Un mot de passe finit toujours par circuler. Il fuite lors du piratage d’un service tiers, il est tapé sur une fausse page de connexion, ou il est réutilisé d’un site à l’autre jusqu’à ce que l’un d’eux soit compromis. Le problème n’est pas la négligence de vos collaborateurs, c’est la nature même d’un secret que l’on doit taper plusieurs fois par jour.
L’authentification à deux facteurs part de ce constat. Plutôt que d’essayer d’empêcher un mot de passe de fuiter, elle fait en sorte qu’il ne suffise plus. C’est, après les sauvegardes, la mesure qui offre le meilleur rapport entre l’effort demandé et la protection obtenue.
Qu’est-ce que l’authentification à deux facteurs ?
Deux facteurs, cela veut dire deux preuves d’identité de nature différente : quelque chose que vous savez, le mot de passe, et quelque chose que vous possédez, votre téléphone ou une petite clé. Vous croisez ce principe tous les jours sans y penser : une carte bancaire au distributeur ne fonctionne qu’avec son code.
Concrètement, pour l’utilisateur, rien ne change à part une étape. Il tape son mot de passe comme d’habitude, puis un écran lui demande un code à six chiffres qu’il lit sur son téléphone. Cela prend environ cinq secondes.
Vous rencontrerez plusieurs appellations pour la même chose : 2FA, MFA, authentification forte, double authentification, validation en deux étapes. Le sigle MFA, pour authentification multifacteur, est simplement le terme large. Dans une PME, tous désignent le même geste.
Pourquoi cette mesure neutralise-t-elle le vol de mot de passe ?
Regardez comment se déroule une attaque ordinaire. L’attaquant obtient une liste d’identifiants, par une fuite chez un prestataire ou par une fausse page de connexion. Il essaie ces identifiants sur des centaines de services, de façon automatisée. Quand l’un fonctionne, il entre.
Le deuxième facteur casse cette chaîne au dernier maillon. L’attaquant a le mot de passe, mais il n’a pas le téléphone posé sur le bureau de votre comptable. La connexion échoue, et votre collaborateur reçoit une demande de validation qu’il n’a pas déclenchée, ce qui vous alerte au passage.
C’est également la parade la plus efficace contre l’hameçonnage classique. Une fausse page qui imite votre webmail récolte le mot de passe, mais le code affiché sur le téléphone change toutes les trente secondes et ne vaut rien quelques instants plus tard. Le mécanisme complet est décrit dans notre article sur l’hameçonnage.
Une responsable administrative réutilise le mot de passe de sa messagerie professionnelle sur un site de commande de fournitures. Ce site est piraté, les identifiants sont revendus. Trois mois plus tard, quelqu'un tente de se connecter à sa boîte mail depuis l'étranger. Avec un deuxième facteur, la tentative échoue et elle reçoit une notification. Sans lui, l'attaquant lit sa correspondance pendant des semaines avant de se faire passer pour elle auprès d'un client.
Par où commencer ? Deux comptes, pas trente
L’erreur classique consiste à vouloir tout couvrir en une fois, puis à abandonner devant l’ampleur de la tâche. Commencez par les deux accès dont la compromission ferait le plus de dégâts.
La messagerie professionnelle d’abord. C’est le compte le plus critique de l’entreprise, et rarement celui auquel on pense en premier. Votre boîte mail contient l’historique de vos échanges avec vos clients, vos fournisseurs et votre banque. Surtout, elle sert à réinitialiser les mots de passe de presque tous vos autres services : qui contrôle la messagerie finit par contrôler le reste. Les conséquences concrètes sont détaillées dans notre article sur la compromission de messagerie.
La banque en ligne ensuite. C’est en général déjà le cas en Suisse, les établissements l’imposent. Vérifiez tout de même les accès secondaires : outil de paiement de salaires, plateforme de facturation, portail de la caisse de compensation.
Une fois ces deux comptes traités, étendez au rythme qui vous convient : outils de comptabilité, gestion commerciale, accès distants, plateformes d’hébergement, réseaux sociaux de l’entreprise. Les accès distants méritent une attention particulière dès qu’une partie de l’équipe travaille hors des locaux, une situation que nous traitons dans télétravail et appareils mobiles.
