Double authentification en entreprise : par où commencer

Une double authentification bien configurée bloque plus de 99 % des attaques automatisées visant les comptes en ligne. Pour une PME sans service informatique, sa mise en place commence par quatre accès critiques : la messagerie, la banque, les services administratifs et le cloud.

Comprendre la double authentification en entreprise

La double authentification en entreprise, aussi appelée 2FA, demande deux preuves distinctes avant d’autoriser une connexion. La MFA, ou authentification multifacteur, désigne plus largement un contrôle reposant sur au moins deux facteurs. Dans une petite entreprise, les deux termes renvoient souvent au même dispositif.

Un mot de passe seul ne suffit plus. Il circule parfois dans un courriel, reste enregistré dans un navigateur personnel ou se retrouve exposé après la compromission d’un service. L’ajout d’un second facteur empêche alors l’attaquant de se connecter avec le seul mot de passe volé.

Les trois familles de facteurs d’authentification

Une MFA combine des preuves appartenant à des catégories différentes :

• Ce que l’utilisateur connaît : mot de passe, code secret ou phrase de passe.
• Ce que l’utilisateur possède : téléphone, application d’authentification, carte ou clé de sécurité physique.
• Ce que l’utilisateur est : empreinte digitale, reconnaissance faciale ou autre donnée biométrique.

Saisir un mot de passe puis répondre à une seconde question secrète ne constitue pas une véritable double authentification. Les deux contrôles appartiennent à la même catégorie. Un mot de passe suivi d’un code généré sur un téléphone repose, en revanche, sur deux facteurs distincts.

À retenir : la MFA ne remplace pas un mot de passe robuste et unique. Elle ajoute une barrière lorsque ce mot de passe est deviné, réutilisé, hameçonné ou divulgué.

Choisir une méthode MFA adaptée à une PME

Toutes les méthodes n’offrent pas le même niveau de protection. Le bon choix dépend de la sensibilité du compte, des équipements disponibles et de la capacité de l’entreprise à gérer les incidents. Une méthode légèrement moins robuste mais réellement déployée reste préférable à une solution complexe laissée inactive.

L’application d’authentification comme choix courant

Une application d’authentification génère généralement un code temporaire renouvelé toutes les 30 secondes. Elle fonctionne même sans réseau mobile. Son déploiement convient à la majorité des collaborateurs équipés d’un téléphone professionnel ou autorisés à utiliser leur appareil personnel dans un cadre défini.

Certains services envoient une notification demandant de valider la connexion. Cette solution est rapide, mais l’utilisateur doit vérifier le nom du service, le lieu, l’appareil ou le numéro affiché. Une succession de notifications inattendues signale souvent une tentative d’intrusion. Valider mécaniquement pour faire disparaître l’alerte ouvre l’accès à l’attaquant.

La clé physique pour les accès les plus sensibles

Une clé de sécurité se branche sur un ordinateur ou communique sans contact avec un téléphone. Les modèles reposant sur des protocoles résistants à l’hameçonnage vérifient le service auquel l’utilisateur se connecte. Une fausse page de connexion ne récupère donc pas un code réutilisable.

Ce choix convient aux dirigeants, aux personnes capables d’effectuer un virement, aux administrateurs du système de messagerie et aux gestionnaires des espaces cloud. Deux clés par personne critique réduisent le risque d’interruption : une clé utilisée au quotidien et une seconde placée dans un lieu sécurisé.

Le SMS uniquement en dernier recours

Le SMS ajoute une protection par rapport au mot de passe seul, mais reste vulnérable au détournement de numéro, aux attaques contre l’opérateur et à l’affichage des messages sur un écran verrouillé. Il faut le conserver lorsque le service ne propose aucune meilleure option, puis migrer vers une application ou une clé dès que l’outil l’autorise.

Protéger les comptes dans le bon ordre

Activer la MFA partout en une journée crée de la confusion et augmente les demandes d’assistance. Une approche fondée sur le risque sécurise d’abord les comptes dont la compromission donnerait accès à l’argent, aux données ou aux autres identifiants.

1. La messagerie professionnelle

La boîte mail est la clé maîtresse de l’environnement numérique. Elle reçoit les liens de réinitialisation, les factures, les coordonnées bancaires et les échanges confidentiels. Un attaquant installé dans une messagerie surveille les conversations, crée des règles de transfert et attend le bon moment pour envoyer une fausse demande de virement.

CybersécuritéRançongiciel : que faire dans les premières 24 heures

La MFA doit couvrir tous les utilisateurs, mais aussi les comptes d’administration de la messagerie. Vérifiez les adresses secondaires, les comptes anciens, les boîtes partagées et les protocoles de connexion obsolètes. Un compte oublié sans MFA suffit à fragiliser l’ensemble.

