Les mots de passe ne suffisent plus. Ils sont réutilisés d'un service à l'autre, devinés, volés lors de fuites de données ou simplement saisis sur une fausse page de connexion. L'authentification multifacteur, souvent abrégée MFA, ajoute une seconde preuve d'identité au mot de passe. Même si celui-ci tombe entre de mauvaises mains, l'attaquant reste bloqué. Pour une PME, c'est probablement la mesure de sécurité qui offre le meilleur rapport entre effort et protection. Voici comment l'aborder de manière pragmatique.
Le principe : combiner plusieurs facteurs
L'authentification repose sur trois grandes familles de preuves :
- ce que vous savez : un mot de passe ou un code PIN ;
- ce que vous possédez : un smartphone avec une application d'authentification, une clé de sécurité physique, une carte ;
- ce que vous êtes : une empreinte digitale ou une reconnaissance faciale, généralement utilisée pour déverrouiller l'appareil qui sert de facteur.
La MFA combine au moins deux de ces familles. Un attaquant qui a obtenu votre mot de passe à distance ne dispose généralement pas de votre téléphone ou de votre clé de sécurité.
Toutes les méthodes ne se valent pas
Plusieurs méthodes existent, avec des niveaux de protection différents :
- Le code par SMS : mieux que rien, mais c'est la méthode la plus faible. Les SMS peuvent être interceptés ou détournés, et un utilisateur peut être convaincu de communiquer le code.
- L'application d'authentification (codes temporaires ou notifications) : un bon niveau de protection pour la plupart des usages. Privilégiez les notifications qui affichent un numéro à saisir ou le contexte de la connexion, ce qui limite les validations par réflexe.
- Les clés de sécurité physiques et les passkeys : elles résistent au phishing, car elles vérifient l'adresse du site réel. Elles sont particulièrement recommandées pour les comptes administrateurs et la direction.
En Belgique, beaucoup de collaborateurs connaissent déjà le principe grâce à itsme ou aux lecteurs de carte bancaire : c'est un argument utile pour faire accepter la démarche.
Par quels comptes commencer ?
L'idéal est d'activer la MFA partout. En pratique, procédez par ordre de priorité :
- la messagerie et la suite collaborative (Microsoft 365, Google Workspace), qui donnent accès à presque tout ;
- les accès à distance : VPN, bureau à distance, portails d'administration ;
- tous les comptes administrateurs, y compris ceux du pare-feu, du nom de domaine et de l'hébergement du site web ;
- les outils financiers : banque en ligne, logiciel de comptabilité, plateformes de facturation ;
- les applications métier et le CRM, qui contiennent des données clients ;
- les réseaux sociais de l'entreprise, souvent oubliés et pourtant précieux pour votre image.
Réussir le déploiement auprès des équipes
La résistance au changement est souvent le principal obstacle. Quelques bonnes pratiques facilitent l'adoption :
- expliquer le pourquoi avant le comment, avec des exemples concrets de piratage de compte ;
- préparer un guide pas à pas avec captures d'écran et prévoir un moment d'accompagnement ;
- commencer par un groupe pilote, puis étendre à toute l'organisation ;
- définir une procédure en cas de perte ou de changement de téléphone, avec une vérification d'identité sérieuse ;
- éviter les exceptions permanentes, en particulier pour les dirigeants, souvent ciblés en priorité.
Côté configuration, désactivez les anciens protocoles d'authentification qui contournent la MFA et utilisez, si votre licence le permet, des règles d'accès conditionnel pour exiger une vérification renforcée dans les situations inhabituelles.
Les limites à connaître
La MFA n'est pas infaillible. Des techniques de phishing avancées peuvent intercepter une session après la connexion, et la « fatigue MFA » consiste à bombarder un utilisateur de notifications jusqu'à ce qu'il en accepte une. La règle à transmettre est simple : ne jamais valider une demande de connexion que l'on n'a pas initiée soi-même, et la signaler immédiatement. Une sensibilisation régulière et des méthodes résistantes au phishing pour les comptes sensibles complètent le dispositif. La MFA s'inscrit aussi dans une démarche plus large de sécurisation du réseau et des accès.
Activer l'authentification multifacteur demande un peu d'organisation, mais rarement un gros budget. C'est une protection immédiate contre l'une des menaces les plus courantes. Si vous ne deviez prendre qu'une décision de sécurité ce trimestre, ce pourrait bien être celle-là.