Les trois formes courantes, et ce qui les distingue
Toutes les formes de deuxième facteur ne se valent pas. Voici comment elles se situent les unes par rapport aux autres.
| Forme | Comment ça marche | Robustesse | Pour qui |
|---|---|---|---|
| Code par SMS | Un code arrive par message sur le numéro enregistré | Correcte, mais la plus faible des trois | Ceux qui n’ont pas d’autre option, ou pour démarrer vite |
| Application d’authentification | Une application sur le téléphone génère un code qui change toutes les 30 secondes | Bonne, et gratuite | Le bon choix par défaut pour une PME |
| Clé physique | Un petit objet à brancher ou à approcher du téléphone | La plus élevée, résiste aux fausses pages | Direction, informatique, accès aux paiements |
L’application d’authentification a un avantage discret mais décisif : elle fonctionne sans réseau, puisque le code est calculé sur l’appareil lui-même. Elle ne dépend donc ni de l’opérateur, ni de la couverture mobile.
La clé physique va plus loin encore. Elle vérifie l’adresse du site avant de répondre, ce qui la rend insensible aux fausses pages de connexion : même un collaborateur trompé ne peut pas valider une connexion vers un site frauduleux. Son coût reste modeste, et elle se justifie pleinement pour les comptes qui autorisent des paiements.
Un code envoyé par SMS peut être intercepté, et il existe une fraude qui consiste à faire transférer un numéro de téléphone vers une nouvelle carte SIM pour recevoir les codes à la place du titulaire. Ces attaques sont réelles, mais elles demandent un effort ciblé, alors que la quasi-totalité des tentatives auxquelles une PME fait face sont automatisées et s'arrêtent net devant n'importe quel deuxième facteur. Si le SMS est votre seule option, activez-le aujourd'hui. Vous passerez à une application plus tard, quand ce sera possible.
Les objections que vous allez entendre
Elles sont toujours les mêmes, et elles ont toutes une réponse simple.
« Ça va nous faire perdre du temps. » Comptez cinq secondes, quelques fois par mois, sur un poste habituel. À comparer aux journées d’activité perdues après la compromission d’une boîte mail.
« Je ne veux pas utiliser mon téléphone privé pour le travail. » L’objection est légitime et mérite une vraie réponse, pas un passage en force. Une application d’authentification ne donne à l’employeur aucun accès au téléphone et ne transmet aucune donnée. Si la réticence persiste, une clé physique fournie par l’entreprise règle la question définitivement.
« On est trop petits pour intéresser quelqu’un. » Les attaques par identifiants volés ne choisissent pas leur cible, elles testent des listes. La taille de l’entreprise ne joue aucun rôle dans le déclenchement, seulement dans sa capacité à encaisser le choc.
« Et si je perds mon téléphone ? » C’est la seule objection qui demande une préparation réelle. Générez les codes de secours au moment de l’activation, conservez-les hors du système d’information, et enregistrez un second facteur de réserve pour les comptes importants.
Ce que le MFA ne protège pas
Une mesure honnête se juge aussi à ce qu’elle laisse passer.
Elle ne protège pas d’un poste déjà infecté. Si un logiciel malveillant est installé sur l’ordinateur, il peut agir depuis une session déjà ouverte, sans jamais avoir à se réauthentifier.
Elle ne protège pas des hameçonnages avancés, où l’attaquant relaie en temps réel le code que vous venez de saisir. Seule la clé physique bloque ce scénario.
Elle ne protège surtout pas des fraudes qui n’exploitent aucune faille technique. Dans une arnaque au président, le virement est exécuté par un collaborateur authentifié, de bonne foi, sur ordre d’un faux dirigeant. Aucun deuxième facteur n’intervient, parce qu’il n’y a rien à contourner.
Cocher une case dans les réglages est à la portée de tout le monde. Établir la liste complète des accès qui comptent dans votre entreprise l'est beaucoup moins. Presque toutes les PME oublient les mêmes choses : le compte d'administration du site web, l'accès distant ouvert pour un prestataire il y a trois ans, la boîte mail générique partagée par plusieurs personnes, le compte d'un collaborateur parti l'an dernier. Ces accès oubliés sont précisément ceux que personne ne surveille, et un inventaire sérieux demande un regard qui sait où chercher.
Ce recensement est un exercice à part entière. Il croise les services que vous payez, ceux que vos équipes ont ouverts sans le dire, et ceux que vos prestataires utilisent chez vous. Le résultat surprend souvent les dirigeants par sa longueur.
Vous pouvez commencer seul dès aujourd’hui, et c’est ce qu’il faut faire : ces mesures forment un socle utile, mais elles ne remplacent pas l’examen de votre situation propre. Pour repérer les comptes déjà exposés, l’outil de vérification des fuites de mot de passe donne un premier signal, et le check-up cyber situe votre niveau général. Les autres mesures prioritaires sont regroupées dans le pilier Bonnes pratiques.