Android 17 protège les codes de sécurité reçus par SMS

Les codes à usage unique, ces suites de chiffres que votre banque, les impôts ou l'Assurance Maladie envoient par SMS pour valider une connexion ou un paiement, sont devenus la clé de vos comptes les plus sensibles. La nouvelle version du système Android, Android 17, vient renforcer la manière dont votre téléphone les met à l'abri.

Ce qui change avec Android 17

Jusqu'à présent, une application installée sur votre téléphone pouvait, si elle avait obtenu l'autorisation de lire vos SMS, lire aussi ces fameux codes. Une application malveillante déguisée en outil anodin pouvait donc récupérer un code au vol et tenter de prendre la main sur un compte.

Android 17 referme un peu plus cette porte. Quand un SMS contient un code de vérification, il n'est désormais lisible que par l'application réellement destinataire, celle du service qui vous l'a envoyé, et par votre application de messages habituelle. Les autres applications, même autorisées à lire les SMS, ne peuvent plus y accéder pendant trois heures. Google appliquait déjà ce délai à un premier format technique de codes ; cette version l'étend à un format supplémentaire, utilisé en particulier lors des connexions sur des sites web.

Est-ce déjà actif sur votre téléphone ?

Cette protection est intégrée à Android 17, la version 2026 du système, en cours de déploiement. Elle n'arrive pas partout au même moment : les téléphones Google Pixel la reçoivent les premiers, puis les autres marques au fil de leurs propres mises à jour, sur plusieurs mois. Un appareil plus ancien, qui ne passera pas à Android 17, n'en profitera pas ; sur celui-ci, installer les mises à jour de sécurité proposées reste la meilleure défense. Vérifier que votre téléphone reçoit bien ces mises à jour, et savoir quelle version d'Android il utilise, fait partie des points que nous regardons lors d'un passage à domicile en Seine-Maritime, crédit d'impôt de 50% compris.

La protection qui compte le plus reste la vôtre

Aucun réglage, aussi bien pensé soit-il, n'empêche de dicter soi-même un code à un escroc. C'est justement le ressort des fausses alertes bancaires et des faux conseillers : on vous appelle, on fait monter la pression, et on vous demande de communiquer le code que vous venez de recevoir. La règle tient en une phrase et ne souffre aucune exception : un code reçu par SMS ne se donne à personne, ni par téléphone, ni par message. Votre banque, les impôts ou l'Assurance Maladie ne vous le réclameront jamais ainsi. Au moindre doute sur un message ou un appel, le site public cybermalveillance.gouv.fr recense les arnaques du moment et la conduite à tenir.

Dans le même esprit, activer une double vérification sur vos comptes importants, la messagerie, la banque, l'espace des impôts, ajoute une barrière de plus : un mot de passe volé ne suffit alors plus à entrer. Si cette mise en place vous paraît compliquée, c'est le type de réglage que nous prenons le temps de faire avec vous ; notre prise de rendez-vous en ligne sert précisément à cela.

Ces protections intégrées vont dans le bon sens : elles diminuent le risque sans rien exiger de vous. Elles complètent votre vigilance, elles ne la remplacent pas. Maintenir son téléphone à jour et ne jamais communiquer un code de vérification restent, aujourd'hui encore, les deux gestes qui protègent le mieux vos comptes.

Sources : Android Developers, notes de version d'Android 17, Google, blog Sécurité et confidentialité Android 2026, Android Authority, Help Net Security.