Qu’est-ce qu’une clé secrète 2FA ? Base32, TOTP et URI otpauth expliqués

Une clé secrète 2FA est la courte chaîne de lettres et de chiffres qu’une application d’authentification transforme en code à six chiffres à saisir lors de la connexion. Si la livraison de votre commande en contient une, c’est le champ le plus important de la ligne après le mot de passe, mais aussi celui que les acheteurs saisissent le plus souvent de travers ou confondent avec autre chose. Ce guide explique ce qu’est cette chaîne, à quoi ressemble le Base32 et en quoi une clé secrète se distingue des codes de secours et du contenu d’un QR code.

Vous apprendrez aussi à repérer la clé dans une ligne de livraison et à vérifier en quelques secondes qu’elle fonctionne, afin de pouvoir dire, pour n’importe quelle chaîne de votre fichier, s’il s’agit de la clé secrète, d’un code de secours ou d’autre chose.

Ce qu’est une clé secrète 2FA et comment elle produit des codes à six chiffres

Les mots de passe à usage unique basés sur le temps (TOTP, définis dans la RFC 6238) reposent sur deux ingrédients : un secret partagé et l’heure actuelle. Lors de la configuration du 2FA, la plateforme génère la clé et en conserve une copie, tandis que votre application d’authentification garde l’autre. Toutes les 30 secondes, les deux côtés effectuent le même calcul à partir de la clé et de l’horloge, et obtiennent les mêmes six chiffres.

Cela a trois conséquences pratiques :

• La clé secrète est la seconde clé du compte. Quiconque la détient peut générer des codes valides depuis n’importe quel appareil tant que cette configuration 2FA reste active.
• Les codes ne sont stockés nulle part. Chaque code est recalculé toutes les 30 secondes, donc une capture d’écran d’un ancien code ne sert à rien.
• L’horloge compte. Si l’appareil qui génère les codes est décalé d’une minute ou plus par rapport à l’heure réelle, même une clé correcte produit des codes refusés.

Base32 : à quoi ressemblent les caractères et les fautes de frappe courantes

Les clés secrètes s’écrivent en Base32, un alphabet composé des 26 lettres majuscules de A à Z et des chiffres de 2 à 7. C’est tout l’alphabet. Les chiffres 0, 1, 8 et 9 n’apparaissent jamais, pas plus que la ponctuation. Voici un exemple purement illustratif (ce n’est pas la clé d’un vrai compte) : JBSWY3DPEHPK3PXP. Les vraies clés font couramment de 16 à 32 caractères.

Comme seuls 32 caractères sont valides, la plupart des fautes de frappe sont faciles à repérer :

• Un 0, un 1 ou un 8 au milieu d’une clé signifie qu’un caractère a été mal lu. Un 0 est généralement la lettre O, un 1 est généralement la lettre I ou L, et un 8 est généralement la lettre B.
• Les minuscules ne posent normalement pas de problème, car la plupart des applications les convertissent.
• Un ou plusieurs signes « = » à la fin correspondent à du remplissage (padding). Beaucoup d’applications acceptent la clé avec ou sans eux.
• Les ajouts invisibles, comme un espace ou un saut de ligne final copié depuis un fichier texte, provoquent souvent des messages « clé invalide ».

URI otpauth, QR codes et clés en texte brut

La même clé peut vous parvenir sous trois formes, et les confondre est source de beaucoup d’erreurs :

• Clé en texte brut. La chaîne Base32 seule. Les applications d’authentification l’appellent clé de configuration ou clé de saisie manuelle.
• QR code. Une image qui encode une URI otpauth pour que le téléphone la scanne au lieu de vous faire saisir la clé.
• URI otpauth. Une ligne de texte comme otpauth://totp/Example:user?secret=JBSWY3DPEHPK3PXP&issuer=Example. La valeur après secret= est la clé Base32. Le reste correspond à l’étiquette et à des paramètres comme issuer, algorithm, digits et period.

Si vous n’avez qu’une image de QR code ou un lien otpauth, la clé est le texte situé après secret= et avant le « & » suivant. Les configurations standard utilisent SHA-1, six chiffres et une période de 30 secondes, et l’application applique ces valeurs par défaut quand vous ne saisissez que la clé. Scanner le QR code ou importer l’URI complète applique aussi les paramètres non standard qu’elle contient.

Clé secrète 2FA, codes de secours et e-mail de récupération

Ces trois éléments protègent le même compte mais jouent des rôles complètement différents :

• Clé secrète 2FA. Une chaîne Base32 durable qui génère un nouveau code toutes les 30 secondes. Elle ne change que lorsque le 2FA est réinitialisé ou reconfiguré.
• Codes de secours. Des codes à usage unique qu’une plateforme peut proposer pour le jour où vous n’avez pas accès à votre application d’authentification. Chacun ne fonctionne qu’une fois. Ce ne sont pas des clés Base32, donc une application d’authentification ou un outil TOTP ne peut pas les utiliser.
• E-mail de récupération. Une boîte de réception, pas un code. Elle reçoit les confirmations de connexion et les liens de réinitialisation. Dans une ligne de livraison, il apparaît sous forme d’adresse e-mail, généralement suivie du mot de passe de cette boîte.

