Un mot de passe peut fuiter de mille façons : un e-mail de phishing bien imité, une réutilisation sur un site qui s’est fait pirater, un logiciel espion, un collègue qui l’a noté sur un post-it. Dans tous ces cas, la double authentification (on parle aussi de MFA, authentification multifacteur, ou 2FA) fait la différence : même avec le bon mot de passe, l’attaquant reste bloqué faute du second facteur.
C’est l’une des mesures de sécurité les plus efficaces et les moins coûteuses qui soient. Encore faut-il la déployer proprement, sans bloquer l’équipe le jour où un téléphone tombe en panne. Voici la méthode que nous appliquons dans les petites structures.
L’essentiel en 30 secondes
- Priorité absolue : la messagerie, qui permet de réinitialiser tous les autres comptes.
- Méthode par défaut : une application d’authentification. Pour les administrateurs : une clé de sécurité ou une passkey.
- Le SMS est mieux que rien, mais vulnérable : à réserver en dernier recours.
- Prévoyez la récupération dès le départ : codes de secours et seconde méthode pour chaque utilisateur.
Comment fonctionne la double authentification
Elle combine deux preuves de nature différente : quelque chose que vous savez (le mot de passe) et quelque chose que vous possédez (votre téléphone, une clé physique) ou que vous êtes (empreinte, visage). Un pirate à l’autre bout du monde peut voler un mot de passe ; il lui est beaucoup plus difficile de voler en même temps votre téléphone.
Comparatif des méthodes
| Méthode | Sécurité | Facilité | Résiste au phishing ? | Recommandation |
|---|---|---|---|---|
| Code par SMS | Moyenne | Très facile | Non | Dernier recours |
| Code d’une application (TOTP) | Bonne | Facile | Partiellement | Méthode par défaut |
| Notification à valider | Bonne | Très facile | Partiellement | Avec affichage d’un numéro à saisir |
| Clé de sécurité physique | Très élevée | Facile après prise en main | Oui | Administrateurs, direction, comptabilité |
| Passkey | Très élevée | Très facile | Oui | À privilégier quand le service la propose |
Pourquoi le SMS est-il en retrait ? Parce qu’un escroc peut faire transférer votre numéro sur une nouvelle carte SIM en se faisant passer pour vous auprès de l’opérateur, ou vous convaincre au téléphone de lui lire le code reçu. Les méthodes « résistantes au phishing » (clés de sécurité, passkeys) vérifient automatiquement le site sur lequel vous vous connectez : un faux site ne peut rien en faire.
Étape 1 : lister et prioriser les comptes
- Messagerie (Microsoft 365, Google Workspace, messagerie de l’hébergeur).
- Banque, plateformes de paiement, outils de paie.
- Nom de domaine et hébergement du site : leur piratage permet de détourner vos e-mails et votre site.
- Logiciels de gestion : comptabilité, facturation, CRM, logiciel métier.
- Stockage en ligne et outils de partage de fichiers.
- Réseaux sociaux de la structure et comptes publicitaires.
- Accès à distance : VPN, bureau à distance, outils de prise en main.
Étape 2 : choisir les méthodes par profil
- Tout le monde : application d’authentification sur le smartphone professionnel ou personnel (avec accord).
- Administrateurs et dirigeants : deux clés de sécurité (une principale, une de secours) ou des passkeys.
- Personnes sans smartphone : clé de sécurité physique, plutôt que le SMS.
Étape 3 : préparer l’équipe
La plupart des blocages viennent d’un manque de préparation. Annoncez le changement une semaine avant, expliquez en cinq minutes pourquoi c’est important (avec un exemple concret de piratage de messagerie), et prévoyez un créneau d’accompagnement pour l’installation. Préparez une fiche d’une page avec captures d’écran.
Étape 4 : activer progressivement
- Les administrateurs, en premier : ce sont les comptes les plus sensibles.
- Un groupe pilote de deux ou trois personnes, pour valider la procédure.
- Tout le monde, avec une date limite claire, après laquelle la MFA devient obligatoire.
Microsoft 365 et Google Workspace permettent d’imposer la MFA à tous depuis la console d’administration, avec une période de grâce pour l’enrôlement.
Étape 5 : prévoir la récupération
Un téléphone perdu, cassé ou changé ne doit pas bloquer l’activité :
- faites générer les codes de secours de chaque service et rangez-les en lieu sûr (coffre, gestionnaire de mots de passe de l’administrateur) ;
- enregistrez une seconde méthode pour chaque utilisateur ;
- documentez la procédure de réinitialisation, avec vérification d’identité (pour éviter qu’un escroc se fasse réinitialiser l’accès en appelant au téléphone) ;
- gardez deux comptes administrateurs distincts, pour ne jamais se retrouver enfermé dehors.
Les pièges à éviter
- Les comptes partagés (« contact@ », « compta@ ») avec un mot de passe connu de tous : transformez-les en boîtes partagées accessibles depuis des comptes nominatifs protégés par MFA.
- La fatigue des notifications : un attaquant qui a le mot de passe envoie des demandes en rafale en espérant une validation par lassitude. Règle d’or : ne jamais valider une demande qu’on n’a pas initiée, et le signaler.
- Les anciens protocoles de messagerie (IMAP, POP avec authentification basique) qui contournent la MFA : désactivez-les.
- Les comptes oubliés : anciens salariés, bénévoles partis, comptes de test.
- Les mots de passe d’application créés pour de vieux logiciels : ils contournent la MFA, à limiter et à inventorier.
Exemple : la messagerie d’une association
Scénario fréquent : la messagerie du trésorier est piratée après un phishing. L’attaquant crée une règle de transfert discrète, lit les échanges avec la banque, puis envoie un faux RIB à un partenaire. Avec la MFA, le mot de passe volé n’aurait pas suffi. C’est pourquoi la CNIL, dans sa recommandation dédiée, insiste sur l’authentification multifacteur pour les accès aux données.
Questions fréquentes
Peut-on imposer à un salarié d’installer une application sur son téléphone personnel ?
C’est un sujet à traiter avec tact. Proposez une alternative : une clé de sécurité fournie par l’employeur, ou un téléphone professionnel. Beaucoup de salariés acceptent volontiers l’application, qui ne donne aucun accès à leur téléphone.
Que faire si un utilisateur perd son téléphone ?
Il utilise un code de secours ou sa seconde méthode. À défaut, l’administrateur réinitialise sa MFA après vérification d’identité, puis il réenregistre son nouvel appareil.
La MFA ralentit-elle le travail ?
Très peu : la plupart des services ne la redemandent que sur un nouvel appareil ou périodiquement. Les passkeys rendent même la connexion plus rapide qu’avec un mot de passe.
Les bénévoles d’une association doivent-ils l’activer ?
Oui, dès qu’ils accèdent à la messagerie, aux fichiers d’adhérents, aux comptes bancaires ou aux réseaux sociaux de l’association.
La MFA suffit-elle à être protégé ?
Elle bloque l’essentiel des piratages de comptes, mais doit s’accompagner de sauvegardes, de mises à jour et d’une sensibilisation. Voir nos 12 mesures prioritaires pour les TPE.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
