Partager des codes de récupération 2FA sans les laisser dans l’historique

Les codes de récupération (souvent appelés backup codes ou codes de secours 2FA) permettent de se connecter quand l’application d’authentification ou le SMS ne répond plus. Ce sont des secrets à usage limité : une fois consommés ou exposés, il faut en régénérer.

Pourtant, on les envoie encore en clair dans un fil Teams, un ticket ou un e-mail « pour que le collègue puisse se connecter une fois ». Le canal conserve le texte longtemps après l’urgence.

Pourquoi c’est risqué

Comme pour un mot de passe ou une clé API, Slack, WhatsApp ou Gmail gardent une copie searchable :

• un compte admin ou un export peut remonter l’échange ;
• une capture d’écran ou une recherche dans le fil suffit des mois plus tard ;
• régénérer les codes côté service ne efface pas le message dans le chat.

Un code de récupération non utilisé reste souvent valide jusqu’à ce que vous le révoquiez — l’équivalent d’une clé de secours laissée sous le paillasson.

Bon réflexe : le secret une fois, le lien dans le chat

1. Collez la liste de codes (ou un seul code) sur secretshare.eu — chiffrement dans le navigateur, le serveur ne voit pas le texte en clair.
2. Envoyez uniquement le lien généré par le canal que vous utilisez déjà.
3. Le destinataire lit, note dans son coffre (1Password, Bitwarden, etc.), le lien ne fonctionne plus après lecture.
4. Régénérez les codes restants côté fournisseur si vous suspectez une fuite.

Ne collez jamais les codes à côté du lien dans le même message : vous recréez la copie permanente que vous vouliez éviter.

Le principe est le même qu’un message auto-destructible : une lecture, puis disparition côté Secret Share.

Cas typiques

• onboarding IT : passer des codes de secours le temps de configurer l’authenticator ;
• support interne : accès temporaire à un compte outil (avec traçabilité et rotation après) ;
• prestataire : un code à usage unique plutôt qu’un PDF de codes dans un fil projet.

Ce que Secret Share ne remplace pas

Secret Share transporte le secret ; il ne remplace pas une politique 2FA (MFA obligatoire, coffre d’équipe, rotation). Pour comprendre le fonctionnement du produit, voir C’est quoi secretshare.eu ?.

Pour essayer : secretshare.eu.