La clé secrète génère vos codes de tous les jours, les codes de secours sont la roue de secours, et l’e-mail de récupération est le chemin de retour quand autre chose tombe en panne. Étiquetez-les séparément dans vos notes.

Repérer la clé dans une ligne de livraison et la tester

Les livraisons arrivent sous forme de fichier TXT avec des lignes telles que username:password:email:email_password:auth_token, et les champs exacts varient selon la catégorie. Quand une catégorie inclut une clé 2FA, c’est un champ de plus dans cette ligne. Ne comptez pas les positions à l’aveugle : lisez la description de la catégorie, puis comparez-la à la première ligne de votre fichier.

Vous pouvez aussi reconnaître les champs à leur forme :

• La clé secrète compte 16 caractères ou plus, des lettres majuscules et les chiffres de 2 à 7, sans ponctuation.
• L’auth_token est une longue chaîne hexadécimale. C’est un jeton de session, pas un générateur de codes, et il ne peut pas remplacer la clé secrète. Pour ce cas, voir comment se connecter à Twitter avec un auth token.
• Les mots de passe peuvent contenir un deux-points, ce qui explique pourquoi découper naïvement une ligne sur « : » la casse parfois.

Pour vérifier que toutes les lignes suivent la même disposition, collez un échantillon dans l’outil d’identification de format. Pour extraire uniquement la colonne qui contient les clés, utilisez l’outil de découpage par séparateur.

Testez ensuite la clé en quelques secondes. Ouvrez le générateur de codes 2FA gratuit, collez la clé : un code à six chiffres apparaît avec un compte à rebours. Si l’outil signale une clé invalide, retournez à la liste des fautes de frappe ci-dessus. Si un code s’affiche mais que la connexion le refuse, vérifiez l’horloge de votre appareil et suivez que faire quand un code 2FA ne fonctionne pas.

Stocker les clés en sécurité quand vous gérez beaucoup de comptes

Une ligne de livraison contient souvent à la fois le mot de passe et la clé 2FA : quiconque ouvre le fichier détient donc les deux facteurs. Protégez le fichier dans son ensemble plutôt que chaque champ séparément :

• Gardez le fichier dans un seul dossier privé à l’accès limité, et évitez les applications de messagerie, les documents partagés et les captures d’écran.
• Testez chaque clé peu après la livraison et notez la date à côté du compte, pour qu’un problème apparaisse tôt.
• Étiquetez ce que représente chaque chaîne, afin qu’un code de secours à usage unique ne finisse jamais dans une application d’authentification.
• Comptez vos copies. Charger la même clé dans une seconde application d’authentification est une sauvegarde raisonnable, mais chaque copie est un endroit de plus d’où elle peut fuiter.

Pour un plan plus complet, lisez l’authentification à deux facteurs et la planification de la récupération et, pour le vocabulaire des annonces, le glossaire des comptes. Quand vous comparez des catégories comme Comptes anciens vérifiés par téléphone, lisez la description pour savoir ce que contient le fichier de livraison. Si vous comptez sur une clé 2FA, confirmez-le avant de commander, ou posez la question au support sur Telegram.

Questions fréquentes

À quoi ressemble une clé secrète 2FA ?

C’est une chaîne de lettres majuscules de A à Z et de chiffres de 2 à 7, généralement de 16 à 32 caractères, par exemple JBSWY3DPEHPK3PXP dans les exemples de documentation. Certaines plateformes l’affichent en groupes séparés par des espaces ou des tirets.

La clé secrète 2FA est-elle la même chose qu’un code de secours ?

Non. La clé secrète génère un nouveau code toutes les 30 secondes tant que cette configuration 2FA reste active. Un code de secours est à usage unique : il ne fonctionne qu’une fois et ne peut pas être utilisé dans une application d’authentification.

Peut-on transformer un QR code en clé secrète ?

Oui. Le QR code de configuration encode une URI otpauth, et la clé secrète est la valeur qui suit secret= dans ce texte. Gardez ce texte privé, car il est aussi sensible que la clé elle-même.

Pourquoi certaines clés contiennent-elles des espaces ou des tirets ?

Les séparations ne servent qu’à la lisibilité, souvent par groupes de quatre caractères. Si une application refuse la clé, supprimez les espaces et les tirets ; le générateur de codes 2FA gratuit les accepte tels quels.

La même clé peut-elle servir dans deux applications à la fois ?

Oui. Toute application ou tout appareil qui détient la même clé et dont l’horloge est correcte affiche le même code. C’est pratique comme sauvegarde, mais chaque copie est un endroit de plus où la clé peut être exposée.