Double authentification en TPE : guide de déploiement

La double authentification, ou MFA, empêche qu’un mot de passe volé suffise à ouvrir un compte. Ce guide répond à une intention précise : la déployer dans une TPE, service par service, avec une récupération maîtrisée. Il ne remplace ni une politique complète de mots de passe, ni la suppression des anciens accès, ni un plan de réaction après cyberattaque. Ces sujets disposent de leurs propres procédures.

1. Comprenez ce que protège réellement la MFA

Une authentification multifacteur demande au moins deux preuves de catégories différentes : quelque chose que la personne connaît, comme un mot de passe ; quelque chose qu’elle possède, comme une clé ou un téléphone ; ou quelque chose qu’elle est, via une caractéristique biométrique. Deux mots de passe ne forment donc pas deux facteurs. Un mot de passe suivi d’un code produit sur un appareil, oui. L’objectif est de rendre inutilisable un identifiant intercepté ou réutilisé.

La MFA réduit fortement le risque lié aux mots de passe compromis, mais elle ne sécurise pas tout. Un collaborateur peut encore valider une demande frauduleuse, un appareil déjà connecté peut être détourné, un logiciel malveillant peut voler une session et un compte de récupération faible peut contourner le dispositif. Le déploiement doit donc compléter le gestionnaire de mots de passe, la mise à jour des appareils, la vigilance face aux messages et la limitation des droits.

Fixez une frontière simple : ce projet porte sur l’authentification aux services professionnels. Il ne consiste pas à acheter immédiatement un outil central pour tout le système d’information. Une TPE peut obtenir un gain rapide en activant correctement les fonctions déjà incluses dans ses principaux services, puis décider si une gestion centralisée des identités devient nécessaire.

2. Classez les comptes selon l’effet domino

Inventoriez les services, leur propriétaire, les utilisateurs, le rôle administrateur, les modes de connexion et les options MFA disponibles. Appuyez-vous sur l’inventaire du parc et des logiciels. Recherchez aussi les comptes créés avec une adresse personnelle, les accès de prestataires et les abonnements oubliés. Sans cette carte, l’équipe protège les outils visibles mais laisse souvent ouverte la console qui permet de réinitialiser tous les autres.

Traitez d’abord la messagerie : elle reçoit les liens de réinitialisation et sert parfois d’identité unique. Viennent ensuite les comptes administrateurs, le nom de domaine, la banque, la paie, la comptabilité, le stockage cloud, les outils clients, les sauvegardes, les réseaux sociaux et les accès distants. Un compte peu utilisé peut être critique s’il permet de modifier un DNS, de créer un nouvel administrateur ou d’exporter toute la base clients.

Ne comptez pas seulement les applications : distinguez les rôles. Un administrateur doit être protégé avant un simple lecteur. Lorsque le service autorise plusieurs comptes administrateurs, créez deux comptes nominatifs protégés plutôt qu’un identifiant partagé. Conservez un accès d’urgence strictement encadré, surveillé et testé, sans l’utiliser au quotidien.

3. Choisissez le facteur adapté au risque et au terrain

Les clés de sécurité matérielles et les clés d’accès fondées sur des mécanismes résistants à l’hameçonnage constituent un bon choix pour les administrateurs et les comptes les plus sensibles, si le fournisseur les prend en charge. Elles lient mieux l’authentification au vrai service et évitent la saisie d’un code sur un faux site. Prévoyez une deuxième clé ou une méthode de récupération contrôlée : une clé unique perdue ne doit pas arrêter l’entreprise.

Une application d’authentification générant un code temporaire est largement disponible et préférable à l’absence de second facteur. Elle exige toutefois de vérifier l’adresse du site avant de saisir le code, car un faux portail peut le relayer en temps réel. Les notifications « Accepter ou refuser » sont pratiques, mais peuvent provoquer une fatigue de validation. Activez, si possible, l’affichage du contexte ou la correspondance d’un nombre et apprenez à refuser toute demande non initiée.

Le SMS apporte une barrière utile lorsque c’est la seule option, mais il dépend du réseau téléphonique et expose notamment aux détournements de ligne et à l’hameçonnage. Ne le présentez pas comme équivalent à une clé résistante au phishing. Évitez aussi qu’un même numéro personnel devienne le moyen de récupération de tous les comptes de l’entreprise. Le choix doit tenir compte du risque, du fournisseur, des contraintes de mobilité et de l’assistance disponible.

