Authentification à deux facteurs pour fichiers : couche de sécurité supplémentaire
Ajoutez l'authentification à deux facteurs aux transferts pour une sécurité renforcée. Combinez mots de passe avec codes uniques ou vérification email.
L'authentification à deux facteurs (2FA) pour les fichiers associe quelque chose que le destinataire connaît — un mot de passe qui dérive une clé AES-256-GCM via PBKDF2 — à quelque chose qu'il possède : un code TOTP depuis Authy, un lien magique par email, ou une passkey WebAuthn liée à son appareil. Même si un attaquant phishe le mot de passe ou intercepte l'URL de téléchargement, il ne peut pas déchiffrer la charge utile sans le second facteur. Ce schéma contrecarre le transfert de lien, le credential stuffing et la plupart des attaques de shoulder-surfing qui mettent en échec le partage à facteur unique des services de type WeTransfer.
Pourquoi un seul mot de passe par lien ne suffit pas
Une URL de téléchargement partagée fuit de façon surprenante. Slack la développe en aperçu, Gmail l'archive pendant sept ans, et les proxies d'entreprise journalisent la chaîne de requête complète. Si le mot de passe se trouve dans un email séparé, les deux canaux mènent souvent à la même boîte mail — une seule violation de messagerie suffit alors à livrer le fichier. Les études de cas de réponse à incident réels (Verizon DBIR 2025) montrent que 68 % des vols de données basés sur des identifiants impliquaient des mots de passe réutilisés. Ajouter un second facteur brise cette chaîne parce que la graine TOTP ne quitte jamais l'application d'authentification du destinataire.
Comment le TOTP fonctionne sur un lien de téléchargement
L'expéditeur génère un secret partagé de 160 bits encodé en chaîne base32 et en QR code (RFC 6238). Le destinataire le scanne avec Google Authenticator, 1Password ou Yubico Authenticator. Toutes les 30 secondes, l'application exécute HMAC-SHA1 sur le secret et l'horodatage Unix divisé par 30, tronquant le résultat à six chiffres. Quand le destinataire saisit ce code, le serveur vérifie la fenêtre courante et la précédente pour tolérer le décalage d'horloge. Ce n'est qu'après validation du code que le serveur libère le blob chiffré — la clé de déchiffrement elle-même reste côté client, dérivée du mot de passe du destinataire.
Les liens magiques par email comme second facteur léger
Tous les destinataires n'installeront pas une application d'authentification. Un lien magique envoyé à une adresse pré-déclarée est un repli raisonnable. L'expéditeur saisit jane@hopital.fr lors de l'envoi ; le service stocke un hash SHA-256 de cette adresse. Quand Jeanne clique sur l'URL de téléchargement, le serveur lui envoie par email un token aléatoire de 128 bits valable 10 minutes. Cliquer sur le token déverrouille la page de téléchargement où elle saisit encore le mot de passe du fichier. Comme le token est lié à sa boîte mail, un lien transféré à un collègue est inutile — le collègue n'a jamais reçu le défi email.
WebAuthn et les passkeys pour les destinataires récurrents
Pour les équipes qui échangent des fichiers chaque semaine (par exemple, un auditeur recevant des preuves de conformité PCI DSS 4.0), les passkeys surpassent les codes. Le destinataire enregistre une credential FIDO2 lors de la première utilisation ; la clé privée vit dans son Secure Enclave ou une YubiKey 5C. Les téléchargements suivants nécessitent un simple toucher au lieu de retaper un TOTP. Comme la signature inclut l'origine, les sites de phishing qui proxifient la vraie page de téléchargement ne peuvent pas rejouer l'authentification. Chrome, Safari 17 et Firefox 122 supportent tous l'UI conditionnelle qui fait apparaître la demande de passkey sans clics supplémentaires.
Protéger les gros transferts fragment par fragment
Une archive DICOM de 10 Go ou un projet Adobe Premiere de 4 Go ne correspond pas au modèle de téléchargement en une seule fois. Découpez la charge utile en fragments de 5 Mo, chacun chiffré avec sa propre sous-clé dérivée de la clé maîtresse via HKDF (RFC 5869). Avant de servir un fragment, le serveur vérifie un token de session frais émis après succès de la 2FA. Le token expire après, disons, 30 minutes pour qu'un téléchargement mis en pause ne puisse pas reprendre des jours plus tard depuis un cookie volé. Cela reproduit la façon dont Signal gère les segments de notes vocales et dont Backblaze B2 applique l'authentification côté serveur aux envois multipart.
Limitation de débit, verrouillages et le piège de l'attaque hors ligne
Le TOTP ne compte que six chiffres, donc un endpoint naïf laisse les attaquants essayer 1 000 000 combinaisons en quelques secondes. Appliquez un backoff exponentiel après trois tentatives incorrectes, verrouillez le lien après dix, et envoyez un webhook à l'expéditeur. Ne dites pas aux attaquants s'ils échouent sur le mot de passe ou sur le code — retournez la même erreur générique pour les deux. Et ne mettez jamais la vérification TOTP côté client ; envoyer le secret au navigateur annulerait tout l'intérêt. Validez côté serveur, dans un endpoint renforcé protégé par Cloudflare Turnstile ou hCaptcha.
Récupération sans affaiblir le modèle
L'échec classique est un destinataire qui perd son téléphone pendant une fenêtre de transfert de 48 heures. Intégrer un code de secours — une chaîne base32 de 20 caractères imprimée lors de la création du lien — lui donne un repli sans dépendance à l'email. Tout aussi important : expirez le transfert de toute façon une fois téléchargé, même si le second facteur n'a pas été utilisé. Ainsi, un ordinateur portable perdu contenant le code de récupération ne peut pas être utilisé un mois plus tard. Certains services, dont HexaTransfer, permettent aussi à l'expéditeur de révoquer le lien depuis un tableau de bord, tuant tout token de session en cours.
Ce que ça coûte en expérience utilisateur
Ajouter la 2FA à un transfert de 30 secondes semble lourd, donc calibrez-la au risque. Pour un album photo d'anniversaire, passez. Pour un fichier .psd de 500 Mo d'un lancement de produit, exigez un mot de passe. Pour une archive de 2 Go de données d'accès RGPD Article 15, demandez TOTP plus un lien magique. Une interface étagée (public, mot de passe, 2FA, passkey) laisse les expéditeurs choisir sans lire la documentation. Des concurrents comme SwissTransfer n'exposent qu'un seul toggle de mot de passe ; Dropbox Transfer cache la 2FA derrière l'offre Teams ; Smash propose la vérification email mais pas le TOTP. L'écart vaut la peine d'être comblé.
Essayez sur hexatransfer.com — gratuit, sans compte, jusqu'à 10 Go.
Envoyez vos fichiers volumineux en toute sécurité avec le chiffrement de bout en bout
Transférez des fichiers jusqu'à 10 Go gratuitement avec le chiffrement de bout en bout. Aucun compte requis. Vos fichiers sont chiffrés dans votre navigateur avant l'envoi — personne d'autre ne peut les lire.
Envoyer un fichier