La double authentification est la mesure de sécurité la plus rentable

Quand une entreprise ou un particulier nous demande par quoi commencer en matière de sécurité, notre réponse est presque toujours la même : la double authentification, avant tout le reste. Non parce qu'elle serait à la mode, mais parce qu'elle neutralise le scénario d'attaque le plus fréquent que nous constatons en intervention.

Qu'est-ce que la double authentification ?

La double authentification (ou authentification à deux facteurs, A2F, MFA en anglais) ajoute une seconde preuve d'identité au mot de passe : un code temporaire généré sur votre téléphone, une validation dans une application, une clé physique ou une clé d'accès. Un mot de passe volé ne suffit plus pour entrer dans le compte.

Le scénario que l'on voit vraiment

Contrairement à l'image du pirate qui force une porte, l'attaque typique commence par un mot de passe qui n'a pas été volé chez vous. Il a fuité chez un prestataire, un forum, une boutique en ligne, ou il a été aspiré par un logiciel espion de type infostealer, puis réutilisé sur la messagerie professionnelle. L'attaquant ne casse rien : il se connecte normalement, avec les identifiants légitimes.

Une fois dans la messagerie, il observe. Il repère les échanges avec le comptable, les factures en attente, le vocabulaire employé. Puis il envoie, depuis l'adresse réelle, un message parfaitement crédible demandant un changement de coordonnées bancaires. Aucun antivirus ne détecte cela, parce qu'il n'y a techniquement rien d'anormal.

Ce que change la double authentification

Le mot de passe volé ne suffit plus. Dans le scénario ci-dessus, l'attaque s'arrête à la première étape.

C'est ce rapport coût-bénéfice qui la rend prioritaire : quelques minutes de configuration par utilisateur, aucun budget logiciel, et l'élimination d'une classe entière d'incidents.

Par où commencer, dans l'ordre

1. La messagerie en premier : c'est la clé de tout le reste, puisqu'elle permet de réinitialiser les autres comptes.

2. Les comptes administrateurs : Microsoft 365, Google Workspace, hébergeur, registrar du nom de domaine, banque en ligne.

3. Les accès distants : VPN, prise en main à distance, panneau d'administration du serveur.

4. Les outils métier contenant des données clients.

Pour un particulier, l'ordre est le même : messagerie, banque, compte Apple ou Google, réseaux sociaux, puis sites marchands.

Quelle méthode choisir

Les clés d'accès, la suite logique

Les clés d'accès (passkeys) remplacent le mot de passe lui-même par une clé cryptographique stockée sur votre téléphone ou votre ordinateur, déverrouillée par votre empreinte, votre visage ou votre code. Google, Apple et Microsoft les proposent désormais sur leurs comptes, et de plus en plus de sites suivent.

Leur grand avantage : elles résistent au hameçonnage. Une clé d'accès ne fonctionne que sur le vrai site pour lequel elle a été créée. Une fausse page de connexion, aussi parfaite soit-elle, ne peut rien en tirer. Partout où elles sont proposées, nous recommandons de les activer.

L'objection habituelle

« Cela va compliquer la vie des équipes. » En pratique, non : sur un appareil de confiance, la validation n'est demandée que ponctuellement. La vraie difficulté est ailleurs : que faire quand quelqu'un perd ou change de téléphone. Elle se règle en préparant des codes de secours et une seconde méthode au moment du déploiement. C'est précisément le genre de détail que nous cadrons avec vous, et que l'on oublie souvent en changeant d'appareil.

Questions fréquentes

La double authentification est-elle infaillible ?

Non, mais elle relève considérablement le niveau. Certaines attaques sophistiquées interceptent la session après la connexion, d'où l'intérêt des clés d'accès, qui résistent à ces techniques, et d'une vigilance face aux faux supports techniques.

Que faire si je perds mon téléphone ?

Utilisez les codes de secours fournis lors de l'activation, ou la seconde méthode configurée. Sans l'un ni l'autre, la récupération du compte passe par la procédure du fournisseur, souvent longue. D'où l'importance de les préparer dès le départ.

Combien de temps pour équiper une entreprise ?

Activer la double authentification sur l'ensemble d'un parc prend généralement une demi-journée. C'est probablement la demi-journée la mieux investie de votre plan de sécurité, et elle fait partie de notre prestation de sécurisation des comptes.