Double authentification (MFA) : la protection n°1 des comptes de votre PME
La double authentification, ou MFA (authentification multifacteur), ajoute au mot de passe une seconde preuve d’identité : une validation sur le téléphone, un code temporaire ou une clé physique. C’est la mesure la plus efficace et la moins coûteuse pour empêcher le piratage des comptes de votre entreprise, car un mot de passe volé ne suffit plus pour entrer. Voici comment elle fonctionne, quelles méthodes choisir, où l’activer en priorité et comment la déployer sans freiner vos équipes.
Qu’est-ce que la double authentification ?
Pour prouver son identité, on dispose de trois familles de preuves, appelées facteurs :
- Ce que je sais : un mot de passe, un code PIN.
- Ce que je possède : un smartphone, une clé de sécurité USB, une carte à puce.
- Ce que je suis : une empreinte digitale, la reconnaissance du visage.
On parle d’authentification multifacteur lorsque la connexion combine au moins deux facteurs de familles différentes. « Double authentification », « validation en deux étapes » ou « 2FA » désignent le cas le plus courant : le mot de passe, plus le téléphone.
Concrètement, vous saisissez votre mot de passe comme d’habitude, puis vous confirmez la connexion sur votre téléphone, à chaque fois ou seulement depuis un appareil inconnu. Cybermalveillance.gouv.fr la décrit comme une mesure « pratique et peu contraignante » et conseille de l’activer chaque fois que c’est possible.
Pourquoi le mot de passe seul ne suffit plus
Un mot de passe, même complexe, peut être volé sans que vous le sachiez :
- L’hameçonnage : un faux e-mail imitant Microsoft ou votre banque vous renvoie vers une page de connexion contrefaite, où vous saisissez vous-même vos identifiants (voir notre article tout savoir sur l’hameçonnage).
- Les fuites de données : quand un site dont vous êtes client est piraté, les identifiants dérobés sont revendus puis testés automatiquement ailleurs.
- La réutilisation : si le même mot de passe sert pour un site marchand et pour la messagerie professionnelle, une seule fuite ouvre les deux portes.
Avec la MFA, l’attaquant qui connaît le mot de passe reste bloqué : il n’a ni votre téléphone ni votre clé. Selon Microsoft, elle permet de bloquer plus de 99,2 % des attaques visant à compromettre un compte.
Les méthodes, de la plus faible à la plus robuste
Toutes les doubles authentifications ne se valent pas. L’ANSSI (Agence nationale de la sécurité des systèmes d’information) le rappelle dans son guide Recommandations relatives à l’authentification multifacteur et aux mots de passe : multifacteur ne veut pas forcément dire « forte ».
| Méthode | Comment ça marche | Protection |
|---|---|---|
| Code par SMS | Un code à 6 chiffres arrive sur le mobile | Faible, mais mieux qu’un mot de passe seul |
| Code d’application | Microsoft Authenticator, Google Authenticator… affichent un code renouvelé toutes les 30 secondes | Bonne |
| Notification avec correspondance de nombres | On approuve la connexion en recopiant le nombre affiché sur l’ordinateur | Bonne, résiste à la fatigue MFA |
| Clé FIDO2 ou clé d’accès (passkey) | Une clé USB/NFC ou le smartphone prouve l’identité par cryptographie, après un geste (doigt, PIN) | Très élevée, résiste à l’hameçonnage |
Le SMS est le plus répandu mais le plus fragile. L’ANSSI souligne qu’il peut être intercepté et décrit l’arnaque du SIM swapping : l’escroc se fait passer pour vous auprès de votre opérateur pour obtenir une carte SIM à votre numéro et recevoir vos codes.
Les applications d’authentification sont le bon compromis pour la plupart des PME : gratuites, simples et indépendantes du réseau téléphonique.
Les clés FIDO2 et clés d’accès sont la solution la plus sûre : elles ne fonctionnent que sur le véritable site pour lequel elles ont été enregistrées. Même si un collaborateur clique sur une fausse page Microsoft, la clé refuse de s’authentifier.
Où activer la MFA en priorité ?
Commencez par les comptes dont le piratage serait le plus grave :
- La messagerie professionnelle (Microsoft 365, Google Workspace) : c’est par e-mail que l’on réinitialise les autres mots de passe, et une boîte piratée sert à envoyer de fausses demandes de virement.
- Les comptes administrateurs : console Microsoft 365, hébergement, nom de domaine, pare-feu. Un seul compte admin compromis donne les clés de toute l’entreprise.
- La banque en ligne : chaque utilisateur habilité doit valider connexions et virements avec l’authentification forte de la banque.
