Authentification multifacteur : la déployer en entreprise
L’authentification multifacteur ajoute une preuve d’identité au mot de passe : une application, une clé physique ou un code temporaire. Un identifiant volé ne suffit plus à ouvrir le compte. Le déploiement se planifie par ordre de sensibilité, en commençant par les comptes d’administration et la messagerie.
Ce que la deuxième preuve change concrètement
Un mot de passe se dérobe de quatre façons : hameçonnage, fuite d’une base tierce où il était réutilisé, logiciel espion sur le poste, force brute sur un compte mal protégé. Dans les quatre cas, l’attaquant obtient une chaîne de caractères valide et se connecte comme le titulaire, sans aucune alerte.
La deuxième preuve casse cette chaîne. Elle repose sur une catégorie différente : ce que la personne possède, comme un téléphone ou une clé, ou ce qu’elle est, comme une empreinte. Un attaquant qui détient uniquement le mot de passe se retrouve bloqué à la seconde étape.
La CNIL a publié en mars 2025 une recommandation consacrée à cette mesure, issue d’une consultation publique, pour aider les organismes publics et privés à la mettre en place en cohérence avec leurs obligations de sécurité au titre du RGPD. Le message central tient en deux points : toutes les méthodes ne se valent pas, et le choix se fait selon la sensibilité des données protégées.
Les trois familles de facteurs, par ordre de robustesse
La clé de sécurité physique
Une clé au format USB ou sans contact, conforme aux standards FIDO2 et WebAuthn, constitue aujourd’hui la protection la plus solide. Aucun secret ne transite : la clé signe un défi cryptographique lié au nom de domaine du site. Un site de hameçonnage, même parfaitement imité, n’obtient rien puisque le domaine ne correspond pas. Cette résistance au hameçonnage justifie son déploiement prioritaire sur les comptes d’administration.
Le coût reste modeste rapporté au risque, avec un point de vigilance : prévoir deux clés par utilisateur sensible, une principale et une de secours conservée en lieu sûr.
L’application d’authentification
Une application dédiée génère un code temporaire renouvelé toutes les trente secondes, ou affiche une notification à valider. Le niveau de sécurité dépasse largement celui du SMS, sans atteindre celui d’une clé physique : un utilisateur peut être amené à valider une demande frauduleuse par réflexe, faiblesse connue sous le nom de fatigue des notifications. Activez le rapprochement par numéro affiché lorsque l’outil le propose, afin que la validation demande une action consciente.
Le code envoyé par SMS
Le SMS reste la méthode la plus répandue et la plus fragile des trois. La carte SIM peut être détournée auprès de l’opérateur, le réseau de signalisation présente des faiblesses documentées, et le message peut s’afficher sur un écran verrouillé. Le détournement de SIM vise en priorité les dirigeants et les comptes financiers, précisément là où le SMS est encore utilisé par défaut.
Conservez-le pour les usages à faible enjeu ou comme facteur de secours, jamais comme protection principale d’un accès sensible.
Par quels comptes commencer
Un déploiement général en une fois se heurte à la résistance des équipes et sature le support. Une progression par cercles fonctionne mieux, chaque cercle validé avant de passer au suivant.
- Cercle 1 : les comptes d’administration, sur le poste, sur le site web, sur l’hébergement, sur la messagerie. Ces accès ouvrent tous les autres
- Cercle 2 : la messagerie professionnelle de tous les collaborateurs. La boîte mail sert de porte de récupération pour la quasi-totalité des services en ligne
- Cercle 3 : les accès financiers, banque en ligne, outils de paie, plateforme de facturation
- Cercle 4 : les outils métier contenant des données personnelles, gestion commerciale, ressources humaines, dossiers clients
- Cercle 5 : le reste, applications internes et services secondaires
Cette hiérarchie découle de la valeur des données protégées, logique détaillée dans notre article sur la protection des données de l’entreprise. Un compte d’administration compromis annule toutes les autres mesures.
Les points de friction à anticiper
Trois obstacles reviennent dans les déploiements de PME, et chacun se traite en amont.
Le premier tient au matériel personnel. Demander à un salarié d’installer une application professionnelle sur son téléphone privé soulève une question légitime, qui se règle par une clé physique fournie par l’entreprise ou par un terminal dédié pour les postes concernés.
Le deuxième concerne les comptes partagés. Une boîte de contact générique ou un accès administrateur utilisé par trois personnes s’accommode mal d’un second facteur individuel. La bonne réponse consiste à supprimer le partage : des comptes nominatifs avec délégation de droits remplacent avantageusement un identifiant commun, avec le bénéfice d’une traçabilité réelle.
