement à 0,03 pour l'opportuniste, 0,20 pour l'attaquant ciblé et 0,15 pour le proche. Le chiffre du milieu est le plus parlant : quelqu'un qui sait quel service tu utilises et qui écrit un message crédible réussit une fois sur cinq.

Le mot de passe partagé avec la boîte. Si le mot de passe d'un compte est aussi celui de la boîte email, une fuite chez n'importe quel autre service donne les deux. Le simulateur en fait un défaut de structure et compte la technique à 0,20 pour l'opportuniste, 0,30 pour les deux autres. C'est le défaut le plus fréquent et le moins visible : il n'apparaît sur aucune page de réglages. Le mot de passe revient en détail sur ce point.

Reste ce que l'email fait perdre. Le jour où l'accès à la boîte disparaît, tous les comptes qui s'y adossent deviennent difficiles à récupérer. Le simulateur pèse ce cas sous la Récupérabilité, au même titre que le téléphone perdu ou l'incendie.

Les niveaux

Le simulateur ne demande pas si tu utilises l'email. Il demande comment la boîte est protégée, et ce que le service exige après une réinitialisation. Deux paliers pour la boîte, deux pour la porte de service.

Boîte faible. Mot de passe seul, ou mot de passe plus code par SMS. La prise de contrôle est comptée à 0,25 pour l'opportuniste, 0,55 pour le ciblé, 0,50 pour le proche. Une boîte à ce niveau plafonne tous les comptes qui s'y adossent, quelle que soit leur propre configuration.

Boîte forte. Clé d'accès (passkey) ou code temporaire (TOTP) en plus du mot de passe. Les mêmes valeurs tombent à 0,03, 0,18 et 0,18. Huit fois plus cher pour l'opportuniste, trois fois pour le ciblé.

Réinitialisation sans second facteur. Le service renvoie un lien, la personne choisit un nouveau mot de passe, le compte s'ouvre. C'est le comportement par défaut de la plupart des services.

Réinitialisation qui exige le second facteur. Après le lien, le service redemande le code temporaire ou la clé. La porte de service cesse d'être moins chère que l'entrée principale.

Le profil « cas courant » du simulateur montre ce que ça donne. Mot de passe long dans un gestionnaire, code temporaire en application, deux appareils chiffrés, et pourtant une note de 49 sur 100. Le chemin le plus faible n'est pas le mot de passe, qui coûte 0,15 à l'attaquant, mais la réinitialisation par email, à 0,40, parce que la boîte est restée faible et que le service ne redemande rien après le lien. Le support arrive juste derrière, à 0,23. Tout l'effort mis sur le mot de passe est payé par la personne et ignoré par l'attaquant.

Une boîte faible n'est pas une fatalité technique. C'est un réglage que personne n'est allé changer, la plupart du temps parce que personne ne savait qu'il fixait le plafond de tout le reste.

Les scénarios d'attaque

Les valeurs ci-dessous sont des règles écrites dans le moteur, pas des statistiques mesurées. Elles servent à comparer des configurations entre elles, et elles se discutent.

L'opportuniste automatisé ne vise personne. Il essaie des listes. Sur une boîte forte, ses chances tombent à 0,03 et il passe au compte suivant. Sur une boîte faible, 0,25 suffit à rendre l'opération rentable à l'échelle de milliers d'adresses.

L'attaquant ciblé est celui que ces chiffres décrivent le mieux. Il sait qui tu es. Il peut appeler, écrire, monter une page relais qui recopie ta session en temps réel pendant que tu te connectes. Trois de ces cinq lignes dépassent 0,20 dans sa colonne.

Le proche n'a pas besoin de la boîte à distance. Il voit l'écran du téléphone, où le code s'affiche parfois sans déverrouiller. Les manœuvres à distance perdent de la valeur dans sa colonne parce qu'il dispose de moyens plus directs.

Une mesure de terrain existe, et elle pointe dans la même direction. En 2019, Google a publié avec des chercheurs de l'université de New York et de l'université de Californie à San Diego un an d'observations sur ses propres comptes : un code envoyé au numéro de récupération arrêtait 100 % des robots automatisés, 96 % de l'hameçonnage de masse et 76 % des attaques ciblées. L'ordre de ces trois chiffres est celui des trois colonnes du tableau.

Ce que ce modèle ne dit pas

Le simulateur porte sur l'authentification, et il s'arrête là. Il ne traite pas la compromission complète du poste : un logiciel espion installé sur ta machine rend tous les facteurs équivalents, clé d'accès comprise, puisqu'il lit ce que tu lis. Il ne traite pas non plus le vol d'une session déjà ouverte, ni la contrainte physique ou judiciaire. Les valeurs citées ici classent des configurations les unes par rapport aux autres ; ce ne sont pas des mesures de terrain.

Ce qu'il faut faire

Dans l'ordre où le simulateur les priorise.

1. Pose une clé d'accès sur ta boîte email, avant tout le reste. Pourquoi commencer par la boîte plutôt que par le compte qui t'inquiète ? Parce que la boîte fixe le plafond du compte qui t'inquiète. Effort 3 selon le barème, et c'est le geste qui déplace le plus de points. Tant qu'elle reste faible, durcir un compte en aval revient à poser un verrou sur une porte qu'on contourne.

2. Ajoute un deuxième moyen d'entrer dans la boîte. Une seconde clé, un second appareil. Une boîte protégée par un unique objet est une boîte perdue le jour où cet objet l'est.

3. Vérifie ce que le service exige après une réinitialisation. S'il propose de redemander le second facteur, active-le. C'est le réglage qui ramène la réinitialisation au niveau de l'entrée principale au lieu de la laisser à 0,40.

4. Coupe la réinitialisation par email quand le service le permet, une fois la clé d'accès posée et un autre moyen d'entrer vérifié. Fermer une porte améliore toujours la note. Fermer la dernière te laisse dehors.

5. N'utilise jamais le mot de passe de ta boîte ailleurs. Avec un gestionnaire de mots de passe, ça ne coûte rien.

Ce qui dépend du service et pas de toi : l'envoi d'un avertissement à chaque pose ou retrait de moyen d'authentification, un délai avant qu'un nouveau moyen devienne actif, un journal des sessions ouvertes avec un bouton pour les révoquer. Ces réglages ne changent pas la note du simulateur. Ils décident si tu apprends ce qui se passe et s'il te reste une prise.

Pour la suite : Les clés d'accès (passkeys) décrit ce qu'il faut poser sur la boîte, et Les portes de service traite les autres chemins qui contournent l'entrée principale. Le modèle complet est expliqué dans Un compte vaut son chemin le plus faible.