Double authentification (MFA) : la déployer en PME

Un mot de passe seul peut être deviné, réutilisé sur un autre site, volé par phishing ou retrouvé dans une fuite de données. La double authentification (MFA) ajoute un second élément : une application, une clé physique ou un code. Sans ce second élément, le mot de passe ne suffit plus pour se connecter.

C'est l'une des mesures les plus efficaces et les moins coûteuses pour une PME. Elle demande surtout de la préparation, pour que le déploiement ne bloque personne.

Les méthodes, de la plus faible à la plus robuste

Toutes les méthodes ne se valent pas : certaines résistent au phishing, d'autres non.

Par où commencer

• Les comptes administrateurs d'abord, avec la méthode la plus robuste.
• Ensuite tous les utilisateurs, sans exception durable.
• Le blocage des anciens protocoles d'authentification (POP, IMAP, authentification de base), qui contournent la MFA.
• Les comptes partagés et les comptes de service : chacun doit avoir un propriétaire et une protection adaptée.

Paramètres par défaut ou accès conditionnel

Dans Microsoft 365, les paramètres de sécurité par défaut sont gratuits : ils imposent la MFA et bloquent les anciens protocoles. C'est une base solide pour une petite structure.

L'accès conditionnel, inclus dans Microsoft 365 Business Premium (via Entra ID P1), va plus loin : il adapte les exigences selon l'appareil, le lieu ou le niveau de risque de la connexion, par exemple en n'autorisant l'accès aux données que depuis un poste géré.

Réussir le déploiement auprès des équipes

• Annoncer la date et expliquer le pourquoi, en quelques lignes.
• Prévoir une session d'enrôlement accompagnée plutôt qu'un e-mail d'instructions.
• Clarifier la question du téléphone privé : application sur un appareil personnel ou clé physique fournie par l'entreprise.
• Enregistrer deux méthodes par personne, pour ne pas être bloqué en cas de perte du téléphone.
• Écrire la procédure de récupération, avec vérification d'identité.

Les limites à connaître

La MFA classique ne protège pas contre tout : certaines attaques interceptent la session après la connexion, au moyen d'une fausse page qui relaie les échanges. Les méthodes résistantes au phishing et la surveillance des identités (ITDR) complètent alors la protection.