Double authentification : faut-il l'imposer à tous ?

Double authentification: faut-il l’imposer à tous?

Elle ne suffit pourtant pas à masquer le problème: dans une large majorité de petites entreprises, le mot de passe reste encore la principale — et parfois l’unique — barrière entre un attaquant et les outils de travail.

Dans le même temps, Microsoft estime qu’une authentification multifacteur peut bloquer l’immense majorité des attaques fondées sur la compromission de comptes. Le chiffre souvent avancé est spectaculaire, mais il ne doit pas faire oublier la condition essentielle: la protection dépend de la méthode retenue, de la couverture réelle des comptes et de la manière dont le dispositif est administré. Un MFA mal configuré, limité à quelques utilisateurs ou contournable par une procédure de secours trop permissive ne constitue pas une politique de sécurité sérieuse.

L’ironie est trop belle pour qu’on la laisse passer. L’industrie du numérique a passé deux décennies à célébrer la suppression des frictions, à raccourcir les tunnels et à vanter la connexion en un clic. Et voilà qu’en 2025, les régulateurs, les assureurs et les responsables de la sécurité demandent de remettre volontairement une étape dans ces mêmes parcours. Pas par caprice. Parce qu’un compte compromis n’est pas un défaut esthétique: c’est une porte d’entrée vers la messagerie, les données clients, les outils financiers, les environnements infonuagiques et parfois l’ensemble du système d’information.

Perdre quelques secondes à une seconde étape de connexion coûte généralement moins cher que de consacrer des semaines à contenir une intrusion, restaurer des accès et expliquer à des clients pourquoi leurs données ont été exposées.

Le cadre juridique: entre recommandation de la CNIL et conformité au RGPD

Soyons précis sur ce que le droit français dit, et surtout sur ce qu’il ne dit pas. Il n’existe pas de loi unique imposant la double authentification à la totalité des salariés d’une entreprise, quelles que soient leur fonction, les données manipulées et les applications utilisées. Présenter le MFA obligatoire pour tous comme une exigence générale et uniforme relève donc du raccourci.

Le cadre juridique fonctionne autrement. L’article 32 du RGPD demande au responsable de traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque. Cette formulation ne donne pas une recette identique à toutes les organisations. Elle impose en revanche une démarche cohérente: identifier les risques, protéger les accès exposés, limiter les privilèges et être capable de justifier les choix effectués.

La CNIL a par ailleurs publié une recommandation consacrée à l’authentification multifacteur. Elle fournit un repère important pour les entreprises qui doivent déterminer quelles méthodes sont suffisamment robustes et quels accès doivent être traités en priorité. Une recommandation n’est pas, à elle seule, une sanction automatique ni une obligation générale applicable indistinctement à chaque compte salarié. Elle peut toutefois contribuer à apprécier le caractère adapté ou non des mesures prises par une organisation, notamment après un incident.

C’est là que se situe le véritable enjeu. En cas de violation de données, l’absence de MFA sur des comptes administratifs, des accès VPN ou des outils contenant des informations sensibles peut être examinée parmi les éléments permettant d’évaluer le niveau de sécurité mis en place. L’analyse dépendra du contexte: nature des données, exposition du service, rôle des comptes concernés, mesures complémentaires, alertes déjà reçues, historique des incidents et capacité de l’entreprise à démontrer sa démarche de prévention.

Les conséquences ne sont donc pas mécaniques. Une entreprise ne reçoit pas automatiquement une sanction judiciaire parce qu’elle n’a pas activé la double authentification partout. En revanche, si elle n’a pas protégé des accès manifestement critiques, n’a procédé à aucune analyse de risque et ne peut expliquer ses arbitrages, sa position sera plus difficile à défendre. Les conséquences peuvent alors être réglementaires, contractuelles, financières ou réputationnelles, selon la gravité de l’incident et les responsabilités établies.

L’ANSSI recommande depuis plusieurs années de renforcer les accès sensibles et les accès distants par une authentification forte. Là encore, il faut distinguer le conseil technique, l’état de l’art et la règle de droit. Le fait qu’une mesure soit recommandée ne la transforme pas automatiquement en obligation légale universelle. Mais ignorer durablement une mesure devenue courante pour les comptes à privilèges peut rendre l’argument de la diligence beaucoup moins convaincant.