Le stockage local d’un gabarit sous le contrôle exclusif de l’utilisateur et inaccessible au service peut exclure le fournisseur de son traitement ; il n’exempte pas automatiquement l’employeur lorsque la biométrie conditionne l’accès à un appareil ou à une application professionnelle. Avant de l’imposer, examinez le règlement type de la CNIL applicable au travail, démontrez la nécessité du dispositif et comparez les solutions moins intrusives. Distinguez la base requise par l’article 6 du RGPD de l’exception à l’interdiction de l’article 9 lorsque des données biométriques sont effectivement traitées pour identifier une personne de manière unique.

Dans la relation de travail, ne fondez pas le dispositif sur une simple « acceptation » du salarié : le consentement est généralement inadapté. Hors obligation légale particulière, l’intérêt légitime de sécuriser le système est la base la plus courante, avec une mise en balance documentée et une véritable solution de remplacement si un équipement privé serait requis. À risque comparable, une application TOTP qui ne transmet pas le numéro personnel minimise davantage les données qu’un code par SMS. Inscrivez le traitement MFA dans l’entrée de registre du traitement protégé ou dans une entrée spécifique lorsqu’il s’agit d’une brique transversale.

4. Préparez les identités, le matériel et l’assistance

Avant d’activer une obligation globale, donnez à chaque personne un compte nominatif. Un compte partagé rend impossible l’attribution des actions et transforme le téléphone du dirigeant en goulot d’étranglement. Pour les boîtes collectives, conservez des identités individuelles et accordez une délégation ; le guide sur la boîte mail professionnelle détaille cette organisation.

Définissez une norme courte : facteurs autorisés par type de compte, nombre minimal de moyens enregistrés, lieu de conservation des secours, personne habilitée à réinitialiser et preuve demandée. Achetez les clés nécessaires avec quelques unités de réserve, étiquetées par un identifiant interne et non par le nom du service. Vérifiez leur compatibilité avec les ordinateurs et téléphones réellement utilisés.

Annoncez le changement avec une date, un motif et une séance d’accompagnement. Montrez le parcours complet : enrôlement, connexion, refus d’une demande inattendue, changement de téléphone et utilisation d’un secours. N’envoyez jamais un QR code d’enrôlement dans une messagerie non vérifiée sans expliquer son caractère secret. Une personne qui scanne ce code peut dupliquer le générateur de codes.

Testez sur un petit groupe représentant les situations réelles : bureau, mobilité, administrateur, remplaçant et prestataire. Le pilote doit inclure une déconnexion complète, un navigateur privé et une récupération simulée. Notez les incompatibilités et corrigez la procédure avant d’activer une règle qui couperait l’accès à la messagerie le lundi matin.

5. Activez la MFA avec une séquence contrôlable

Commencez par sécuriser le compte racine ou propriétaire de l’organisation et vérifiez qu’aucun ancien administrateur ne subsiste. Activez ensuite la MFA des autres administrateurs, puis celle des utilisateurs du lot pilote. Lorsque le tableau de bord le permet, observez le taux d’enrôlement avant de rendre la règle obligatoire. Fixez une échéance courte mais réaliste et accompagnez individuellement les personnes bloquées.

Pour chaque compte, contrôlez l’URL officielle, enregistrez le facteur principal et le secours, téléchargez les codes de récupération, puis testez une nouvelle connexion. Vérifiez les sessions déjà ouvertes et révoquez celles qui sont anciennes ou inconnues. Certains services n’appliquent le nouveau facteur qu’aux prochaines connexions ; une session volée peut donc rester active.

Traitez les applications anciennes qui utilisent un « mot de passe d’application ». Ces secrets contournent parfois le deuxième facteur. Supprimez les protocoles obsolètes et les mots de passe d’application inutiles ; documentez toute exception avec un responsable et une date de retrait. Si un logiciel critique n’accepte pas la MFA, réduisez son exposition, limitez ses droits et planifiez son remplacement au lieu de déclarer le chantier terminé.

Ne sollicitez jamais un code MFA par e-mail, téléphone ou chat. L’assistance interne doit rappeler qu’elle ne le demandera pas. Si une personne reçoit une validation sans avoir tenté de se connecter, elle refuse, prévient le référent et vérifie les activités du compte. Cette règle transforme une notification suspecte en signal d’alerte exploitable.

