Apple propose de définir un standard pour les SMS associés à un code d’authentification, une pratique encore courante pour les services qui réclament un deuxième facteur. Son idée est de créer un format standard que les navigateurs et les apps pourront comprendre et exploiter, ce qui leur permettra de récupérer automatiquement les codes et de remplir l’information demandée par le site ou service. C’est précisément ce que Safari est capable de faire depuis plusieurs années.

La fonction créée par Apple marche d’ailleurs très bien, mais elle a un défaut : faute de standard, le constructeur a créé son propre algorithme pour détecter un code dans un SMS et aussi détecter le site ou service associé. C’est une tâche complexe pour n’oublier personne et en même temps ne pas faire n’importe quoi, par exemple en confondant un code d’authentification et un numéro de téléphone.

C’est pour simplifier les choses que la firme propose un standard que tous les navigateurs pourraient prendre en charge sans risque et sans effort. La proposition d’Apple est d’identifier les SMS associés à un code d’authentification avec une syntaxe très simple. Le code serait précédé d’un # et le nom de domaine du site ou service serait identifié par un @. Le SMS pourrait aussi proposer le code sous la forme d’une phrase comme c’est systématiquement le cas aujourd’hui, mais il y aurait aussi le code et le nom de domaine avec cette syntaxe.

Voici à quoi cela pourrait ressembler :

747723 is your FooBar authentication code.

@foobar.com #747723

Safari prend d’ores et déjà en charge cette syntaxe et Google la prendra aussi en charge dans une future version de Chrome. La seule inconnue côté navigateurs à ce stade est du côté de Firefox, Mozilla n’ayant pas fait part de son intérêt ou non pour la proposition à ce stade. Si tout le monde s’y met, les sites et services auront tout intérêt à adopter ce nouveau format.

C‘est une bonne chose, même s’il convient de rappeler que les SMS doivent être évités à tout prix pour l’authentification en deux facteurs. C’est la solution la moins fiable de toutes, parce qu’il est souvent trop facile d’obtenir une copie de votre carte SIM, compromettant par la même occasion la sécurité du système. Si vous en avez la possibilité, il est préférable d’opter pour une autre méthode, comme celle basée sur des codes générés par une app spécialisée comme Authy ou un gestionnaire de mots de passe comme 1Password.