Le MFA n’est pas une obligation uniforme pour chaque compte. C’est une mesure dont l’absence doit pouvoir être expliquée lorsque le risque, lui, est évident.

La bonne question n’est donc pas seulement: faut-il imposer le MFA à tous les salariés? Il faut aussi demander quels comptes donnent accès à quoi, quelles données seraient exposées en cas de compromission et quels usages justifient un niveau de protection renforcé. Un administrateur informatique, un dirigeant disposant d’un accès bancaire, un prestataire connecté au réseau interne et un salarié consultant un outil peu sensible ne présentent pas le même profil de risque.

Cette approche graduée n’est pas une manière de retarder le déploiement. C’est ce qui permet d’éviter deux erreurs symétriques: laisser des accès critiques insuffisamment protégés, ou imposer un parcours tellement contraignant que les utilisateurs cherchent à le contourner.

Le mythe de la sécurité par e-mail: pourquoi les méthodes classiques ne suffisent plus

C’est typiquement le terrain où l’on confond vitesse de déploiement et niveau de protection. Beaucoup d’entreprises pensent avoir coché la case « MFA » en activant l’envoi d’un code par SMS ou, pire, par e-mail à chaque connexion inhabituelle. L’intention est compréhensible: on ajoute une vérification sans modifier profondément les habitudes. Le résultat peut être beaucoup moins solide qu’espéré.

La validation par simple code reçu par e-mail ne constitue pas nécessairement une authentification multifacteur robuste. Si la messagerie est protégée par le même mot de passe, ou si elle est ouverte sur le même poste déjà compromis, le second facteur perd une grande partie de son intérêt. L’attaquant qui contrôle la boîte de réception peut intercepter le code sans rencontrer de barrière supplémentaire réellement indépendante.

Le SMS apporte une protection supérieure au mot de passe seul dans certains scénarios, mais il ne doit pas être présenté comme la solution idéale. Le numéro de téléphone peut être détourné par une fraude au remplacement de carte SIM, le téléphone peut être volé et les messages peuvent être consultés sur un appareil mal protégé. Le SMS peut rester utile comme solution de transition ou de secours, notamment lorsque les contraintes matérielles sont fortes. Il ne devrait pas devenir le seul horizon d’une politique d’authentification destinée à des accès sensibles.

Le principe à retenir est simple: un second facteur doit apporter une preuve distincte de celle fournie par le mot de passe. Cette indépendance n’est jamais un détail théorique. Elle détermine la capacité du dispositif à résister lorsque le premier facteur a déjà été dérobé.

Les applications TOTP: un compromis efficace pour les usages courants

Les applications TOTP — pour Time-Based One-Time Password — génèrent localement des codes temporaires à partir d’un secret enregistré sur l’appareil. Microsoft Authenticator, Google Authenticator ou Authy fonctionnent selon ce principe, même si leurs fonctions d’administration et de synchronisation peuvent différer.

Pour une grande partie des collaborateurs, le TOTP constitue un compromis pragmatique. Il ne demande pas de distribuer un équipement physique à chaque personne et peut fonctionner sans connexion mobile au moment de la génération du code. Il reste toutefois dépendant de la sécurité du téléphone et de la procédure de récupération. La perte ou le remplacement d’un appareil doit être prévu avant le lancement, et non découvert au premier départ en congé.

L’entreprise doit également réfléchir à la manière dont les secrets TOTP sont enrôlés et restaurés. Un code de récupération envoyé par un canal mal sécurisé peut réduire à néant les efforts consentis sur le parcours principal. Une procédure de secours doit vérifier l’identité de la personne, laisser une trace et éviter qu’un simple appel au support suffise à désactiver une protection.

Les clés FIDO2: une protection adaptée aux comptes les plus exposés

Les clés physiques FIDO2, comme les modèles proposés par Yubico, Google ou Feitian, reposent sur une authentification cryptographique. La clé répond au service auquel elle est associée et ne transmet pas un code réutilisable en clair. Elle est conçue pour résister au hameçonnage de manière plus robuste que les méthodes fondées sur la saisie d’un code.

Ce niveau de protection les rend particulièrement pertinentes pour les comptes administrateurs, les consoles infonuagiques, les accès aux infrastructures, les comptes de messagerie à privilèges et les utilisateurs susceptibles de déclencher des opérations financières importantes. Leur coût et leur gestion sont réels: il faut prévoir un stock, une clé de secours, un inventaire et une procédure en cas de perte. Ce n’est pas une raison pour les écarter. C’est la conséquence normale d’un dispositif qui protège des accès à fort impact.

