2FAuth 9 importe Ente Auth et trie vos codes à usage unique par favoris
Publiée le 27 octobre 2026, 2FAuth 9 ajoute un mode tableau, un système de favoris et l’import du format Ente Auth au gestionnaire TOTP auto-hébergé. Si vos codes vivent dans une application de téléphone, rapatriez-les maintenant — mais gardez le conteneur à jour, comme le rappelle la refonte PHP2Shell du 22 octobre.
27 octobre 2026, 00 h 19. Bubka publie 2FAuth 9.0.0, nouvelle version majeure du gestionnaire de codes à usage unique auto-hébergé. 22 octobre 2026. La 8.0.3 poussait en urgence une image Docker intégrant PHP 8.4.27 pour corriger les deux failles PHP2Shell. 9.0. La version ajoute un mode tableau, un système de favoris et l’import du format Ente Auth. Le point qui compte : on peut enfin organiser ses codes et quitter une application de téléphone sans perdre ses sauvegardes, à condition de ne pas oublier que le serveur, lui, reste à patcher.
Un coffre de codes qui ne vit pas dans la poche
2FAuth occupe une case précise : c’est un gestionnaire de TOTP et de HOTP auto-hébergé, distribué sous licence AGPL-3.0, écrit en PHP sur le framework Laravel et livré en image Docker. À la place de confier ses codes à Google Authenticator ou à Authy, on les stocke dans sa propre instance, accessible depuis n’importe quel navigateur. Le projet dépasse les 4 000 étoiles sur GitHub et se présente comme une alternative aux générateurs propriétaires, pour les particuliers comme pour les équipes.
Pourquoi s’en préoccuper ? Un téléphone est un point de défaillance unique : le perdre, le casser ou le faire voler revient à se couper de tous les comptes protégés, au pire moment. En déplaçant les codes sur un serveur qu’on contrôle, on gagne un accès multi-appareils, une sauvegarde chiffrée et la possibilité de partager certains comptes avec un collègue sans lui céder le téléphone. Le prix à payer est double : il faut héberger et maintenir le service, et il faut accepter de concentrer tous ses codes au même endroit — ce qui rend la sécurité de l’instance critique.
Ce que change la version 9
La 9.0.0 est une version de confort plus que de rupture. La nouveauté la plus visible est un mode tableau pour les écrans larges : au lieu de cartes empilées, les comptes s’affichent en lignes et en colonnes, ce qui change tout quand on gère des dizaines d’entrées. Vient ensuite le système de favoris : un compte fréquemment utilisé peut être marqué comme favori, indépendamment de son groupe, et un bouton dans la barre de filtres permet de n’afficher que ceux-là. Pour l’administration, de nouveaux boutons de sélection rapide facilitent les opérations en masse — déplacer, ne plus partager, supprimer ou exporter plusieurs comptes d’un coup.
Deux corrections accompagnent la sortie. La première règle un bug où les grosses réponses de l’API étaient tronquées quand le conteneur tournait en utilisateur non-root, le dossier temporaire de FastCGI n’étant pas accessible en écriture. La seconde lève un blocage d’installation lié à un avis de sécurité Composer sur la dépendance enshrined/svg-sanitize. Deux correctifs qui montrent que le projet surveille ses dépendances de près — ce qui n’est pas un luxe pour un outil de sécurité.
Ente Auth, la passerelle de sortie
Le changement le plus stratégique est le support du format d’export Ente Auth. Ente Auth est un authentificateur open source réputé pour ses sauvegardes chiffrées de bout en bout ; son format d’export est devenu une sorte de lingua franca pour migrer ses codes d’un gestionnaire à l’autre. En l’acceptant en entrée, 2FAuth se pose en destination de sortie pour quiconque veut quitter Google Authenticator, Authy ou Ente Auth lui-même.
Concrètement, la migration devient : exporter ses codes depuis l’application actuelle, importer le fichier dans 2FAuth, vérifier que les codes tournent, puis supprimer l’ancienne application. C’est la boucle complète que beaucoup d’auto-hébergeurs attendaient. Jusqu’ici, importer ses codes dans une instance signifiait souvent ressaisir chaque secret à la main, un exercice décourageant dès qu’on dépasse une vingtaine de comptes. Avec Ente Auth, le verrou tombe, et le coût de bascule vers l’auto-hébergement chute d’un coup.
Le rappel PHP2Shell : héberger, c’est patcher
Le contexte récent donne un poids particulier à cette sortie. Le 22 octobre 2026, 2FAuth a publié la 8.0.3 avec un objectif unique : repousser une image Docker intégrant PHP 8.4.27, qui corrigeait CVE-2026-109618 et CVE-2026-109619, les deux failles PHP2Shell d’exécution de code à distance non authentifiée. Ces vulnérabilités vivent dans le moteur PHP depuis la version 5.4 et touchent toutes les applications PHP — y compris un gestionnaire de codes auto-hébergé comme 2FAuth.
La leçon est simple : en auto-hébergeant son authentification, on devient son propre patcheur. Un gestionnaire de codes exposé sur une faille PHP2Shell non corrigée ne protège plus rien ; pire, il devient le coffre-fort que l’attaquant ouvre en premier. C’est l’argument qui sépare les auto-hébergeurs sérieux des autres : suivre les sorties du projet et tirer l’image dès qu’une correction de sécurité est publiée. La 8.0.3 de 2FAuth est un bon exemple de réaction — image mise à jour quelques heures après le correctif PHP.
# Rester patché, en deux commandes, dès qu'une correction de sécurité sort :
docker compose pull 2fauth
docker compose up -d 2fauthFaut-il auto-héberger ses codes 2FA ?
La réponse n’est pas binaire. Auto-héberger ses codes TOTP supprime le point de défaillance du téléphone et rend la migration entre appareils triviale, mais déplace le risque vers son propre serveur : si l’instance tombe ou se fait compromettre, tout tombe en même temps. Les alternatives cloud comme Ente Auth ou Bitwarden délèguent la maintenance à un tiers mais conservent un point de confiance central. 2FAuth se distingue par sa simplicité : une base SQLite ou PostgreSQL, un conteneur, une interface web, et c’est parti.
Le vrai critère de choix, c’est la rigueur d’exploitation. Une instance 2FAuth mal sauvegardée ou jamais mise à jour est plus dangereuse qu’un authentificateur de téléphone maintenu par un éditeur. À l’inverse, pour une équipe qui patche déjà ses services et sauvegarde ses volumes, 2FAuth retire un intermédiaire et garde les secrets sous son propre contrôle — un argument qui pèse lourd quand l’authentification devient le verrou central de toute l’infrastructure.
Verdict
Si vous gérez plus de vingt codes et que vous voulez sortir d’une application de téléphone, 2FAuth 9 est le moment de sauter le pas : l’import Ente Auth supprime le principal obstacle à la migration, et les favoris règlent le quotidien. Si vous n’êtes pas prêt à surveiller les sorties et à rebuilder l’image à chaque correctif de sécurité, restez sur un authentificateur cloud — la 8.0.3 du 22 octobre rappelle qu’un gestionnaire auto-hébergé ne vaut que par sa mise à jour. Le fond du problème n’a pas changé : la deuxième factorisation protège autant que la rigueur de celui qui l’héberge.