Des solutions IT
pour un monde
plus performant
Des solutions IT
pour un monde
plus performant
Le mot de passe seul ne constitue plus une barrière suffisante. Les bases de données de credentials compromises se comptent en milliards, les attaques par phishing se sophistiquent et les accès distants se multiplient. Dans ce contexte, l’authentification multi-facteurs est devenue le socle minimal de toute politique d’accès sérieuse. Mais activer le MFA n’est pas une fin en soi : c’est la méthode choisie, la population ciblée et les procédures associées qui déterminent le niveau de protection réel.
L’authentification multi-facteurs (également désignée double authentification, 2FA ou authentification forte) repose sur un principe simple : exiger au moins deux preuves d’identité de nature différente avant d’accorder un accès.
Ces preuves se répartissent en trois catégories :
Un utilisateur qui saisit son mot de passe puis valide une notification sur son téléphone combine les deux premières catégories. Si son mot de passe est volé, l’attaquant ne peut pas aller plus loin sans le second facteur. C’est cette rupture dans la chaîne d’attaque qui confère au MFA son efficacité.
À ne pas confondre avec la simple vérification en deux étapes (2SV), qui peut reposer sur deux éléments du même facteur, par exemple deux mots de passe successifs.
Selon Microsoft, le MFA bloque plus de 99 % des attaques automatisées sur les comptes. Les techniques les plus répandues (credential stuffing, phishing, bruteforce) exploitent des identifiants volés ou devinés. Sans le second facteur, ces identifiants ne servent à rien.
Pour les PME et ETI, le risque est concret : une prise de contrôle de messagerie ou d’un compte M365 peut conduire en quelques heures à une fraude au virement, une exfiltration de données ou le déclenchement d’un ransomware. Le MFA ne couvre pas tous les vecteurs d’attaque, mais il élimine les plus courants à faible coût.
Depuis 2022, les assureurs cyber font du MFA un prérequis non négociable à la souscription ou au renouvellement d’une police. Son absence peut conduire à un refus de couverture ou à une exclusion de garantie en cas de sinistre. Pour les PME exposées à des risques financiers significatifs, c’est un argument qui dépasse largement le seul périmètre technique.
L’ANSSI recommande le MFA dans ses guides de bonnes pratiques, notamment pour les accès distants et les comptes à privilèges. La directive NIS 2, qui élargit son périmètre aux PME sous-traitantes d’entités critiques, intègre l’authentification forte dans ses mesures obligatoires. L’ISO 27001 en fait un contrôle incontournable dès lors que des accès sensibles sont en jeu.
Pour les entreprises engagées dans une démarche de certification ou soumises à des exigences contractuelles de leurs clients grands comptes, le MFA n’est plus une option.
Toutes les méthodes ne se valent pas. Leur niveau de sécurité, leur confort d’usage et leur coût de déploiement varient significativement.
Le code à usage unique envoyé par SMS est la méthode la plus répandue, et la plus critiquée. Elle reste vulnérable aux attaques par SIM swapping (usurpation de numéro auprès de l’opérateur) et à l’interception de SMS dans certains contextes. L’ANSSI déconseille son usage pour les accès sensibles.
Son seul avantage réel : l’absence de configuration côté utilisateur. Pour des populations peu techniques ou des accès à faible criticité, c’est un point d’entrée acceptable, à condition de ne pas le généraliser.
Les applications comme Microsoft Authenticator, Google Authenticator ou Authy génèrent des codes temporels à usage unique (TOTP, soit Time-based One-Time Password), valables 30 secondes. Ce mécanisme est indépendant du réseau téléphonique et résistant au SIM swapping.
C’est aujourd’hui le meilleur compromis entre sécurité et accessibilité pour la majorité des collaborateurs. La configuration initiale prend quelques minutes, et l’usage quotidien est rapide. La plupart des solutions cloud d’entreprise (M365, Google Workspace, applications SaaS) supportent nativement le TOTP.
💡 À savoir : Les applications d’authentification modernes proposent des push notifications : l’utilisateur approuve ou refuse la connexion en un tap. C’est plus fluide que la saisie manuelle d’un code, mais attention aux attaques par fatigue MFA (envoi massif de notifications pour pousser l’utilisateur à accepter par erreur).
Les clés FIDO2 (YubiKey, clé Google Titan, clé Microsoft Compatible) sont des dispositifs matériels qui s’insèrent en USB ou s’approchent en NFC. Elles sont résistantes au phishing, car l’authentification est liée à l’origine du site web : une fausse page de connexion ne peut pas les exploiter.
C’est la méthode la plus robuste disponible aujourd’hui. Elle est recommandée pour les comptes à hauts privilèges : administrateurs système, comptes de direction, accès aux environnements de production.
Son inconvénient principal est son coût unitaire (15 à 50 € par clé) et la nécessité d’en distribuer deux par personne (une principale, une de secours). Pour une population de 10 administrateurs, c’est un investissement raisonnable et facilement justifiable.
La biométrie (empreinte digitale, Face ID) est aujourd’hui intégrée nativement dans les smartphones et ordinateurs récents. Elle est généralement utilisée comme facteur local, pour déverrouiller l’appareil, qui constitue lui-même le second facteur (FIDO2 ou certificate-based).
La biométrie seule ne remplace pas le MFA : elle déverrouille un facteur de possession, elle ne constitue pas un facteur indépendant. Il faut être clair sur ce point pour ne pas créer une fausse impression de sécurité.