- Le VPN et les accès à distance : protégés par un simple mot de passe, ils sont une porte d’entrée classique des rançongiciels.
- Les outils SaaS : comptabilité, CRM, paie, stockage en ligne, réseaux sociaux de l’entreprise.
Chez Microsoft, ce n’est plus une option pour les administrateurs. Selon Microsoft Learn, la MFA est imposée progressivement depuis octobre 2024 pour le portail Azure et les centres d’administration Entra et Intune, et depuis février 2025 pour le centre d’administration Microsoft 365, sans possibilité d’y renoncer.
Comment déployer la MFA sans bloquer vos équipes
Le vrai risque est le collaborateur bloqué parce qu’il a changé de téléphone. Quelques précautions l’évitent :
- Faites l’inventaire des comptes et services, y compris les comptes partagés (accueil@, compta@) et les vieux logiciels de messagerie incompatibles.
- Commencez par les administrateurs, puis la direction et la comptabilité, avant d’étendre à tous.
- Prévenez et accompagnez : expliquez le « pourquoi » et proposez un créneau d’enrôlement avec une personne pour aider.
- Enregistrez deux méthodes par personne (application et clé, ou second appareil) pour éviter tout blocage.
- Gardez un compte administrateur d’urgence, protégé par une clé FIDO2 rangée en lieu sûr.
- Écrivez la procédure en cas de perte de téléphone : qui contacter, et réinitialisation après vérification de l’identité.
Sur Microsoft 365, les paramètres de sécurité par défaut, gratuits, imposent la MFA à tous avec l’application Microsoft Authenticator. Pour plus de finesse (exceptions, clés obligatoires pour les admins), on passe par l’accès conditionnel, inclus dans certains abonnements. C’est un réglage que nous vérifions lors de chaque migration vers Office 365.
Le piège à connaître : la fatigue MFA
L’attaque par fatigue MFA consiste, pour un pirate qui possède déjà le mot de passe, à déclencher des dizaines de demandes de validation sur le téléphone de sa victime, jusqu’à ce qu’elle appuie sur « Approuver » par lassitude. C’est ainsi qu’Uber a été piraté en septembre 2022.
Pour s’en protéger :
- Activez la correspondance de nombres, imposée par Microsoft dans Authenticator depuis mai 2023 : un pirate à distance ne peut pas fournir le nombre affiché à l’écran.
- Formez vos équipes : une demande que l’on n’a pas déclenchée, on la refuse, on prévient le support et on change son mot de passe.
- Réservez les clés FIDO2 aux comptes sensibles, car elles résistent aussi aux faux sites qui relaient le code en temps réel.
Enfin, comme le rappelle l’ANSSI, la MFA ne doit pas donner un faux sentiment de sécurité : elle complète les mises à jour, la sauvegarde et la surveillance, que nous détaillons dans notre page sur la sécurité des données informatiques.
Questions fréquentes
Quelle est la différence entre 2FA et MFA ?
La 2FA (authentification à deux facteurs) utilise exactement deux preuves d’identité, en général un mot de passe et un téléphone. La MFA (authentification multifacteur) désigne toute connexion combinant au moins deux facteurs de familles différentes. Les deux termes sont souvent employés indifféremment.
La double authentification par SMS est-elle suffisante ?
Le SMS vaut mieux qu’un mot de passe seul, mais c’est la méthode la plus faible : l’ANSSI rappelle que les codes peuvent être interceptés ou détournés par un changement frauduleux de carte SIM. En entreprise, préférez une application d’authentification avec correspondance de nombres, et une clé FIDO2 pour les administrateurs.
La MFA est-elle obligatoire pour Microsoft 365 ?
Elle l’est pour les administrateurs : Microsoft l’impose progressivement depuis février 2025 pour le centre d’administration Microsoft 365, et depuis octobre 2024 pour le portail Azure et les centres Entra et Intune. Pour les autres utilisateurs, c’est à l’entreprise de l’activer, gratuitement, via les paramètres de sécurité par défaut ou l’accès conditionnel.
Que faire si un collaborateur perd son téléphone ?
S’il a enregistré une seconde méthode, il l’utilise pour se connecter, puis retire l’ancien téléphone de son compte. Sinon, un administrateur réinitialise sa MFA après avoir vérifié son identité, et le collaborateur enregistre son nouvel appareil.
Protégez vos comptes dès aujourd’hui
La double authentification se met en place en quelques jours et ne coûte presque rien, mais elle ferme la porte à la plupart des piratages de comptes. Chez ITAK IT, nous aidons les TPE et PME d’Île-de-France à l’activer sur Microsoft 365 et leurs outils métier, avec un déploiement progressif. Pour faire le point sur la sécurité de vos comptes, contactez notre équipe.
