VKT Toolkit · 12 septembre 2026 · 9 min de lecture

Google Authenticator perdu ? Récupérer vos codes 2FA (2026)

Le téléphone s'est échappé de votre poche dans le train. Ou il a plongé dans l'évier. Ou le carton de reprise est déjà parti avec le livreur, réinitialisation d'usine comprise. Une demi-heure plus tard, installé devant votre ordinateur portable, vous tentez de vous connecter à votre messagerie, et là : « Saisissez le code à 6 chiffres de Google Authenticator ».

Cette bouffée de panique froide, tout le monde la connaît. Google Authenticator vit sur un seul appareil, et quand cet appareil disparaît, tous les comptes qu'il protégeait — messagerie, banque, stockage cloud, outils professionnels — se retrouvent d'un coup derrière une porte impossible à ouvrir. Les codes n'ont jamais été synchronisés nulle part sous votre contrôle, et une application d'authentification n'a pas de bouton « mot de passe oublié ».

Bonne nouvelle : être bloqué est presque toujours temporaire, et perdre ses codes définitivement est presque toujours évitable. Dans ce guide, vous apprendrez quoi faire dès maintenant pour retrouver l'accès, pourquoi le SMS de secours ne vous sauvera pas, et comment mettre en place une sauvegarde à trois couches pour qu'un téléphone perdu ne vous coûte plus jamais un compte.

D'abord : essayez ces pistes de récupération tout de suite

Avant toute chose, parcourez ces options dans l'ordre. L'une d'elles vous ramènera généralement à l'intérieur.

1. Mettez la main sur vos codes de secours

Lorsque vous avez activé la 2FA, presque tous les services vous ont présenté une liste de 8 à 10 codes de secours à usage unique en vous demandant de les conserver précieusement. C'est maintenant que ça compte. Vérifiez :

• Les notes sécurisées de votre gestionnaire de mots de passe (cherchez le nom du service plus « secours » ou « récupération ») ;
• La feuille imprimée dans le tiroir, le coffre ou le dossier de documents importants ;
• Votre dossier de téléchargements — les captures d'écran et PDF de codes sont étonnamment fréquents ;
• Les e-mails de confirmation du jour où vous avez activé la 2FA.

Chaque code de secours ne fonctionne qu'une fois. Connectez-vous avec, puis générez immédiatement une nouvelle liste dans les paramètres de sécurité.

2. Utilisez la procédure de récupération propre au service

Sur l'écran demandant le code 2FA, cherchez des liens du type « Essayer une autre méthode », « Vous ne pouvez pas utiliser votre application d'authentification ? » ou « Appareil perdu ? ». La suite dépend du service :

• Compte Google : l'assistant de connexion propose une vérification via l'e-mail de récupération, le téléphone de récupération ou une notification vers un appareil encore connecté. Si l'ancien téléphone était votre seul appareil connecté, l'e-mail de récupération est votre meilleure option.
• Compte Microsoft : remplissez le formulaire de récupération avec un maximum d'historique — anciens mots de passe, informations de facturation, objets d'e-mails envoyés.
• Amazon : le flux de secours peut envoyer un mot de passe à usage unique (OTP) à l'e-mail ou au numéro enregistrés ; sinon, le service client peut vous vérifier par téléphone.
• Discord : si vous aviez configuré un repli SMS, vous recevrez un code par texto ; sinon, ouvrez un ticket au support avec preuves de titularité.

3. Transférez votre SIM ou eSIM vers le nouveau téléphone

Si vous avez changé d'appareil en conservant votre numéro, transférer la SIM ou l'eSIM vers le nouveau téléphone rétablit immédiatement le repli par SMS. Notez bien ce que cela ne fait pas : les codes Google Authenticator ne reviennent pas. Les secrets TOTP résident dans les données locales de l'application, pas sur la SIM. Rétablir le canal SMS reste néanmoins souvent le tremplin pour atteindre les paramètres de sécurité et réinscrire la 2FA.

Autre astuce : si l'ancien téléphone s'allume encore — même avec un écran fissuré — branchez-le à un ordinateur et tentez d'exporter ou de synchroniser les données Authenticator avant tout effacement. Si la synchronisation cloud de Google Authenticator était activée, vous pouvez aussi restaurer les codes sur un nouveau téléphone en vous connectant au même compte Google.

4. Contactez le support avec des preuves d'identité

Lorsque la récupération automatique échoue, l'humain est la dernière ligne. Préparez tout ce qui prouve que le compte est à vous : factures, carte de paiement utilisée, pièce d'identité officielle si demandée, chronologie de l'activité du compte. Comptez des jours, pas des minutes — et acceptez qu'un service sans vérification d'identité puisse refuser net. Ce refus est une fonctionnalité, pas un bug : c'est exactement cette règle qui tient les attaquants à l'écart.

Pourquoi le SMS de secours n'est pas un filet de sécurité

Beaucoup considèrent « je recevrai toujours un SMS » comme plan B. C'est une supposition dangereuse, pour deux raisons.