C’est ici que se joue l’essentiel. Un déploiement MFA uniforme appliqué sans distinction à l’ensemble des utilisateurs est une source d’irritation, de contournements et de tickets support. La bonne approche consiste à segmenter les populations par niveau de risque et d’adapter la méthode en conséquence.
Population | Niveau de risque | Méthode recommandée |
|---|---|---|
Dirigeants, DAF, RH | Élevé (cibles de fraude, accès données sensibles) | App TOTP + clé FIDO2 pour accès critiques |
Administrateurs IT, comptes à privilèges | Très élevé | Clé FIDO2 obligatoire |
Collaborateurs bureautiques | Moyen | App d’authentification (push notification) |
Collaborateurs terrain, peu technophiles | Faible à moyen | SMS acceptable en transitoire, migration TOTP à prévoir |
Prestataires externes, accès ponctuels | Variable | TOTP ou OTP par email selon sensibilité de l’accès |
Quelques questions à se poser avant de trancher : l’utilisateur dispose-t-il d’un smartphone professionnel ? L’application est-elle accessible depuis l’étranger ? Quelle est la criticité de l’accès concerné ?
Le MFA s’inscrit dans une stratégie IAM (Identity and Access Management) plus large. Si votre organisation gère des comptes à privilèges, la combinaison MFA + PAM (Privileged Access Management) constitue un socle cohérent pour limiter la surface d’attaque. De même, un travail sur la sensibilisation cybersécurité des collaborateurs est indispensable pour éviter que le MFA ne soit contourné par ingénierie sociale.
Ne cherchez pas à tout couvrir en même temps. Commencez par les accès les plus exposés : messagerie professionnelle (M365, Google Workspace), VPN et accès distants, portails RH et financiers, outils de gestion interne (ERP, CRM), consoles d’administration. Ces accès combinent forte exposition aux attaques et fort impact en cas de compromission.
Une fois ce périmètre sécurisé, étendez progressivement le MFA aux applications secondaires. Maintenir un inventaire des applications et des méthodes d’authentification associées est un prérequis, une démarche qui s’inscrit naturellement dans un audit informatique structuré.
Le principal obstacle au MFA en PME n’est pas technique : c’est l’adoption utilisateur. Un collaborateur qui passe ses journées entre le téléphone, les réunions et les déplacements vivra mal un second facteur mal intégré.
Quelques principes qui font la différence en pratique :
La sécurité des postes de travail et la sécurité du travail nomade sont des composantes complémentaires à traiter en parallèle : un MFA robuste ne compense pas un poste non chiffré ou une connexion Wi-Fi publique non sécurisée.
C’est le point le plus souvent négligé, et l’un des plus critiques. Que se passe-t-il quand un collaborateur perd son téléphone ? Quand il change d’appareil ? Quand il part en déplacement sans réseau ?
Sans procédure de récupération documentée, deux risques émergent : soit l’utilisateur est bloqué et perd des heures de productivité, soit il fait pression pour désactiver le MFA sur son compte, annulant l’intérêt du dispositif.
À prévoir impérativement : une procédure de réinitialisation sécurisée (vérification d’identité en plusieurs étapes, validation par un responsable), des codes de récupération stockés de façon sécurisée, et une ligne de support dédiée au moment du déploiement.
Le MFA n’est pas une protection universelle. Connaître ses limites permet d’anticiper les risques résiduels plutôt que de les découvrir après incident.
Le phishing en temps réel contourne le MFA classique. Des outils comme Evilginx permettent à un attaquant de se positionner en proxy entre l’utilisateur et le service légitime, capturant en temps réel le cookie de session après authentification. Le MFA basé sur TOTP ou SMS ne résiste pas à cette technique. Seul le FIDO2 est résistant par conception.
La fatigue MFA exploite l’habitude. Des attaquants envoient des dizaines de notifications push à un utilisateur pour qu’il en accepte une par erreur. Microsoft a subi des compromissions via cette technique. La contre-mesure : activer la correspondance de nombre (l’utilisateur doit entrer un code affiché à l’écran, pas seulement appuyer sur Approuver).
Les comptes de service et systèmes legacy sont souvent exclus. Les applications qui ne supportent pas les protocoles modernes (SAML, OAuth 2.0, FIDO2) ne peuvent pas être protégées par MFA standard. Ces comptes constituent des angles morts à identifier et à traiter autrement (isolation réseau, rotation de mots de passe, surveillance des connexions).
Le MFA sans Conditional Access crée une fausse sécurité. Si le MFA est demandé une fois par semaine, depuis n’importe quelle localisation, sans vérification de l’état du poste, il reste utile, mais son niveau de protection est limité. Associer le MFA à des politiques d’accès conditionnel (vérification du poste, de la localisation, de l’heure de connexion) renforce considérablement la couverture.
Le MFA est un point d’entrée, pas une destination. Bien paramétré, adapté aux populations et intégré dans une stratégie d’accès cohérente, il réduit drastiquement la surface d’attaque de votre SI. Mal déployé, il génère de la friction sans apporter de sécurité réelle, ou crée des exceptions qui deviennent rapidement des failles.
Nos équipes techniques accompagnent les PME et ETI dans le déploiement et le paramétrage du MFA, de l’inventaire initial des accès à la mise en place des politiques d’accès conditionnel, en passant par la formation des utilisateurs. Depuis plus de 20 ans, nous construisons des stratégies de sécurité proportionnées aux enjeux réels de nos clients, sans dogmatisme, avec la transparence qui guide chacune de nos interventions.