Activer la 2FA (A2F) sur Riot, Epic, Steam et Rockstar

Pour activer l'authentification à deux facteurs (2FA, ou A2F) sur un compte de jeu, ouvrez les paramètres de sécurité du compte de l'éditeur (Riot, Epic, Steam ou Rockstar), choisissez une application d'authentification quand elle est proposée, scannez le QR code et confirmez le code à six chiffres. Après l'achat d'un compte, faites-le juste après avoir changé l'e-mail et le mot de passe : c'est cet enchaînement qui exclut toute personne qui y avait accès avant vous. Ce guide détaille les étapes exactes pour Riot, Epic Games, Steam et Rockstar.

Pourquoi la 2FA compte, et dans quel ordre procéder

Quand vous prenez possession d'un nouveau compte, l'ancien détenteur connaît toujours les identifiants qu'il a créés. Même après le changement de mot de passe, une personne déterminée peut tenter une récupération via l'adresse e-mail d'origine, un numéro de téléphone associé ou la procédure de récupération d'une plateforme. L'authentification à deux facteurs brise cette chaîne : sans le code de votre application d'authentification ou de votre téléphone, toute nouvelle connexion échoue.

L'ordre à suivre à chaque fois que vous récupérez un compte :

1. Changez l'adresse e-mail pour une adresse qui vous appartient et que vous n'avez jamais partagée. Cela coupe immédiatement la voie de récupération la plus courante.
2. Changez le mot de passe pour une phrase de passe longue et unique, jamais utilisée ailleurs.
3. Activez la 2FA, avec une application d'authentification chaque fois que c'est possible. C'est le dernier verrou sur la porte.

Sauter la première étape pour passer directement au mot de passe laisse l'e-mail d'origine en place : une procédure « mot de passe oublié » peut alors toujours envoyer les codes de récupération vers une boîte que vous ne contrôlez pas. Commencez toujours par l'e-mail. La routine complète après achat, appareils, numéros de téléphone et connexions liées compris, se trouve dans notre liste de vérification de sécurité après achat, et notre guide pour acheter des comptes de jeu en toute sécurité détaille ce qu'il faut vérifier avant de payer.

Riot (League of Legends, Valorant, TFT)

Tous les jeux Riot, dont League of Legends, Valorant et Teamfight Tactics, partagent un seul et même compte Riot. Le sécuriser une fois, c'est les sécuriser tous. L'authentification multifacteur de Riot propose trois méthodes : un code à six chiffres envoyé par e-mail, une application d'authentification tierce comme Google Authenticator ou Microsoft Authenticator, et l'application Riot Mobile.

1. Connectez-vous à la page de votre compte Riot avec les identifiants du compte.
2. Ouvrez la section sécurité (connexion) des paramètres du compte.
3. Activez d'abord la vérification par e-mail. Riot enverra alors un code à l'adresse enregistrée chaque fois que vous vous connecterez depuis un appareil non reconnu.
4. Pour une protection plus solide, ajoutez une application d'authentification : scannez le QR code affiché à l'écran avec votre application, puis saisissez le code qu'elle génère pour confirmer l'association. Riot Mobile peut aussi servir d'authentificateur une fois la vérification par e-mail activée.
5. Déconnectez-vous puis reconnectez-vous pour vérifier que le code est bien demandé.

Comme Riot lie étroitement la récupération à l'e-mail enregistré, changer l'e-mail d'abord est particulièrement important ; notre guide pas à pas pour changer l'e-mail de votre compte Riot montre où se trouve ce réglage. Si vous perdez un jour l'accès, le guide de récupération de compte Riot explique la démarche auprès du support. Ce support existe en français, pour League of Legends comme pour Valorant, et il tranche la propriété d'un compte d'après son adresse e-mail. Enfin, ne donnez jamais vos identifiants ni vos codes à un booster : lui confier votre compte, c'est du partage de compte, et Riot le sanctionne.

