Bonjour,
Je fais ce sujet car depuis un moment, je réfléchis à l'implémentation d'une double authentification pour un site web.
En me renseignant sur les QR Code et comment implémenter ça, j'ai trouvé des résultats comme ici :
https://www.youtube.com/watch?v=SKtc5Lrh59Y

Donc, si je comprends bien, la personne se log, un code QR apparaît, et il lui suffit d'un smartphone par exemple pour le lire et obtenir le code. Et c'est tout. Genre à aucun moment du processus, on s'assure que l'appareil qui lit le QR Code appartient bien à l'utilisateur ? Si jamais mon utilisateur se fait voler son mot de passe, cette protection est inutile ?
De fait, j'ai beaucoup de mal à comprendre l'intérêt d'une telle sécurité face à un système qui enverrait directement un code temporaire par SMS par exemple.
Malgré le titre un peu provocateur, j'imagine que cette utilité existe, que les développeurs qui implémentent ça ne le font pas pour rigoler et que Google n'a pas que ça à faire que créer des sécurités inutiles. Il y a sûrement un point que je n'ai pas compris, mais j'aimerais savoir quoi ^^'

Merci d'avance !

Le QR Code n'est affiché qu'une seul fois lors de l'activation de la double authentification.
Ce QR Code contient des informations relatives au site/application et une chaine de caractères qui sera la clé unique d'authentification de l'utilisateur. Cette clé va permettre de calculer les codes pour valider la double authentification ensuite.

1. L'internaute demande que la double authentification soit activée
2. On génère une clé et une URI que l'internaute peut récupérer dans une QR Code
3. On demande à l'internaute de générer le code correspondant au QR Code (et à l'instant t)
4. Si le code est correctement généré, on valide la demande d’activation et on associe l'internaute et la clé dans sa base
5. À la prochaine connexion, on répète l'étape 3 et on valide le code transmis par l'utilisateur avec celui attendu coté serveur (ou ceux attendus si on se donne un délais en admettant un potentiel décalage entre l'horloge du client et celle du serveur)

Donc le QR Code n'est affiché qu'une fois

Oki !
Je suis en train de tester sur Authy en même temps. Je comprends bien mieux, tu m'as bien débloqué la partie que je ne comprenais pas ! Tout à coup, ça prend beaucoup plus de sens cette histoire
Merci beaucoup !