2. Les accès bancaires et les moyens de paiement

Les comptes bancaires, plateformes de paiement, cartes virtuelles et outils de gestion des dépenses passent juste après. Chaque utilisateur doit disposer de son propre accès. Un identifiant partagé empêche de savoir qui a validé une opération et complique la suppression des droits lors d’un départ.

Pour les opérations sensibles, combinez la MFA avec une règle de validation interne. Par exemple, tout changement de coordonnées bancaires d’un fournisseur doit être confirmé par téléphone à partir d’un numéro déjà connu, et non depuis les coordonnées indiquées dans le message reçu.

3. Les services administratifs et sociaux

Les portails fiscaux, sociaux, douaniers ou liés aux formalités d’entreprise concentrent des données sensibles et des pouvoirs de représentation. Activez la méthode la plus forte proposée. Contrôlez également les délégations accordées au cabinet comptable, au gestionnaire de paie ou à un prestataire.

4. Le cloud et les logiciels de gestion

Viennent ensuite le stockage de fichiers, la sauvegarde, la comptabilité, la paie, la relation client, la facturation et les outils collaboratifs. Le compte administrateur mérite un traitement prioritaire. Il permet souvent de créer des utilisateurs, modifier les règles de sécurité ou télécharger l’ensemble des données.

Ordre opérationnel : commencez par la messagerie et ses administrateurs, puis la banque, les portails administratifs, le stockage cloud et les applications contenant des données clients ou financières.

Déployer la MFA sans bloquer l’activité

Un déploiement réussi repose sur une préparation courte, un test réel et une généralisation progressive. L’objectif n’est pas d’organiser un projet technique lourd. Il s’agit de réduire le risque tout en maintenant les accès nécessaires au travail quotidien.

Établir un inventaire simple des comptes

Un tableau suffit pour commencer. Notez le nom du service, son usage, le responsable interne, les utilisateurs, la présence de données sensibles, la méthode MFA disponible et l’état d’activation. Ajoutez les coordonnées du support ou du prestataire qui gère l’outil.

Classez ensuite chaque compte selon trois niveaux :

• Critique : messagerie, banque, administration, sauvegarde et comptes administrateurs.
• Sensible : comptabilité, paie, fichiers clients, signature électronique et outils commerciaux.
• Standard : services sans données confidentielles ni privilèges élevés.

Lancer un pilote avec deux ou trois personnes

Testez la solution avec le dirigeant, le responsable administratif et un collaborateur utilisant souvent les outils concernés. Le pilote doit couvrir la connexion depuis un ordinateur habituel, un téléphone, un déplacement et une session privée. Testez aussi une déconnexion complète afin de vérifier que chacun sait reprendre l’accès.

Consignez les difficultés rencontrées dans une procédure d’une page. Des captures ne sont pas nécessaires si les instructions indiquent clairement le nom du menu, la méthode choisie et la personne à contacter. Le document doit également expliquer qu’une demande MFA non initiée par l’utilisateur doit être refusée et signalée.

Généraliser par groupes

Planifiez l’activation équipe par équipe, avec un créneau d’assistance identifié. Prévenez les collaborateurs quelques jours avant. Indiquez l’objectif, le matériel requis, la durée prévue et la marche à suivre. Évitez les périodes de clôture comptable, de paie ou de forte activité commerciale.

Une séquence simple limite les interruptions :

• vérifier que les coordonnées de récupération sont à jour ;
• installer ou préparer la méthode d’authentification ;
• activer la MFA sur le compte ;
• effectuer une déconnexion puis une reconnexion ;
• enregistrer les codes de récupération dans l’espace sécurisé prévu ;
• confirmer l’activation dans le tableau de suivi.

Séparer les comptes administrateurs

Une personne disposant de droits élevés ne devrait pas utiliser son compte administrateur pour lire ses courriels ou naviguer sur le web. Créez un compte nominatif standard pour le travail courant et un compte distinct pour les opérations d’administration. Protégez ce dernier avec une clé physique ou la méthode la plus robuste disponible.

Prévoir la perte ou le remplacement d’un téléphone

La peur de rester bloqué freine souvent la double authentification en entreprise. Ce risque se traite avant l’incident. Chaque compte critique doit disposer d’au moins une méthode de récupération contrôlée par l’entreprise.

Créer des solutions de secours maîtrisées

• Générez les codes de récupération lors de l’activation.
• Conservez-les dans un coffre-fort numérique professionnel ou sous forme imprimée dans un lieu fermé.
• Enregistrez une seconde clé physique pour les fonctions critiques.
• Identifiez deux responsables autorisés à engager une récupération.
• Vérifiez que l’adresse ou le numéro de secours appartient toujours à l’entreprise.

Les codes de récupération ne doivent pas être stockés dans la boîte mail protégée par le même compte. Ils ne doivent pas non plus rester dans une note non chiffrée sur l’ordinateur ou dans une photographie du téléphone.