Epic Games (Fortnite)

Epic propose trois méthodes de 2FA : une application d'authentification, le SMS et les codes par e-mail. Et il vous donne une raison de l'activer : la 2FA débloque l'emote Boogie Down dans Fortnite, et elle est obligatoire pour offrir des cadeaux et participer aux tournois Fortnite.

1. Connectez-vous sur le site d'Epic Games, cliquez sur le nom de votre compte et choisissez Compte.
2. Sélectionnez l'onglet Mot de passe et sécurité.
3. Faites défiler jusqu'à Authentification à deux facteurs, où sont listées les méthodes disponibles.
4. Pour utiliser une application d'authentification (recommandé) : choisissez cette option, scannez le QR code avec votre application, saisissez le code à six chiffres et enregistrez.
5. Pour utiliser plutôt le SMS ou l'e-mail : choisissez l'option correspondante et confirmez le code envoyé par Epic.
6. Conservez les codes de secours proposés par Epic dans un endroit sûr et hors ligne.

Si vous venez d'acheter un compte Fortnite, changez d'abord l'e-mail (notre guide pour changer l'e-mail de votre compte Fortnite vous guide pas à pas) et préférez l'application d'authentification au SMS : un numéro de téléphone peut être détourné par une attaque de type SIM swap, alors qu'un code d'authentificateur ne quitte jamais votre appareil. En cas de compte Epic perdu ou piraté, voir la récupération de compte Epic Games.

Steam (CS2)

Steam propose deux niveaux de Steam Guard : les codes par e-mail, et l'authentificateur mobile Steam Guard, plus solide, intégré à l'application mobile Steam. Si vous avez un compte CS2, il y a un compromis à comprendre côté échanges avant de choisir.

1. Installez l'application mobile Steam sur votre téléphone.
2. Connectez-vous à l'application avec les identifiants du compte.
3. Ouvrez Steam Guard dans l'application et sélectionnez Ajouter un authentificateur.
4. Confirmez votre numéro de téléphone avec le code reçu par SMS.
5. Notez le code de récupération que Steam vous affiche. Sans lui, perdre votre téléphone vous condamne à une procédure de récupération longue.
6. Une fois l'authentificateur actif, l'application affiche un code qui change régulièrement, et les connexions comme les échanges se confirment avec lui.

La conséquence sur les échanges : Steam retient les échanges jusqu'à 15 jours, sauf si l'authentificateur mobile Steam Guard est actif sur le compte depuis au moins sept jours. Cette retenue laisse au vrai propriétaire le temps d'annuler un échange frauduleux : anticipez-la si vous comptez déplacer des objets CS2 peu après l'achat. Un Steam Guard par e-mail seul vous maintient dans la retenue la plus longue, une raison de plus d'utiliser l'authentificateur mobile. S'il vous reste à reprendre l'e-mail, commencez par changer l'e-mail de votre compte Steam.

Rockstar Games (GTA Online)

La vérification en deux étapes de Rockstar passe par une application d'authentification, sur votre téléphone ou dans le navigateur, et elle exige que l'adresse e-mail du compte soit vérifiée au préalable.

1. Connectez-vous à votre compte Rockstar Games et vérifiez l'adresse e-mail si on vous le demande.
2. Ouvrez les paramètres de vérification en deux étapes et choisissez Configurer pour afficher un QR code et une clé secrète.
3. Scannez le QR code avec votre application d'authentification, ou saisissez la clé secrète, puis entrez le code généré par l'application.
4. Activez la sauvegarde dans le cloud de votre application d'authentification, comme le recommande Rockstar, pour qu'un téléphone perdu ne vous bloque pas l'accès.

Pour un compte GTA acheté, complétez ces étapes avec les vérifications de notre guide pour savoir s'il est sûr d'acheter un compte GTA 5 moddé.

Application d'authentification ou SMS : lequel est le plus sûr ?

