Dans cet article
L'authentification multifacteur (MFA) — demander, en plus du mot de passe, une confirmation sur le téléphone ou via une clé physique — est la mesure de sécurité au meilleur retour pour une PME : elle bloque la grande majorité des attaques qui commencent par des identifiants volés, presque toujours sans coût de licence, et se déploie en deux semaines. Pourtant, nous trouvons encore des entreprises de 100 postes où seul l'administrateur l'a activée. Ce guide de DataRoad - IT Services and Consulting définit l'ordre, les méthodes et le calendrier.
La portée réelle du MFA
Il protège dans le scénario le plus courant : le mot de passe a été saisi sur un faux site ou réutilisé sur un service victime d'une fuite, et l'attaquant tente d'accéder à la messagerie ou au VPN. Sans MFA, il entre ; avec MFA, il lui faut l'approbation sur le téléphone de la victime.
Il ne protège pas contre un logiciel malveillant déjà installé sur l'ordinateur ni contre celui qui approuve les demandes sans regarder. Mais il ferme la porte par laquelle entre la majorité des attaques.
Ordre d'activation
- Microsoft 365 ou Google Workspace — messagerie, fichiers et Teams constituent l'identité centrale de l'entreprise et la cible numéro un. D'abord les administrateurs, ensuite tout le monde.
- Accès distants — VPN, bureau à distance et portails publiés. Ce qui ne supporte pas le MFA doit être désactivé ou placé derrière une solution qui le supporte ; voir pourquoi le VPN ne suffit plus.
- Banques, administration fiscale, Sécurité sociale et portails fournisseurs — presque tous l'imposent déjà ; vérifiez que les méthodes sont associées à des téléphones de l'entreprise et non à ceux d'anciens collaborateurs.
- Administration des équipements — pare-feu, switches, serveurs, domaine et hébergement du site : peu de personnes, un impact énorme.
- Gestionnaire de mots de passe — obligatoire, car il protège tout le reste.
Méthodes comparées
| Méthode | Sécurité | Quand l'utiliser |
|---|---|---|
| Application avec notification et numéro à confirmer (ex. : Microsoft Authenticator) | Élevée | Par défaut pour la plupart des personnes ; le numéro empêche d'approuver ce qu'on n'a pas demandé |
| Clé physique FIDO2 | Très élevée, résistante au phishing | Administrateurs, direction et service financier |
| SMS | Faible (échange de SIM, interception) | Uniquement comme solution de secours |
| Code par e-mail | Très faible | À éviter : si la messagerie tombe, le second facteur tombe aussi |
Cinq erreurs qui suscitent des résistances
- Demander le MFA à chaque connexion Configurez une fois par jour par équipement de confiance.
- Oublier ceux qui n'ont pas de téléphone professionnel Clés physiques ou tokens règlent le problème.
- Tout activer le même jour, sans prévenir Le helpdesk est submergé.
- Ne pas prévoir de récupération en cas de téléphone perdu La personne se retrouve sans messagerie en pleine journée de travail.
- Ne pas parler de la fatigue d'approbation Les attaquants envoient des dizaines de demandes jusqu'à ce que quelqu'un accepte par lassitude. Le numéro à confirmer et une règle simple en formation (ne jamais approuver ce qu'on n'a pas demandé) règlent la question.
Calendrier sur 14 jours
| Jours | Actions |
|---|---|
| 1–2 | MFA pour tous les administrateurs ; politique définie (obligatoire, session mémorisée par équipement de confiance, SMS uniquement en secours) ; guide d'une page illustré |
| 3–5 | Pilote dans un service : session de 15 minutes, enregistrement et test ; correction du guide |
| 6–10 | Un service par jour avec helpdesk disponible ; ceux qui ne se sont pas enregistrés y sont contraints à la connexion suivante, grâce à la période de grâce de Microsoft |
| 11–14 | Accès distants et équipements ; blocage des anciennes méthodes ; vérification compte par compte dans la console |
Des gains au-delà de la sécurité
- RGPD Une mesure technique démontrable.
- NIS2 La directive mentionne explicitement l'authentification multifacteur.
- Assurance cyber Elle pose presque toujours la question du MFA et ajuste la prime.
- Helpdesk Moins de demandes de personnes qui pensent qu'on a piraté leur messagerie.
Le MFA dans les contrats IT Unlimited
Dans les contrats IT Unlimited, le MFA est configuré sur Microsoft 365, le VPN et les équipements d'administration, dans le cadre de la gestion de Microsoft 365 et de la cybersécurité gérée, avec un accès conditionnel pour que les équipements non gérés n'accèdent que via le navigateur. Le rapport mensuel indique le pourcentage de comptes couverts, qui doit être de 100 %.
Questions fréquentes
Combien coûte le MFA ?
Il est inclus dans la plupart des formules Microsoft 365 et Google Workspace. Les clés physiques coûtent quelques dizaines d'euros par personne et se justifient pour les fonctions à risque. Le vrai coût est le temps de déploiement et de formation.
Sera-t-il demandé à chaque connexion ?
Non, avec la bonne politique : une fois par équipement de confiance, renouvelée périodiquement. Sur un nouvel équipement, il est toujours demandé — c'est précisément la protection.
Et ceux qui refusent les applications de l'entreprise sur leur téléphone personnel ?
Clé physique, token matériel ou téléphone professionnel. Ce n'est pas une raison pour exempter qui que ce soit.
Avec le MFA, le gestionnaire de mots de passe est-il encore nécessaire ?
Oui. Le MFA protège le compte lorsque le mot de passe est volé ; le gestionnaire évite la réutilisation sur des services sans MFA. Voir les gestionnaires de mots de passe en entreprise.
Il reste des comptes sans MFA ?
Nous activons le MFA sur Microsoft 365, les accès distants et les équipements, avec une formation de 15 minutes par équipe et sans bloquer personne. Proposition sans engagement.
Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone
+351 211 459 950* · sales@dataroad.pt
*Appel vers un fixe portugais
