Le code d’authentification Google à 6 chiffres se renouvelle toutes les 30 secondes. Cette contrainte temporelle génère la plupart des blocages rencontrés par les utilisateurs, que ce soit lors d’un changement de téléphone, d’une perte d’appareil ou simplement d’une confusion entre les différents types de codes Google. Comprendre où ce code est généré, comment il circule et quelles alternatives existent permet de ne plus se retrouver verrouillé hors de ses comptes.
Code TOTP, code SMS et code de secours Google : trois mécanismes distincts
La confusion la plus fréquente concerne la nature même du code demandé. Google utilise plusieurs types de codes dans son système de validation en deux étapes, et chacun fonctionne différemment.
| Type de code | Source | Durée de validité | Nécessite internet |
|---|---|---|---|
| Code TOTP (Google Authenticator) | Application sur le téléphone | 30 secondes | Non |
| Code SMS | Envoyé par Google au numéro enregistré | Quelques minutes | Réseau mobile requis |
| Codes de secours | Générés une fois dans les paramètres du compte | Usage unique, pas d’expiration | Non |
Le code à 6 chiffres dont parlent la plupart des utilisateurs bloqués est le code TOTP généré par Google Authenticator. Il n’est pas envoyé par SMS, il n’est pas stocké sur les serveurs de Google (sauf si la synchronisation cloud est activée), et il ne peut pas être récupéré en appelant un service client.
Pour trouver le code d’authentification Google à 6 chiffres, il faut donc d’abord identifier lequel de ces trois mécanismes a été configuré sur le compte concerné. La vérification se fait dans les paramètres de sécurité du compte Google, section « Validation en deux étapes ».
Synchronisation cloud Google Authenticator : ce qui a changé depuis 2023
Depuis avril 2023, Google Authenticator permet la sauvegarde et la synchronisation chiffrée des codes 2FA dans le cloud via le compte Google. Cette mise à jour a fondamentalement modifié la façon de retrouver ses codes après un changement ou une perte de téléphone.
Avant cette date, les codes TOTP étaient stockés uniquement en local sur l’appareil. Perdre son téléphone signifiait perdre tous ses codes, sauf à avoir conservé les QR codes d’origine ou les codes de secours. Aujourd’hui, si la synchronisation est activée, il suffit de réinstaller Google Authenticator sur un nouvel appareil et de se connecter avec le même compte Google pour retrouver l’ensemble de ses codes.
Vérifier si la synchronisation est active
Ouvrez Google Authenticator sur votre téléphone. Si une icône de nuage apparait en haut de l’écran avec votre adresse Gmail, la synchronisation fonctionne. Si vous voyez un nuage barré ou aucune adresse, vos codes ne sont sauvegardés que localement.
Pour activer la synchronisation, appuyez sur votre photo de profil dans l’application, puis sélectionnez « Utiliser sans compte » ou connectez-vous. La fonctionnalité nécessite la version 6.0 ou ultérieure sur Android, et la version 4.0 ou ultérieure sur iOS.
Transfert de codes Authenticator vers un nouveau téléphone
Quand vous changez de téléphone et que la synchronisation cloud n’est pas activée, le transfert manuel reste la seule option. Google Authenticator intègre une fonction d’export qui génère un QR code à scanner depuis le nouvel appareil.
- Sur l’ancien téléphone, ouvrez Google Authenticator, appuyez sur le menu (trois points), puis sur « Transférer des comptes » et « Exporter des comptes »
- Sélectionnez les comptes à transférer, puis un QR code s’affiche à l’écran
- Sur le nouveau téléphone, installez Google Authenticator, choisissez « Transférer des comptes » puis « Importer des comptes », et scannez le QR code affiché sur l’ancien appareil
Cette procédure, documentée notamment par Splashtop, garantit que les mêmes codes à 6 chiffres s’affichent sur les deux appareils. Les deux téléphones restent fonctionnels tant que vous ne supprimez pas les comptes de l’ancien.
Alternatives à Google Authenticator pour générer des codes 2FA
Google Authenticator n’est pas le seul outil capable de produire des codes TOTP à 6 chiffres. Plusieurs catégories d’alternatives existent, chacune avec ses propres compromis.
Gestionnaires de mots de passe avec 2FA intégré
Des gestionnaires comme Dashlane intègrent désormais un générateur de codes 2FA directement dans le coffre-fort. L’avantage : codes et mots de passe sont centralisés dans un même outil, accessible depuis plusieurs appareils. Le risque : si le coffre-fort est compromis, l’attaquant accède aux deux facteurs d’authentification simultanément.
Extensions de navigateur
Des extensions Chrome comme « Authenticator » génèrent des codes TOTP directement dans le navigateur, avec un rafraichissement automatique toutes les 30 secondes. Cette solution dépanne les utilisateurs qui n’ont pas accès à leur téléphone, mais elle réduit la sécurité en supprimant la séparation entre l’appareil de navigation et l’appareil d’authentification.
Perte totale d’accès : les recours restants
Si l’ancien téléphone est inaccessible et que la synchronisation cloud n’était pas activée, les options se réduisent considérablement.
- Les codes de secours Google (générés à l’avance dans les paramètres de sécurité du compte) permettent de se connecter sans code TOTP, à raison d’un code par connexion
- La validation par SMS, si elle a été configurée comme méthode secondaire, peut servir de solution de repli
- La procédure de récupération de compte Google, accessible depuis la page de connexion, demande de répondre à des questions de vérification d’identité
Aucune de ces méthodes ne restaure les codes Authenticator eux-mêmes. Elles donnent accès au compte Google, après quoi il faut reconfigurer la validation en deux étapes depuis zéro pour chaque service associé.
La meilleure protection contre ce scénario reste préventive : activer la synchronisation cloud dans Google Authenticator et conserver ses codes de secours dans un endroit physiquement séparé du téléphone. Un simple papier rangé avec des documents administratifs suffit.