Le choix ne doit pas être présenté comme une compétition entre technologies. Il doit découler de la valeur de l’accès, de l’exposition de l’application et des capacités de support de l’entreprise. Une PME peut très bien combiner une application TOTP pour les usages courants et une clé FIDO2 pour les administrateurs. Cette combinaison sera souvent plus réaliste qu’une tentative d’imposer immédiatement le même matériel à toute l’organisation.

La friction n’est pas l’ennemie de l’expérience utilisateur. Elle devient un problème lorsque l’entreprise l’ajoute sans hiérarchiser les risques ni expliquer ce qu’elle protège.

Panorama de l’adoption en France: le retard critique des TPE et PME

Le chiffre du baromètre 2025 de Cybermalveillance.gouv.fr mérite qu’on s’y arrête, non pour s’en offusquer, mais pour en tirer des conséquences opérationnelles. Selon ce baromètre, 26 % des TPE-PME françaises avaient activé une solution de double authentification en 2025, contre 20 % l’année précédente. La progression existe. Elle part toutefois d’un niveau qui laisse une grande partie du tissu économique avec des accès encore trop dépendants du seul mot de passe.

Le même baromètre indique que 16 % des TPE-PME ont subi un incident cyber au cours des douze derniers mois. Parmi ces incidents, 43 % seraient liés au hameçonnage. Il indique également que 51 % seulement disposent d’une politique de mots de passe formalisée. Ces données ne décrivent pas toutes les entreprises françaises et ne permettent pas de prédire le risque de chaque organisation. Elles dessinent néanmoins une tendance cohérente: les petites structures sont souvent confrontées à des attaques relativement simples alors qu’elles ne disposent pas toujours des procédures, du temps ou des compétences nécessaires pour y répondre.

Le problème ne tient pas seulement à l’absence d’une technologie. Il tient à l’écart entre les outils utilisés et la gouvernance qui les accompagne. Une PME peut disposer d’un logiciel de gestion moderne, d’un espace de stockage infonuagique et de plusieurs services en ligne sans savoir précisément qui possède encore un accès administrateur, quels comptes ne sont plus utilisés ou quels prestataires peuvent se connecter à distance.

La cible du hameçonnage n’est d’ailleurs pas nécessairement le dirigeant. Il peut s’agir de la personne qui gère la facturation, de l’assistante qui reçoit les demandes de réinitialisation, du commercial qui travaille depuis son téléphone ou du prestataire qui conserve un accès à un ancien outil. Le compte compromis devient alors un point d’appui vers la messagerie, la relation client, les documents internes ou les applications financières.

La réponse ne consiste pas à faire porter toute la responsabilité sur le salarié. Une organisation qui fournit un parcours de connexion confus, qui refuse les appareils de sécurité et qui ne prévoit aucun accompagnement fabrique elle-même les conditions du contournement. La sécurité des connexions salariés est aussi un sujet de conception, de support et de management.

Stratégies de déploiement: privilégier les clés FIDO2 et les applications TOTP

Demander si le MFA doit être obligatoire pour tous suppose d’abord de réfléchir à la granularité du risque. Imposer une clé physique à un collaborateur qui consulte occasionnellement un outil interne peut créer une charge disproportionnée. Ne pas renforcer l’accès d’un administrateur système connecté au réseau par VPN, ou d’un responsable financier habilité à valider des paiements, est beaucoup plus difficile à justifier.

Un déploiement sérieux repose sur plusieurs décisions qui doivent être prises dans le bon ordre.

1. Cartographier les accès sensibles avant de déployer.

Il faut commencer par les comptes à privilèges, les accès VPN, les consoles d’administration infonuagique, les outils financiers, les données de ressources humaines, les dossiers clients et les services exposés sur Internet. L’objectif n’est pas de produire un inventaire parfait avant toute action, mais de savoir où une compromission aurait les conséquences les plus lourdes.

2. Distinguer les comptes individuels des comptes partagés.

Un compte partagé rend l’attribution des actions beaucoup plus difficile et complique l’enrôlement d’un second facteur. Lorsque c’est possible, chaque utilisateur doit disposer d’un compte nominatif avec les droits nécessaires à sa fonction. Le MFA ne corrige pas une mauvaise gestion des privilèges; il la rend parfois plus visible.

