Comment ajouter la 2FA (Google Authenticator) à mon application ?
Génère un secret TOTP pour la 2FA : une clé aléatoire + un code QR prêt à scanner pour Google Authenticator, Authy, 1Password, Microsoft Authenticator, Aegis.
Le standard RFC 6238 : secret base32 de 160 bits + l'URI standard « otpauth://totp/... » utilisée par toutes les applis 2FA populaires.
Parfait pour ajouter la 2FA à ta propre application, tester des intégrations, migrer la 2FA d'un authentificateur à l'autre.
Comment l'utiliser
- « Issuer » = nom de l'application/service (par exemple « MyService », « Banque ABC »). Apparaît comme titre dans l'Authenticator.
- « Account » = identifiant utilisateur (par exemple « jean@entreprise.com »). Apparaît sous l'issuer.
- Laisse les valeurs par défaut SHA-1, 6 chiffres, 30s, le standard du secteur. Tous les Authenticator populaires le supportent.
- Scanne le QR avec l'appli Authenticator sur ton téléphone. Ou copie le secret et tape-le comme « Setup Key ».
- Le téléphone commence à afficher des codes à 6 chiffres rafraîchis toutes les 30 s.
- Enregistre le secret dans un endroit sûr (papier, gestionnaire de mots de passe). Sans lui, si tu perds le téléphone, tu ne peux pas récupérer. Génère aussi des codes de secours pour une protection supplémentaire.
Quand c'est utile
Quatre situations typiques où un générateur de secret TOTP résout un problème concret :
- Construire ta propre appli avec 2FA. Génère un secret par utilisateur, stocke-le côté serveur ; ici tu peux tester le flow avant de brancher une bibliothèque comme otplib/speakeasy.
- Migration Google Authenticator → Authy/1Password/Aegis. Import via QR.
- Ajout de la 2FA à des outils qui ne la supportent pas nativement (ton propre VPS, services privés via SSH-OTP).
- Pédagogie. Vois exactement à quoi ressemble une URI otpauth, quels champs sont requis, comment base32 encode le secret.
Pour les utilisateurs finaux : si un service (Google, GitHub) te génère un QR, tu n'as pas besoin de cet outil, utilise son flow intégré.
Questions et réponses
TOTP (Time-based One-Time Password) : le standard RFC 6238 pour la double authentification. L'appli Authenticator stocke un secret partagé avec le serveur ; toutes les 30 secondes, elle calcule un code à 6 chiffres à partir du secret + de l'heure actuelle. Le serveur fait pareil et compare. Un attaquant qui connaît ton mot de passe mais n'a pas le téléphone Authenticator ne peut pas se connecter.