Le troisième porte sur les prestataires. Votre agence web, votre expert-comptable et votre infogéreur détiennent souvent des accès à vos systèmes. Leur niveau d’authentification devient le vôtre. Inscrivez cette exigence au contrat et vérifiez-la lors de votre prochain audit de cybersécurité.
La procédure de secours, maillon souvent négligé
Un dispositif d’authentification sans procédure de récupération produit deux effets opposés et également fâcheux : des collaborateurs bloqués un lundi matin, ou une porte dérobée créée dans l’urgence par un administrateur pressé.
La procédure tient en quatre règles :
- Enregistrer systématiquement un second facteur de secours au moment de l’activation, jamais après
- Générer et conserver les codes de récupération hors ligne, dans un coffre-fort physique ou un gestionnaire de secrets dédié
- Vérifier l’identité du demandeur par un canal différent de celui de la demande, en rappelant un numéro connu plutôt qu’un numéro communiqué dans le message
- Journaliser chaque réinitialisation, avec la date, la personne et le motif
La fraude au support, où un attaquant se fait passer pour un collaborateur en difficulté, exploite précisément l’absence de cette dernière règle. Le mécanisme rejoint celui décrit dans notre article sur le hameçonnage et les rançongiciels : la technique compte moins que la manipulation de la personne qui décroche.
Ce que la deuxième preuve ne couvre pas
Le dispositif protège l’ouverture de session, pas ce qui suit. Trois angles morts subsistent, et les connaître évite un faux sentiment de sécurité.
Le vol de session arrive en tête. Une fois la connexion validée, le navigateur conserve un jeton qui atteste l’authentification. Un logiciel malveillant installé sur le poste, ou un site intermédiaire qui relaie la connexion en temps réel, capte ce jeton et rejoue la session sans jamais présenter de second facteur. La parade combine des durées de session courtes sur les comptes sensibles, la révocation immédiate en cas de doute, et une hygiène du poste tenue à jour.
Les accès techniques constituent le deuxième angle mort : clés d’interface de programmation, comptes de service, connexions automatisées entre logiciels. Ces identifiants ne présentent aucun second facteur par construction. Ils se protègent autrement, par restriction d’adresse IP, rotation régulière et stockage dans un gestionnaire de secrets.
Le troisième point concerne les accès distants. Un tunnel chiffré ouvert avec un simple mot de passe annule le bénéfice de la protection appliquée aux applications. Toute connexion depuis l’extérieur mérite le même niveau d’exigence que la messagerie de direction.
Combien de temps et combien d’argent
L’ordre de grandeur rassure les dirigeants qui repoussent le sujet. Sur les services en ligne courants, la fonction existe déjà et s’active dans les réglages de sécurité, sans surcoût de licence. Le budget se limite alors aux clés physiques pour les comptes sensibles et au temps d’accompagnement.
Le calendrier réaliste pour une structure de vingt personnes tient en trois étapes : une semaine pour les comptes d’administration, un mois pour la messagerie de toute l’équipe avec une session d’explication de trente minutes, un trimestre pour les outils métier. Prévoyez un pic de sollicitations du support dans les dix jours suivant chaque vague, puis un retour à la normale.
Documenter, mesurer, maintenir
Une mesure non documentée disparaît au premier changement d’interlocuteur. Trois documents courts suffisent : la liste des services couverts avec la méthode retenue pour chacun, la procédure de récupération, et le registre des exceptions temporaires avec leur date d’expiration.
Deux indicateurs méritent un relevé trimestriel : le taux de couverture, soit la part des comptes sensibles réellement protégés, et le nombre de demandes de réinitialisation, qui signale un problème d’usage quand il grimpe. Ces éléments alimentent naturellement le registre des mesures techniques attendu au titre du RGPD, sujet traité dans notre article sur les obligations du RGPD en entreprise.
La maintenance consiste surtout à traiter les mouvements de personnel : un facteur enregistré sur le téléphone d’un salarié parti reste actif tant que personne ne le révoque. Intégrez cette révocation à votre procédure de départ, au même titre que la restitution du badge.
L’ensemble s’inscrit dans le socle décrit par nos bonnes pratiques de cybersécurité : des mesures simples, appliquées partout, valent mieux qu’un dispositif sophistiqué couvrant la moitié du périmètre.
Prochaine étape : listez vos comptes d’administration, tous services confondus, et protégez-les cette semaine. Le reste du déploiement se planifie ensuite sur un trimestre, service par service.