3. Choisir une méthode proportionnée à la criticité.

Une application TOTP peut convenir aux outils métier courants. Les comptes administrateurs et les accès particulièrement sensibles méritent une clé FIDO2, voire une combinaison de moyens de récupération contrôlés. Le bon choix est celui qui résiste au scénario d’attaque envisagé, pas celui qui se déploie le plus vite dans une présentation commerciale.

4. Prévoir la récupération avant le lancement.

Que se passe-t-il lorsqu’un salarié perd son téléphone, change d’appareil ou égaré sa clé? Qui peut réinitialiser le facteur? Quelles vérifications sont exigées? Combien de temps l’accès d’urgence reste-t-il ouvert? Une procédure non documentée transforme le support en point de contournement potentiel.

5. Tester les cas particuliers.

Les travailleurs itinérants, les équipes de nuit, les sous-traitants, les comptes techniques et les applications anciennes ne se comportent pas tous de la même manière. Un service qui ne prend pas en charge les standards modernes ne doit pas être exclu du périmètre par facilité. Il faut déterminer s’il peut être remplacé, isolé ou protégé par un autre mécanisme.

6. Mesurer les contournements plutôt que la seule activation.

Voir qu’un utilisateur a enregistré un second facteur ne suffit pas. Il faut également vérifier si l’accès est encore possible par un ancien protocole, si une application conserve une session permanente, si le support désactive la protection sans contrôle suffisant et si les comptes inactifs sont bien révoqués.

La dimension comportementale compte aussi. Une seconde étape de connexion demande un effort initial, surtout lorsque les utilisateurs n’en comprennent pas le but. Cet effort peut être réduit par une interface claire, des explications brèves et un accompagnement au moment de l’enrôlement. Il est inutile de promettre une expérience totalement invisible: l’authentification doit parfois rappeler que l’accès à une donnée ou à une fonction a une valeur.

Les équipes produit qui travaillent avec les responsables informatiques et de la sécurité dès la conception évitent plusieurs erreurs classiques: demander un code impossible à retrouver, imposer une validation sur un appareil indisponible, multiplier les notifications sans contexte ou proposer un bouton de désactivation trop accessible. La sécurité ne doit pas devenir une chasse au trésor. Mais elle ne doit pas non plus disparaître derrière une promesse de fluidité absolue.

Faut-il imposer le MFA à tous les collaborateurs?

Dans la plupart des entreprises, la réponse la plus solide est progressive.

Le MFA devrait être imposé sans attendre sur les comptes administrateurs, les accès distants, les applications qui contiennent des données sensibles et les fonctions capables d’engager financièrement ou techniquement l’organisation. Il devrait ensuite être étendu aux autres collaborateurs selon les applications, les données et les scénarios de risque.

Cette gradation ne signifie pas que les utilisateurs ordinaires seraient négligés. Un compte sans privilège particulier peut tout de même donner accès à une boîte de messagerie, à des factures ou à des documents clients. Il constitue parfois le premier maillon d’une attaque plus large. La différence tient au niveau d’urgence et au moyen choisi, pas à une opposition entre comptes importants et comptes secondaires.

L’entreprise doit surtout éviter de créer des exceptions permanentes. Un utilisateur temporairement exempté parce qu’une application ancienne ne supporte pas le MFA doit être identifié, surveillé et associé à un plan de correction. L’exception qui n’a ni propriétaire ni date de réexamen finit toujours par devenir la règle.

L’échéance du 1er janvier 2026: focus sur les données de santé et les accès sensibles

Le 1er janvier 2026 constitue une échéance importante pour les acteurs qui accèdent à des données de santé dans le cadre de la PGSSI-S. Pour les établissements de santé, les hébergeurs de données de santé, les éditeurs de logiciels médicaux et les tiers de confiance concernés, la question ne se limite pas à l’activation d’un bouton dans une console d’administration.

Il faut pouvoir démontrer que les accès concernés sont identifiés, que les utilisateurs disposent d’un facteur approprié, que les comptes à privilèges sont traités avec un niveau de protection suffisant et que les procédures de récupération ne contournent pas le dispositif. La conformité est un fonctionnement dans la durée, pas une capture d’écran réalisée la veille d’un contrôle.

