TOTP Authenticator

L'application TOTP Authenticator génère les codes à six chiffres que les sites web demandent en deuxième étape après votre mot de passe, conformément à la norme TOTP (RFC 6238).

Elle fonctionne entièrement hors ligne. L'application n'a pas besoin d'accéder à Internet et ne peut donc rien envoyer. Aucun compte à créer, aucune connexion requise et aucune synchronisation. Toutes les données sont stockées dans un seul fichier sur votre téléphone.

FONCTIONNALITÉS

• Génère des codes à six chiffres pour tout service compatible avec les applications d'authentification.

• Ajout d'un code en scannant le QR code de configuration ou en saisissant la clé secrète manuellement.

• Organise les codes par groupes : personnel, professionnel, etc.

• Copie un code en le touchant ; un compte à rebours indique le temps restant avant son changement.

• Les codes copiés sont marqués comme sensibles ; ainsi, sous Android 13 et versions ultérieures, ils ne sont pas enregistrés dans l'aperçu ni l'historique du presse-papiers.

STOCKAGE DE VOS CLÉS

Vos clés secrètes sont stockées dans un fichier unique sur votre téléphone, chiffré avec AES-256. La clé est générée à partir de votre mot de passe ou code PIN, chiffré avec PBKDF2 et un sel aléatoire stocké avec les données. Rien n'est lié à un téléphone en particulier : le fichier s'ouvre donc sur n'importe quel téléphone disposant de cette application et de la clé secrète.

Vous choisissez le type de verrouillage lors de la configuration initiale et vous pouvez le modifier ultérieurement :

• Mot de passe — l'option la plus robuste

• Code PIN — quatre ou six chiffres. Un code PIN étant beaucoup plus facile à deviner, l'application met plus de temps à générer la clé, ce qui ralentit d'autant plus la tentative de deviner un fichier volé

• Aucun verrouillage — les clés sont stockées en clair. L'application vous avertit clairement avant d'autoriser l'accès.

Modifier le verrouillage consiste à copier la base de données, à la rechiffrer, puis à la relire et à la vérifier avant de supprimer la copie. Ainsi, une modification erronée est sans conséquence.

SAUVEGARDE ET TRANSFERT SUR UN NOUVEAU TÉLÉPHONE

Envoyez-vous une copie de votre base de données par e-mail, via un service de stockage cloud ou une application de messagerie. Sur votre nouveau téléphone, installez l'application et importez ce fichier. L'application s'ouvre avec le même mot de passe qu'auparavant, car le chiffrement est inclus dans le fichier.

Conservez une copie de sauvegarde en lieu sûr. Si vous perdez votre téléphone sans cette sauvegarde, vous perdrez l'accès à tous les comptes dont le deuxième facteur d'authentification était stocké dans ce fichier.

AUCUNE RÉCUPÉRATION POSSIBLE

Votre mot de passe n'est stocké nulle part ; il sert à générer la clé de chiffrement. Aucun serveur ne propose de lien de réinitialisation. Un mot de passe oublié signifie une base de données inaccessible à tous, même à vous.

AUTORISATIONS

• Accès à l'appareil photo, uniquement lors de la lecture d'un code QR. Aucune donnée n'est enregistrée.

Il s'agit de la seule autorisation requise par l'application sur les versions Android actuelles. Aucune autorisation d'accès à Internet n'est demandée.

LOGICIEL LIBRE-SOURCE

Développé avec ZXing, Jackson, Apache Commons Codec, AndroidX et Material Components, GoogleAuth et DirectoryPicker. Les mentions légales complètes sont disponibles dans l'application, dans la section « À propos ».