Authentification multifacteur (MFA) : par où commencer ?
Un identifiant volé ne devient un incident grave que s’il n’existe rien derrière lui. Le MFA, ou authentification multifacteur, est ce « derrière ». Reste à savoir par où commencer, avec quelle méthode, et sans paralyser vos équipes : voici l’ordre de priorité que nous appliquons sur le terrain.
Le mot de passe seul ne protège plus rien
La plupart des intrusions ne commencent pas par une faille technique exotique, mais par un identifiant qui fonctionne. Mot de passe réutilisé d’un site personnel, deviné, récupéré dans la fuite de données d’un tiers, ou simplement saisi de bonne foi sur une fausse page de connexion : dans tous ces cas, l’attaquant n’a rien cassé. Autrement dit, il est entré avec la clé.
L’authentification multifacteur, souvent abrégée MFA, change l’équation. En effet, elle réclame, en plus du mot de passe, une preuve que l’attaquant ne possède pas : un code généré sur le téléphone du collaborateur, une validation à confirmer, ou une clé physique branchée sur le poste. D’ailleurs, Microsoft estime que cette seule mesure bloque plus de 99 % des attaques automatisées visant les comptes.
La question n’est plus de savoir si l’un de vos identifiants sera compromis, mais quand. C’est pourquoi le MFA rend cet identifiant volé inutilisable.
💡 À retenir : le MFA ne protège pas votre mot de passe, il rend son vol sans conséquence. En somme, c’est une différence de nature, pas de degré.
Sur quoi activer le MFA en premier ?
Tout activer d’un seul coup est le meilleur moyen de braquer ses équipes et d’abandonner le projet au bout de deux semaines. Mieux vaut verrouiller d’abord ce qui, une fois compromis, ouvre tout le reste.
Priorité 1 : le MFA sur la messagerie professionnelle
Microsoft 365, Google Workspace ou toute autre messagerie hébergée : c’est le centre nerveux de l’organisation. Par exemple, une boîte compromise permet d’usurper l’identité d’un dirigeant, de déclencher un faux ordre de virement, d’exfiltrer des échanges confidentiels. Surtout, elle donne accès aux liens de réinitialisation de mot de passe de tous les autres outils. Ainsi, sécuriser la messagerie, c’est sécuriser la serrure qui commande les autres.
Priorité 2 : les accès distants
VPN, bureau à distance, portails d’administration : ces accès débouchent directement sur le réseau interne et les serveurs, et ils sont scannés en permanence par des robots. Un accès distant sans second facteur revient donc à un coffre-fort dont la clé est restée sur la porte.
Priorité 3 : le gestionnaire de mots de passe
Le gestionnaire de mots de passe est le trousseau maître : s’il tombe, tout ce qu’il protège tombe avec lui. Il mérite donc le facteur le plus robuste dont vous disposez, jamais un simple code par SMS. Par ailleurs, nous détaillons cette logique dans notre article sur Passbolt et l’abandon du fichier Excel.
MFA par SMS, application ou clé physique : quelle méthode choisir ?
Toutes les méthodes de second facteur ne se valent pas, et l’écart entre la moins bonne et la meilleure est considérable.
| Méthode | Résistance au hameçonnage | À réserver à |
|---|---|---|
| Code reçu par SMS | Faible : interception, échange frauduleux de carte SIM | À écarter en contexte professionnel |
| Application d’authentification | Correcte, mais sensible au harcèlement de notifications | La majorité des collaborateurs |
| Clé de sécurité physique (FIDO2) | Très élevée : la clé refuse un faux site | Direction, finance, administrateurs |
Le code reçu par SMS : à écarter
Le code reçu par SMS est le plus répandu et le plus fragile. Il peut être intercepté, et surtout contourné par l’échange frauduleux de carte SIM, qui consiste à faire transférer le numéro du collaborateur vers une carte contrôlée par l’attaquant. Tolérable pour un compte personnel, il ne devrait donc plus protéger des données professionnelles.
L’application d’authentification : le bon compromis
L’application d’authentification installée sur le téléphone constitue le bon compromis pour la majorité des collaborateurs : gratuite, rapide à déployer, très supérieure au SMS. Elle a toutefois un angle mort.
⚠️ Le piège à éviter : le harcèlement de notifications. En effet, l’attaquant qui détient déjà le mot de passe déclenche des dizaines de demandes de validation, jusqu’à ce que le collaborateur excédé finisse par accepter. La parade tient en deux points : exiger la saisie d’un code plutôt qu’un simple bouton d’approbation, et expliquer aux équipes qu’une demande inattendue est une alerte, pas un dérangement.
La clé de sécurité physique : la parade au hameçonnage
La clé de sécurité physique constitue le niveau supérieur. Fondée sur le standard FIDO2, elle vérifie l’adresse réelle du site avant de répondre : devant une fausse page de connexion, elle refuse simplement de s’authentifier, sans que l’utilisateur ait à repérer quoi que ce soit. C’est aujourd’hui la seule méthode réellement résistante au hameçonnage, et nous la réservons aux profils les plus exposés : direction, finance, administrateurs. Enfin, nous consacrons des articles dédiés aux clés YubiKey et à la clé biométrique OffPAD.
Notre méthode de déploiement du MFA en trois temps
Le principal risque d’un projet MFA n’est pas technique, il est humain. En fait, un déploiement brutal bloque la production et déclenche un rejet durable. Nous procédons donc toujours dans cet ordre.
1
Audit des accès
On recense les points d’entrée réels : messagerie, accès distants, applications métier, comptes administrateurs. Beaucoup d’organisations découvrent à cette occasion des accès oubliés.
2
Groupe pilote
On active le MFA sur un petit groupe, souvent l’équipe informatique et quelques volontaires. Ainsi, les frictions se corrigent avant de toucher tout le monde.
3
Généralisation par vagues
On étend service par service, avec des référents formés en interne. Jamais toute l’organisation le même matin.
Anticiper la perte d’un facteur
C’est le point le plus souvent oublié, et celui qui fait le plus de dégâts : que se passe-t-il quand un collaborateur perd son téléphone ou sa clé un vendredi soir, à l’aéroport ? Par conséquent, la procédure de secours s’écrit avant le déploiement, pas le jour où le cas se présente. Codes de récupération conservés hors ligne, second facteur de réserve pour les profils critiques, et procédure de réattribution vérifiée, pour qu’un appel bien joué au support ne suffise pas à contourner tout le dispositif.
En résumé : réussir son déploiement MFA
Le MFA offre le meilleur rapport effort-bénéfice de toutes les mesures de sécurité actuelles. Commencez donc par la messagerie, enchaînez avec les accès distants, verrouillez le gestionnaire de mots de passe. Écartez le SMS, généralisez l’application d’authentification, réservez la clé physique aux profils exposés. Ensuite, déployez par vagues, en ayant prévu la perte d’un facteur. Et retenez qu’acheter cinquante clés ne sert à rien si l’annuaire et les accès distants ne sont pas configurés pour les exiger : la sécurité des accès est une architecture, pas un produit.
Questions fréquentes
Vos accès sont-ils réellement couverts ?
Ne devinez pas vos failles : un diagnostic gratuit identifie votre priorité 1 et chiffre l’effort réel. Basés à Poissy, nous accompagnons entreprises, collectivités et associations d’Île-de-France depuis 1998.