6. Concevez la récupération avant la première panne

La récupération est la partie la plus négligée. Pour chaque service critique, listez les chemins possibles : seconde clé, appareil secondaire, codes à usage unique, administrateur habilité ou procédure du fournisseur. Éliminez les réponses secrètes faciles à deviner et les adresses personnelles inconnues de l’entreprise. Le moyen de secours ne doit pas être plus faible que l’accès qu’il contourne.

Conservez les codes de récupération dans un coffre distinct du mot de passe principal, avec accès limité et traçabilité. Une copie papier sous enveloppe scellée dans un lieu protégé peut convenir à une très petite structure ; un coffre numérique d’entreprise peut aussi convenir s’il ne dépend pas exclusivement du compte à récupérer. Datez la création, comptez les codes restants et régénérez-les après usage ou exposition.

Définissez comment vérifier l’identité avant une réinitialisation : rappel sur un numéro déjà enregistré, présence physique, validation par deux personnes pour un administrateur sensible. Une demande urgente provenant d’un nouveau numéro ne suffit pas. Documentez qui peut réinitialiser, comment l’action est enregistrée et quelles sessions doivent être révoquées ensuite.

Testez deux scénarios : téléphone perdu et absence du dirigeant. La TPE doit continuer sans emprunter le compte d’un collègue ni désactiver durablement la MFA. Lors d’un départ, retirez facteurs, sessions, clés et appareils selon la procédure de retrait des accès. Ne réattribuez pas une clé sans la réinitialiser conformément aux instructions du fournisseur.

7. Mesurez les exceptions et maintenez la protection

Suivez au minimum le pourcentage de comptes prioritaires couverts, les administrateurs sans facteur résistant au phishing, les exceptions, les échecs de récupération et les appareils inconnus. Un tableau trimestriel suffit souvent. La mesure doit conduire à une action : relance, retrait d’un compte, remplacement d’un ancien protocole ou ajout d’une clé de secours.

Révisez les facteurs lors de l’arrivée d’un salarié, d’un changement de téléphone, d’un changement de rôle et d’un départ. Contrôlez aussi les mises à jour du fournisseur : nouvelles méthodes disponibles, fin d’un ancien facteur, règles d’accès conditionnel. N’ajoutez pas tous les moyens possibles par confort ; chaque voie de secours est aussi une voie d’attaque.

Après une alerte de connexion, collectez l’heure, le service, l’adresse ou le contexte affiché et les actions de la personne. Révoquez les sessions et changez le mot de passe si nécessaire. Si des données ou actions ont pu être exposées, basculez vers le plan premiers réflexes après une cyberattaque. La MFA est un contrôle préventif, pas un substitut à l’analyse d’incident.

8. Suivez un plan de déploiement sur trente jours

1. Jours 1 à 3 : inventorier les comptes critiques, propriétaires, administrateurs et facteurs disponibles.
2. Jours 4 à 7 : supprimer les doublons évidents, créer les comptes nominatifs et choisir la norme par niveau de risque.
3. Semaine 2 : équiper les administrateurs, tester les clés et documenter la récupération.
4. Semaine 3 : conduire le pilote, corriger l’assistance et activer messagerie, cloud et outils financiers.
5. Semaine 4 : étendre aux autres comptes, fermer les exceptions temporaires et programmer la revue trimestrielle.

Attribuez à chaque ligne un responsable, une preuve et une date. La preuve peut être un export d’état, une capture protégée ou une ligne de registre ; elle ne doit pas contenir les codes ou secrets. Rattachez ce plan aux contrôles cybersécurité prioritaires pour garder une vision d’ensemble et éviter que le chantier MFA absorbe tout le temps disponible.

Sources officielles et primaires : CNIL — recommandation relative à l’authentification multifacteur ; ANSSI — authentification multifacteur et mots de passe ; NIST SP 800-63B — authentification et gestion des authentifiants ; Cybermalveillance.gouv.fr — double authentification. Consultées le 3 août 2026. Adaptez le niveau d’assurance aux risques, au secteur et aux fonctions réellement offertes par chaque service.

En résumé

Un bon déploiement MFA protège d’abord les identités qui commandent les autres : messagerie, administrateurs, domaine, finance et cloud. Il privilégie les facteurs résistants à l’hameçonnage, traite les comptes partagés, teste les parcours réels et considère la récupération comme un contrôle de sécurité. Une revue régulière des facteurs, sessions et exceptions maintient ensuite le bénéfice.