D'abord, le SIM swapping. Un attaquant qui connaît votre numéro peut manipuler ou soudoyer votre opérateur pour faire transférer votre numéro vers une SIM qu'il contrôle, et recevoir ainsi tous les SMS qui vous sont destinés — réinitialisations de mot de passe et codes 2FA compris. Votre « filet de sécurité » devient sa porte d'entrée, et vous ne le remarquez souvent qu'une fois vos comptes au comportement étrange.

Ensuite, le SMS échoue tout seul. Les numéros sont recyclés après inactivité, l'itinérance bloque la réception à l'étranger, et certains messages n'arrivent tout simplement jamais. Si le SMS est votre seule voie de récupération quand l'authentificateur disparaît, vous misez vos comptes sur le canal le moins fiable et le moins sûr de toute la chaîne. Gardez le SMS comme une option — jamais comme la seule.

Pour que ça n'arrive plus jamais : la stratégie de sauvegarde à 3 couches

Une fois vos comptes récupérés, consacrez vingt minutes à faire de cette mésaventure la dernière. La stratégie est simple : aucun point de défaillance unique.

• Couche 1 — Codes de secours imprimés. Régénérez des codes frais pour chaque compte important et rangez des copies imprimées dans un lieu physiquement sûr : coffre à la maison, tiroir verrouillé au bureau, chemise de documents. Une copie uniquement numérique meurt avec le disque qui l'héberge.
• Couche 2 — Un second emplacement TOTP. Ajoutez la même clé secrète à deux endroits indépendants : l'application mobile et un authentificateur dans le navigateur. Si un appareil disparaît, l'autre génère toujours des codes valides. Nous comparons les options navigateur dans notre article Google Authenticator vs LocalBox2FA — en résumé : une extension qui utilise le même algorithme RFC 6238 produit des codes identiques à ceux de votre téléphone.
• Couche 3 — Un fichier d'export. Conservez une copie chiffrée hors ligne de vos secrets TOTP, réimportable sur n'importe quel nouvel appareil. C'est votre instantané de reprise après sinistre.

Trois couches, cela paraît excessif — jusqu'au jour où le téléphone rend l'âme. En pratique, les couches 2 et 3 demandent quelques minutes une seule fois — et tiennent des années.

Pas à pas : configurer LocalBox2FA comme second emplacement TOTP

VKT LocalBox2FA est un authentificateur TOTP sous forme d'extension pour Chrome et Edge. Tout tourne en local : pas de réseau, pas de cloud, pas de compte. C'est la seconde maison naturelle de vos secrets 2FA. Si vous n'avez jamais utilisé d'authentificateur de navigateur, notre guide utiliser la 2FA sur Chrome sans téléphone détaille le quotidien ; ici, on se concentre sur l'angle sauvegarde.

Étape 1 : installer l'extension

Récupérez VKT LocalBox2FA sur le Chrome Web Store ou sur les modules Edge. L'extension repose sur Manifest V3 et ne demande aucune permission : elle ne peut ni lire vos données de navigation ni contacter un quelconque serveur.

Étape 2 : ajouter le même secret une seconde fois

Deux situations possibles :

• Activer la 2FA sur un nouveau compte : quand le site affiche son QR code, scannez-le d'abord avec l'application mobile, puis choisissez « Saisir une clé d'installation » (ou « Impossible de scanner ? ») pour afficher la clé texte, et collez cette même clé dans LocalBox2FA. Les deux applications généreront désormais des codes identiques.
• Compte existant : la plupart des services permettent une réinscription — allez dans les paramètres de sécurité, désactivez puis réactivez la 2FA, et pendant cette même session de configuration, scannez le nouveau QR code avec le téléphone et avec LocalBox2FA.

Donnez à chaque entrée un nom clair, enregistrez, et l'extension se met immédiatement à produire des codes à 6 chiffres renouvelés toutes les 30 secondes. Un clic sur un code le copie instantanément. Comme tout est calculé localement à partir du secret et de l'horloge système, cela fonctionne totalement hors ligne.

Étape 3 : ajouter la couche d'export (Premium)

Le cœur gratuit couvre l'usage quotidien. LocalBox2FA Premium est un achat unique de 9,99 $ à vie qui ajoute l'export de tous vos enregistrements dans un fichier texte — et leur réimportation dans n'importe quel nouveau navigateur. Exportez le fichier et rangez-le dans un dossier chiffré ou votre gestionnaire de mots de passe : vous obtenez un instantané portable de tous vos secrets. La licence s'obtient sur la page de paiement.

Voilà toute l'installation : l'application mobile en déplacement, l'extension de navigateur au bureau, le fichier d'export quand tout le reste a échoué.

Méthodes de récupération comparées : fiabilité vs effort

Le schéma est clair : les méthodes qui demandent zéro préparation (le SMS) sont les moins fiables, et celles qui coûtent dix minutes en amont vous épargnent des jours de stress ensuite. Le second emplacement TOTP est la seule option à la fois très fiable et presque sans effort une fois configurée.

Questions fréquentes

Découvrez d'autres outils dans le catalogue d'extensions VKT, ou écrivez-nous à [email protected].