La clé de sécurité physique a claqué sur mon bureau, juste à côté du PC, pendant que Google attendait. Je me suis retrouvé à la mettre de côté volontairement un mardi matin, dans mon bureau de l’ouest lyonnais. Mes deux enfants passaient déjà derrière ma chaise, et Dropbox restait ouvert sur l’écran. Pendant 3 semaines, j’ai testé la récupération après un changement de smartphone et une réinstallation complète du laptop.
Le jour où j’ai mis ma clé principale de côté pour commencer le test
J’ai appris une chose simple. Je ne fais confiance à une clé que si j’ai testé le jour où tout casse. J’avais déjà Google pour mes mails et Dropbox pour mes dossiers partagés, et j’utilisais la clé chaque semaine, jamais au hasard. J’avais aussi une seconde clé rangée à la maison, dans une boîte métallique, et cette redondance me paraissait logique avec mes deux enfants et mes mails du soir.
J’ai branché la clé FIDO2 et touché le capteur pour m’authentifier, puis j’ai laissé la page tourner sans bouger. J’ai été convaincu du blocage au bout de 9 minutes, quand les codes de secours sont devenus la seule porte d’entrée. Le navigateur affichait une petite fenêtre de sécurité très sobre, et je voyais bien que le flux WebAuthn ne passait pas sans la clé. J’ai compris que la récupération ne pardonne pas le bricolage de dernière minute, surtout quand je croyais encore pouvoir improviser avec un ancien SMS.
Sur mon Android récent, j’ai basculé sur le NFC pour la clé, parce que le port USB restait déjà pris par le câble de charge. J’ai vite vu que la coque épaisse gênait la lecture, et j’ai dû m’y reprendre 4 fois pour trouver la bonne zone. Le geste compte autant que le reste, car la clé ne valide qu’avec un contact capacitif tactile bien net, presque sec sous le doigt. J’ai fini par retenir que le téléphone doit être déverrouillé avant le tap, sinon rien ne part, et le capuchon faisait un bruit sec dans le silence.
La semaine où j’ai réinstallé mon pc et tenté de récupérer mes accès
Pour réinstaller mon PC, j’ai sorti un laptop USB-C only et un adaptateur USB-A que je traîne depuis longtemps. J’ai branché la clé, puis mon VPN a ralenti la reconnexion et le firewall a demandé un second passage. Le navigateur ouvrait la fenêtre WebAuthn en une seconde dès que la clé était détectée, mais mon réseau ajoutait sa propre inertie. J’ai noté 21 secondes de retard au moment du premier aller-retour, et cette mécanique simple m’a paru cassée par trois détails matériels.
Je suis rentré dans les réglages de Google d’abord, puis dans Dropbox, et j’ai refait l’enregistrement de la clé sur chaque compte. Sur Google, j’ai eu la fenêtre sobre, le tap sur le capteur, puis la validation immédiate sans code à recopier. Sur Dropbox, j’ai vu un flux différent, avec un TOTP gardé pour une action sensible avant de repasser sur la clé. J’ai senti la disparition des SMS de validation dans le flux, et j’ai compris que la clé ne remplaçait pas partout le mot de passe.
J’ai fait une erreur bête, j’avais activé la clé sur un compte sans enregistrer les backup codes. Quand le fichier de secours a disparu dans un dossier que j’avais nommé ‘à trier’, j’ai senti la sueur me monter au cou. J’ai passé 58 minutes dans la procédure de récupération Google, avec une suite d’écrans secs et une vraie tension sur chaque validation. Mes enfants ont passé la tête deux fois derrière la porte, et j’ai vu que le blocage venait de ma propre organisation.
Trois semaines plus tard, ce que j’ai appris sur la robustesse et les limites du système
Sur 5 récupérations, j’ai noté 12 minutes pour Google, 18 minutes pour Dropbox, 34 minutes pour le PC réinstallé et 58 minutes quand les codes manquaient. La moyenne grimpe vite dès qu’un facteur de secours manque, et je l’ai vu sans avoir besoin de l’expliquer longtemps. Quand tout était prêt, j’ai retrouvé l’accès en moins de 20 minutes, avec une sensation de geste presque mécanique. Quand les secours manquaient, la séance se transformait en petite corvée, et je perdais mon fil de travail.
J’ai aussi corrigé mes erreurs matérielles, parce que j’avais acheté une clé USB-A alors que mon laptop n’avait que l’USB-C. J’ai fini par acheter une deuxième clé 27 jours après le début du test, puis je l’ai enregistrée sur mes comptes importants le lendemain. J’avais laissé de côté l’e-mail de récupération sur un compte secondaire, et j’avais aussi coupé le SMS trop tôt. Ce trou-là m’a rappelé qu’une clé n’est pas un passe-partout, et 6 comptes sur 10 acceptaient bien le flux FIDO2 partout, tandis que 4 me renvoyaient encore vers des codes ou un mot de passe.
La première connexion ratée sur un faux site a changé ma lecture du système, parce que la clé n’a validé aucun mauvais domaine. J’ai été frappé par ce silence, presque gênant, alors que la page ressemblait à la bonne au premier regard. Dropbox, lui, m’a renvoyé une fois vers un TOTP de secours, et j’ai vu que la protection restait partielle selon le service. Je n’ai pas aimé ce patchwork, mais j’ai apprécié que le faux site reste muet, et j’ai cessé de regarder la clé comme un simple confort.
Mon verdict factuel après ces tests en conditions réelles
Au bout de 3 semaines, j’ai gardé 6 réussites nettes, 2 blocages et 1 vraie frayeur liée aux codes de secours. La fenêtre WebAuthn s’ouvrait bien en une seconde, et le tap sur le capteur devenait presque automatique dès le second essai. J’ai vu un gain réel sur Google et Dropbox, parce que je ne recopiais plus de SMS ni de codes temporaires. Mon bilan reste simple, plus rapide d’un côté, plus exigeant de l’autre.
Avec mes deux enfants à la maison, j’ai apprécié la disparition des codes à recopier quand je passais d’un écran à l’autre au soir. J’ai aimé pouvoir laisser la clé branchée sur le laptop toute la journée, puis la remettre sur le trousseau quand je sortais, et ce geste m’a calmé. Le petit bruit du capuchon, cette fois, me servait de rappel plutôt que de gêne. J’ai appris que la sécurité tient mieux quand la roue de secours existe.
Je retiens que la clé FIDO2 va très bien pour quelqu’un qui accepte de préparer deux clés, d’enregistrer les backup codes et de tester la récupération une fois. Si je n’ai qu’une seule clé, sans e-mail de secours ni compte secondaire propre, je me mets moi-même dans une impasse. Pour un blocage qui dépasse le simple réglage de compte, je passe par le support du service, pas par une manœuvre hasardeuse. Pour Google et Dropbox, mon verdict reste net, la clé accélère la connexion et coupe bien le phishing, mais la préparation autour compte autant qu’elle.