Appliquer une procédure en cas de perte

Lorsqu’un téléphone disparaît, l’utilisateur doit prévenir immédiatement le responsable désigné. L’entreprise révoque les sessions ouvertes, retire l’ancien facteur MFA, change le mot de passe si le contexte l’exige et inscrit le nouvel appareil. Elle vérifie ensuite l’historique des connexions et les éventuelles modifications de sécurité.

CybersécuritéAssurance cyber pour PME : ce qu’elle couvre, ce qu’elle exige

Si l’appareil contient des données professionnelles, lancez l’effacement à distance lorsque cette fonction est disponible. La carte SIM doit également être suspendue auprès de l’opérateur. Un téléphone retrouvé ne doit pas être réutilisé pour valider des accès avant contrôle.

Règle de continuité : aucune personne ne doit être l’unique détenteur du seul moyen de récupération d’un compte critique. La solution de secours reste protégée, tracée et accessible à deux responsables autorisés.

Encadrer les usages et maintenir la protection

La MFA n’est pas une opération ponctuelle. Les arrivées, les départs, les changements de téléphone et les nouveaux logiciels modifient régulièrement les accès. Une vérification trimestrielle suffit souvent dans une petite structure si les responsabilités sont clairement attribuées.

Formaliser cinq règles internes

• Chaque utilisateur dispose d’un compte nominatif.
• La MFA est obligatoire sur les services critiques et sensibles.
• Toute notification inattendue est refusée puis signalée.
• Les codes de récupération restent dans le stockage sécurisé de l’entreprise.
• Les accès et facteurs MFA d’un salarié sortant sont révoqués le jour de son départ.

L’usage d’un téléphone personnel mérite une règle écrite. Précisez les applications autorisées, le verrouillage obligatoire de l’écran, la conduite à tenir en cas de perte et les limites d’intervention de l’entreprise. Si cette organisation suscite un refus légitime, fournissez un téléphone professionnel ou une clé physique.

Contrôler quelques indicateurs simples

Le responsable administratif ou le dirigeant suit le taux de comptes couverts, le nombre de comptes administrateurs, les méthodes utilisées et les accès sans propriétaire identifié. L’objectif opérationnel est une couverture de 100 % pour la messagerie, la banque, les portails administratifs et les comptes cloud privilégiés.

Une revue trimestrielle doit rechercher les anciens salariés, les comptes partagés, les numéros personnels obsolètes, les exceptions temporaires et les applications nouvellement adoptées. Toute exception doit avoir un responsable et une date de suppression.

Les erreurs qui réduisent l’efficacité de la MFA

La première erreur consiste à protéger uniquement le dirigeant. Une boîte mail secondaire compromise sert aussi à envoyer de fausses factures ou à préparer une fraude. La deuxième consiste à laisser un ancien protocole, un compte technique ou une application contourner la MFA.

D’autres pratiques fragilisent le dispositif :

• utiliser le SMS alors qu’une application ou une clé est disponible ;
• partager un téléphone entre plusieurs utilisateurs ;
• valider une notification sans avoir lancé la connexion ;
• conserver les codes de secours au même endroit que le mot de passe ;
• désactiver définitivement la MFA après un incident d’accès ;
• oublier les comptes des prestataires et anciens collaborateurs ;
• confier toute la récupération à une seule personne.

Une demande MFA répétée sans action de l’utilisateur doit déclencher une réaction immédiate : refus de la notification, changement du mot de passe depuis un appareil sain, déconnexion des sessions et contrôle de l’historique. Cette alerte indique généralement que le mot de passe est déjà connu d’un tiers.

Plan d’action sur 30 jours pour une petite entreprise

Semaine 1 : inventorier et prioriser

Recensez les services utilisés et identifiez leurs propriétaires. Classez la messagerie, les comptes bancaires, les portails administratifs, les sauvegardes et les accès administrateurs au niveau critique. Vérifiez les méthodes MFA proposées par chaque outil.

Semaine 2 : sécuriser le noyau critique

Activez la MFA pour le dirigeant, le responsable administratif et les administrateurs. Utilisez une application d’authentification ou une clé physique. Testez les codes de récupération et placez les secours dans un emplacement contrôlé.

Semaine 3 : étendre aux collaborateurs

Déployez la protection par groupes. Remettez une consigne d’une page et réalisez une reconnexion avec chaque utilisateur. Traitez immédiatement les comptes partagés en créant des accès nominatifs lorsque le service le permet.

Semaine 4 : vérifier et documenter

Contrôlez la couverture réelle depuis les consoles d’administration. Révoquez les comptes inutiles, actualisez les coordonnées de secours et consignez la procédure de perte de téléphone. Fixez enfin une date de revue trimestrielle et nommez la personne chargée du suivi.