Cette échéance peut également avoir un effet d’entraînement sur les fournisseurs de services. Les éditeurs qui servent à la fois des acteurs de la santé et des entreprises d’autres secteurs peuvent choisir d’harmoniser leurs politiques d’authentification. Pour leurs clients, le MFA deviendra alors une condition contractuelle ou technique d’accès, même lorsque leur propre secteur n’est pas directement soumis aux mêmes exigences.

Ce phénomène mérite d’être distingué d’une obligation légale générale. Une entreprise peut se voir imposer le MFA par un contrat, une police d’assurance, un donneur d’ordre ou un fournisseur de logiciel sans que le droit français impose cette mesure à tous ses salariés. Dans la pratique, ces contraintes peuvent être tout aussi déterminantes: un accès refusé par un service essentiel bloque l’activité, quelle que soit l’origine exacte de l’exigence.

Le calendrier de préparation peut rester simple, à condition de ne pas être improvisé:

• Commencer par la cartographie des comptes à privilèges, des accès distants, des données de santé et des applications exposées.
• Lancer un pilote sur une équipe réduite, avec des administrateurs, des utilisateurs de VPN et des personnes capables de représenter les cas particuliers.
• Choisir les facteurs selon la criticité: application TOTP pour certains usages courants, clé FIDO2 pour les accès les plus sensibles.
• Documenter la récupération et tester la procédure avec le support, y compris en dehors des horaires habituels.
• Étendre progressivement le dispositif aux autres collaborateurs en corrigeant les problèmes d’ergonomie rencontrés pendant le pilote.
• Vérifier les accès résiduels: anciens comptes, protocoles historiques, sessions persistantes, comptes de prestataires et applications qui échappent encore à la politique centrale.
• Conserver les preuves de la démarche: décisions, périmètre, exceptions, contrôles et réexamens.

Le propre des entreprises qui prennent l’obligation au sérieux est de pouvoir expliquer leur méthode avant l’incident, et non de reconstituer une politique dans l’urgence. Elles savent quels accès ont été priorisés, pourquoi une méthode a été retenue et quelles exceptions font encore l’objet d’un traitement. Cette capacité de démonstration ne garantit pas l’absence d’attaque. Elle montre que la sécurité n’a pas été abandonnée au hasard.

La MFA comme nouvelle ligne de base

Imposer la double authentification à tous les salariés, sans distinction, n’est ni nécessaire ni toujours souhaitable. Imposer la double authentification aux bons utilisateurs, sur les bons outils, avec la bonne méthode et une procédure de récupération contrôlée est en revanche devenu le minimum d’une politique de sécurité crédible.

La nuance n’est pas sémantique. Elle détermine la qualité du déploiement. Une obligation uniforme peut donner l’impression d’une couverture complète alors qu’elle laisse subsister des comptes techniques, des accès anciens ou des exceptions mal surveillées. À l’inverse, une politique fondée sur le risque permet de renforcer immédiatement les points les plus dangereux et d’étendre la protection sans transformer chaque connexion en épreuve administrative.

Le mot de passe seul n’est plus une défense suffisante pour les accès importants. Le code envoyé par e-mail ne doit pas être confondu avec un facteur indépendant. Le SMS peut aider, mais il ne doit pas être considéré comme l’aboutissement d’une stratégie de sécurité. Les applications TOTP offrent un compromis réaliste pour de nombreux collaborateurs, tandis que les clés FIDO2 apportent une protection plus forte aux comptes exposés au hameçonnage et à l’escalade de privilèges.

Le débat n’est donc plus de savoir s’il faut mettre en place une authentification multifacteur dans l’entreprise. Il porte sur le périmètre à traiter en premier, le niveau de protection adapté à chaque accès et la capacité de l’organisation à faire fonctionner le dispositif au quotidien.

La double authentification n’est pas une décoration ajoutée à un système déjà sûr. Elle ne remplace ni la gestion des droits, ni les sauvegardes, ni la surveillance, ni la formation au hameçonnage. Elle réduit toutefois fortement la valeur d’un mot de passe volé — et c’est déjà une rupture majeure avec les politiques de connexion qui reposent encore sur la seule mémoire des utilisateurs.

La bonne décision n’est pas d’imposer mécaniquement le même facteur à tout le monde. C’est de ne plus laisser un accès critique dépendre d’un seul secret, puis d’étendre cette protection avec assez de méthode pour qu’elle reste activée, comprise et administrable.