Faut-il un deuxième numéro de téléphone pour la 2FA ?

N’utilisez un deuxième numéro de téléphone pour l’identification à deux facteurs (2FA) que si un site ne propose rien d’autre que des codes par SMS, ou si un compte partagé ou professionnel a besoin de codes qui ne dépendent pas du téléphone d’une seule personne. Quand un site propose une app d’authentification, une clé de sécurité ou une clé d’accès, utilisez-la plutôt, car un code par SMS reste l’option la plus faible dans tous les cas.

Ce qu’il vous faut : pour la configuration avec un deuxième numéro, un iPhone de secours sous iOS 26 ou version ultérieure avec sa propre carte SIM ou eSIM, l’app Raccourcis (elle est déjà sur le téléphone) et, si les codes doivent parvenir à quelqu’un d’autre, Fwrd et un endroit où les envoyer, comme un canal Slack privé.

Un deuxième numéro est-il plus sûr que le vôtre pour la 2FA ?

Un peu, sur un point précis : il garde les codes de ce compte hors de votre numéro personnel et de votre app Messages personnelle. Il ne rend pas les codes par SMS plus solides. Les mêmes faiblesses suivent les codes, quel que soit le numéro qui les reçoit.

Les sources du gouvernement américain expliquent le risque :

• La FTC dit que « Hackers can take over your phone number through a SIM card swap attack » (des pirates peuvent prendre le contrôle de votre numéro de téléphone par une attaque d’échange de carte SIM), et qu’une app d’authentification est plus sûre parce que son code n’est pas exposé à ce risque (FTC, consulté le 18 octobre 2026).
• La CISA range les codes envoyés par SMS ou par appel vocal parmi ceux qui sont exposés aux attaques par échange de SIM et aux failles de la signalisation SS7 du réseau téléphonique, et qualifie la MFA résistante au phishing de « the most secure form of MFA » (la forme de MFA la plus sûre) (fiche d’information de la CISA, consultée le 18 octobre 2026).
• Le NIST, qui rédige la norme fédérale, indique que « Use of the PSTN for out-of-band verification is restricted » (l’utilisation du réseau téléphonique public pour la vérification hors bande est restreinte) et exige que les services qui suivent ses recommandations proposent au moins une autre option (NIST SP 800-63B-4, section 3.1.3.3, consulté le 18 octobre 2026).
• La FCC a adopté en novembre 2023 des règles qui obligent les opérateurs à s’assurer de votre identité avant de transférer votre numéro vers une nouvelle SIM ou un autre opérateur, parce que les échanges de SIM et les arnaques au portage prennent le contrôle de numéros sans toucher au téléphone (FCC, consulté le 18 octobre 2026).

Apple décrit les clés d’accès comme « résistantes au phishing » et précise qu’elles « ne nécessitent l’utilisation d’aucun secret partagé » : il n’y a donc pas de secret commun à voler (Apple, consulté le 18 octobre 2026).

Quand un deuxième numéro a-t-il du sens ?

Quand les codes par SMS sont la seule option et qu’ils ne doivent pas rester sur votre propre téléphone. Cas courants :

• Un compte professionnel partagé n’envoie ses codes que par SMS, et il doit continuer de fonctionner quand la personne qui l’a configuré est absente ou s’en va.
• Un numéro professionnel doit appartenir à l’entreprise, pas à la ligne personnelle d’un employé.
• Une solution de secours. Apple recommande, si vous avez plusieurs numéros, d’ajouter un numéro de confiance supplémentaire « qui n’est pas associé à votre iPhone », pour qu’un iPhone perdu ou endommagé ne vous bloque pas l’accès (Apple, consulté le 18 octobre 2026).

Certains services refusent les numéros internet obtenus via une app d’appels. La page d’aide d’Indeed, par exemple, indique qu’Indeed « no longer allows non-fixed VoIP numbers for account verification » (n’accepte plus les numéros VoIP non fixes pour la vérification des comptes) (Indeed, consulté le 18 octobre 2026). Les codes envoyés à un vrai numéro mobile dans un iPhone de secours arrivent comme n’importe quel SMS, et Fwrd peut les transmettre, à condition que la ligne reste active pour que le numéro ne soit pas réattribué.

Comment sortir les codes d’un iPhone de secours

Le problème d’un deuxième téléphone, c’est qu’il reste dans un tiroir. Ces étapes envoient uniquement les SMS de codes depuis ce téléphone vers les personnes qui en ont besoin.

1. Ajoutez une destination dans Fwrd. Sur l’iPhone de secours, ouvrez Fwrd, touchez + et choisissez où envoyer les codes : une discussion privée Slack, Discord, Teams ou Telegram, votre propre webhook, une adresse e-mail ou un autre téléphone.
2. Ne gardez que les codes. Réglez le filtre de la destination sur les SMS qui ressemblent à un code de vérification. Pour l’e-mail ou un autre téléphone, placez aussi l’action d’envoi dans un Si dans le raccourci, puis activez I Added the If (J’ai ajouté le Si) dans Which Texts (Quels SMS) pour cette destination.
3. Créez une automatisation Message. Dans Raccourcis sur iOS 27, touchez Bibliothèque, puis Automatisation, puis +, puis Message. Sur iOS 26, ouvrez l’onglet Automatisation, touchez + et choisissez Message.
4. Choisissez les SMS à transférer. Choisissez Le message contient (sur iOS 27, remplacez Expéditeur par Message) et saisissez un mot que contiennent vos codes, par exemple code. Avec un filtre de codes activé, une seule espace fonctionne aussi.
5. Faites-la s’exécuter sans demander, puis ajoutez l’action de Fwrd. Sur iOS 27, désactivez Confirmer avant l’exécution et, sous ⓘ, puis Confidentialité, vérifiez qu’Autoriser l’exécution en mode verrouillé est activé. Sur iOS 26, choisissez Exécuter immédiatement. Ajoutez Forward Message to All Destinations (Transférer le message vers toutes les destinations) et réglez son champ Message sur Entrée de raccourci (sur iOS 26, Entrée de raccourci, puis Message).
6. Pour l’e-mail ou un autre téléphone, ajoutez l’action d’Apple. Sous l’action de Fwrd, ajoutez Envoyer un e-mail ou Envoyer un message, réglez son champ Message sur Forward Message to All Destinations, et ajoutez l’adresse ou le numéro. Le guide de l’e-mail et le guide du téléphone montrent chaque geste.
7. C’est tout. Les nouveaux SMS de codes partent désormais tout seuls là où vous l’avez choisi, avec l’iPhone déverrouillé ou verrouillé.

La page sur les codes de vérification présente d’autres façons d’acheminer les codes, et partager les codes 2FA avec votre équipe dans Slack détaille toute la partie Slack.

Ce que le transfert des codes ne peut pas régler

• Transférer un code élargit le cercle de ceux qui peuvent le voir. Toute personne présente dans le canal, la boîte de réception ou le groupe peut l’utiliser tant qu’il est valide. Gardez la destination privée, restreinte, et limitée aux comptes que vous avez le droit de partager.
• Il ne protège pas le numéro. Un échange de SIM sur la ligne de secours envoie toujours les codes à la personne qui s’en est emparée. Demandez à l’opérateur son verrouillage de compte ou sa protection contre le portage.
• Le téléphone doit rester allumé et connecté, et après un redémarrage, il faut le déverrouiller une fois pour que le transfert reprenne.
• Il ne remplace pas une option plus solide. Si un site ajoute plus tard les clés d’accès ou une app d’authentification, passez-y.