Double authentification en entreprise : par où commencer ?

La double authentification, ou authentification multifacteur (MFA), ajoute une seconde preuve d’identité au mot de passe : un code, une validation sur téléphone, une clé physique. Même si un mot de passe est volé, le compte reste protégé tant que l’attaquant n’a pas aussi le second élément. Pour une entreprise, commencez par les comptes d’administration, la messagerie et les accès financiers, puis étendez à tous les collaborateurs.

Les solutions ne se valent pas : une clé de sécurité ou un passkey résiste mieux à l’hameçonnage qu’un code reçu par SMS. Cet article compare les méthodes, indique l’ordre de déploiement et les étapes sous Microsoft 365 et Google Workspace.

Pourquoi un mot de passe seul ne suffit-il plus ?

Les mots de passe sont volés par hameçonnage, réutilisés d’un service à l’autre, devinés ou récupérés dans des fuites de données. Dès qu’un attaquant en possède un, il se connecte comme vous. L’ANSSI, l’agence nationale de cybersécurité, consacre un guide aux recommandations relatives à l’authentification multifacteur et aux mots de passe, qui encourage l’authentification multifacteur et adapte l’exigence à la sensibilité du service. Consultez la page officielle pour la version en vigueur du guide.

La CNIL aborde aussi l’authentification dans ses recommandations de sécurité des données personnelles.

Quelles méthodes de double authentification existe-t-il ?

Microsoft recommande, dans sa documentation Entra ID, les méthodes résistantes à l’hameçonnage (Windows Hello for Business, passkeys FIDO2, clés de sécurité, authentification par certificat). Google indique de son côté que les clés de sécurité sont l’option la plus forte pour Workspace et que l’invite Google ou une application d’authentification sont des alternatives plus faciles à déployer (aide Google).

Quels comptes protéger en premier ?

Ne cherchez pas à tout faire d’un coup. Priorisez selon l’impact d’une prise de contrôle :

1. Les comptes administrateurs (messagerie, domaine, hébergement, site web). Google exige d’ailleurs la validation en deux étapes pour les administrateurs Workspace.
2. Le nom de domaine et la zone DNS : qui contrôle le domaine contrôle le courrier et le site.
3. La messagerie de la direction et de la comptabilité : cibles fréquentes pour les fraudes aux virements.
4. Les accès bancaires et financiers, quand le service propose une MFA.
5. L’administration du site web (WordPress, e-commerce) : voir site piraté : que faire.
6. Les outils métiers avec données clients (CRM, facturation).
7. Tous les collaborateurs, une fois la méthode stabilisée.

Comment l’activer sous Microsoft 365 ou Google Workspace ?

Les interfaces évoluent : suivez les pages d’aide officielles et vérifiez les écrans actuels.

Google Workspace. Dans la console d’administration, la validation en deux étapes peut être optionnelle ou obligatoire pour les utilisateurs, avec une période de transition. Vous choisissez les méthodes autorisées (clés de sécurité, invite Google, application d’authentification, codes de secours). Google recommande de l’imposer aux administrateurs et aux utilisateurs qui manipulent des données sensibles.

Microsoft 365. L’authentification multifacteur se gère via Microsoft Entra ID. Selon la licence, vous disposez de réglages par défaut de sécurité ou de stratégies d’accès conditionnel. Choisissez les méthodes autorisées (Authenticator, passkeys, clés FIDO2) et prévoyez un compte d’accès de secours, protégé et conservé hors ligne, pour ne pas vous verrouiller soi-même.

Quelle que soit la plateforme, la trame est identique :

1. Désigner un responsable du projet et un suppléant.
2. Choisir les méthodes autorisées (privilégier clés, passkeys ou application ; limiter SMS).
3. Activer d’abord pour un groupe pilote (administrateurs, direction).
4. Faire enregistrer deux méthodes par personne (par exemple application et clé de secours).
5. Fixer une date d’obligation pour tous, avec un message clair.
6. Prévoir le dépannage : téléphone perdu, changement d’appareil, départ d’un salarié.

Comment éviter les erreurs de déploiement ?

• Ne pas se verrouiller : conservez un accès de secours protégé et testé.
• Former les équipes : une notification inattendue doit être refusée et signalée, jamais approuvée « pour que ça s’arrête ».
• Traiter les comptes partagés et les applications anciennes qui ne gèrent pas la MFA : les remplacer par des comptes nominatifs.
• Gérer les départs : retirer les appareils et méthodes d’un salarié qui quitte l’entreprise.
• Documenter la procédure de récupération, y compris l’identité du demandeur, pour éviter qu’un faux appel au support ne contourne la protection.

La double authentification suffit-elle ?

Non. Elle réduit fortement les risques liés au vol de mot de passe, mais ne couvre pas tout : un poste infecté, un faux site qui capte aussi le code, ou une session volée restent possibles selon la méthode. Elle fait partie d’un ensemble : mises à jour, sauvegardes, alertes, sensibilisation. Notre service sécurité de la messagerie et des comptes traite ce périmètre, et nos articles sur SPF, DKIM et DMARC et sur la maintenance d’un site complètent la démarche.

Questions fréquentes

Un gestionnaire de mots de passe remplace-t-il la MFA ?

Non, les deux se complètent. Le gestionnaire aide à avoir des mots de passe longs et uniques ; la MFA protège le compte si le mot de passe est volé malgré tout.

Que faire si un salarié perd son téléphone ?

Il prévient immédiatement le responsable, qui révoque les sessions et les méthodes enregistrées et lui fait enregistrer un nouvel appareil, après vérification de son identité par un moyen indépendant.

La MFA ralentit-elle le travail ?

Légèrement au départ. Avec des passkeys ou des clés, la connexion peut devenir plus rapide qu’avec un mot de passe et un code.

Comment accompagner les équipes au quotidien ?

Une MFA bien acceptée repose sur des consignes simples. Expliquez en quelques lignes pourquoi elle est mise en place, ce qui change à la connexion et à qui s’adresser en cas de blocage. Précisez la règle d’or : ne jamais communiquer un code ou approuver une demande de connexion que l’on n’a pas déclenchée soi-même, quelle que soit la personne qui le demande, y compris quelqu’un se présentant comme le support informatique.

Prévoyez une procédure de récupération documentée et testée, car c’est souvent là que la protection est contournée : un appel convaincant au support suffit si l’identité n’est pas vérifiée. Enfin, passez en revue tous les trimestres la liste des comptes actifs, des appareils enregistrés et des méthodes autorisées, et retirez tout ce qui n’est plus utilisé.

Pour planifier le déploiement dans votre entreprise, contactez-nous en indiquant votre messagerie et le nombre de comptes ; consultez aussi notre page cybersécurité.