Une application d'authentification est plus sûre que le SMS. Les codes SMS transitent par votre opérateur mobile, et un attaquant assez persévérant peut mener une attaque par SIM swap : convaincre l'opérateur de transférer votre numéro sur une carte SIM qu'il contrôle, puis intercepter tous les codes qui vous sont destinés.

Les applications d'authentification génèrent les codes localement sur votre appareil, à partir d'un secret défini quand vous scannez le QR code. Rien ne passe par le réseau pour produire un code : il n'y a donc rien à intercepter en chemin, il faudrait avoir votre appareil déverrouillé en main.

Parmi les options les plus utilisées figurent Google Authenticator, Microsoft Authenticator et Authy, et la plupart des grandes applications proposent désormais une sauvegarde ou une synchronisation chiffrée. Activez-la, pour que changer de téléphone ne signifie pas perdre l'accès à tous vos comptes d'un coup.

Codes de récupération : la plupart des plateformes vous donnent des codes de récupération ou de secours à usage unique quand vous activez la 2FA. Imprimez-les ou notez-les, et ne les stockez pas dans une note en ligne protégée par l'e-mail que vous cherchez justement à sécuriser : vous créeriez une faiblesse circulaire.

Questions fréquentes

Pourquoi l'ordre e-mail, mot de passe, puis 2FA est-il important ?

Parce que la procédure de récupération de chaque plateforme passe par l'e-mail enregistré. Si l'e-mail d'origine est toujours associé, l'ancien propriétaire peut réinitialiser le mot de passe, voire faire retirer la 2FA via le support. Changer l'e-mail en premier ferme cette voie, le nouveau mot de passe rend caduc ce qu'il savait, et la 2FA bloque ensuite toute nouvelle connexion sans votre code.

Une application d'authentification est-elle vraiment beaucoup plus sûre que le SMS ?

Oui. Les codes SMS peuvent être interceptés par SIM swap, une attaque qui vise votre opérateur mobile plutôt que la plateforme de jeu. Les applications d'authentification génèrent des codes temporaires sur votre appareil et ne les envoient nulle part. Pour un compte de valeur, le SMS vaut mieux que rien, mais l'application reste le bon choix.

Que se passe-t-il si je perds le téléphone qui contient mon authentificateur ?

Utilisez l'un des codes de secours ou de récupération que vous avez conservés pour vous connecter, puis associez à nouveau l'authentificateur sur votre nouvel appareil. Si vous n'avez ni codes ni sauvegarde, chaque plateforme propose une vérification d'identité via son support pour rétablir l'accès, ce qui peut prendre des jours et exige des preuves de propriété. Notre guide de récupération de compte Steam détaille ce que Valve demande généralement.

La 2FA empêche-t-elle le vendeur d'origine de récupérer le compte ?

Elle relève nettement la barrière : il ne peut pas se connecter depuis un nouvel appareil sans votre code. Ce n'est pas toute la réponse pour autant. Avec un e-mail que vous contrôlez, le vendeur perd sa principale voie de récupération ; avec la 2FA activée, il ne peut pas se connecter même s'il se souvient de l'ancien mot de passe. Ensemble, ces étapes ferment les voies habituelles de retour, et c'est pourquoi il est si important d'acheter des annonces qui incluent l'e-mail d'origine.

La sécurité d'un compte n'est pas une tâche ponctuelle, mais ces quatre étapes, faites dans l'ordre, font toute la différence entre un compte qui vous appartient et un compte que vous ne faites qu'emprunter : changez l'e-mail, changez le mot de passe, activez la 2FA avec une application d'authentification et gardez vos codes de récupération hors ligne. Si vous cherchez un compte en ce moment, évitez les ventes en message privé sur Discord, Snapchat ou Instagram, en général sans séquestre ni remboursement, et parcourez les comptes Fortnite et les autres jeux sur BuyAccount en sachant exactement comment vous les verrouillerez.