MFA : pourquoi l'authentification multifacteur n'est plus optionnelle.

Un mot de passe peut être volé, réutilisé ou divulgué. L’authentification multifacteur (MFA) ajoute une preuve et réduit le risque qu’un secret suffise à ouvrir un compte. Mais toutes les méthodes ne protègent pas contre les mêmes attaques. Le choix doit tenir compte du service, des utilisateurs et des scénarios de compromission.

Mise à jour du 19 octobre 2026 : cette analyse précise les limites des codes, des notifications et des méthodes résistantes au phishing. Elle complète les recommandations de déploiement avec les risques liés aux sessions et aux flux de connexion.

Le MFA, en une phrase

Le MFA combine au moins deux facteurs de catégories différentes : quelque chose que l’on sait, que l’on possède ou que l’on est. Un mot de passe et un second mot de passe ne constituent donc pas deux facteurs distincts. La mise en œuvre doit aussi protéger l’inscription d’un nouvel authentificateur et la récupération d’un compte.

Cette protection rend moins directement exploitable le vol d’un mot de passe. Elle ne signifie pas qu’un attaquant doive toujours voler physiquement un téléphone : il peut essayer de faire approuver une connexion, de récupérer un code ou de détourner une session déjà ouverte. Ces scénarios expliquent pourquoi la qualité du MFA compte autant que son activation.

Tous les MFA ne se valent pas

Les codes par SMS ajoutent une protection par rapport au mot de passe seul, mais exposent notamment au détournement de numéro et à la récupération du code par tromperie. Il faut privilégier des méthodes plus robustes pour les accès sensibles.

Les codes d’application et les notifications ne dépendent pas tous du même mécanisme. Un code à usage unique peut être transmis à un imposteur ou relayé vers le service légitime. Une notification peut être acceptée sous pression. Ces méthodes ne doivent pas être présentées comme une protection suffisante pour tous les contextes.

FIDO2 et les passkeys lient la preuve cryptographique au service attendu. Cette propriété protège contre le détournement vers une fausse origine. La CISA recommande le MFA résistant au phishing. Il faut néanmoins vérifier la configuration, les méthodes de secours et les autres parcours permis : une protection solide peut être affaiblie par une récupération de compte trop facile.

Réduire la fatigue aux notifications

Une succession de demandes de validation peut pousser une personne à approuver pour faire cesser les sollicitations. La correspondance de numéro rend cette validation moins aveugle : l’utilisateur doit rapprocher une information de la connexion qu’il réalise.

Elle ne rend pas la manipulation impossible. Un faux interlocuteur peut encore guider la personne dans une opération qu’elle ne comprend pas. La consigne doit rester explicite : ne valider que ses propres demandes, signaler les sollicitations inattendues et contacter le support par un canal connu. Évitez de faire reposer la défense sur la seule vigilance d’une personne dérangée en plein travail.

Le vrai site ne garantit pas une demande légitime

Le device code phishing illustre une autre limite : la personne peut s’authentifier sur un vrai service pour autoriser une demande lancée par un tiers. Vérifier le domaine reste utile, mais ne répond pas à la question « quelle opération suis-je en train d’autoriser ? ».

La protection doit donc couvrir les flux admis, les applications et les permissions. De même, une session récupérée sur un poste compromis peut poser un problème après une authentification correcte. Le MFA reste nécessaire ; il doit être associé à la protection des appareils, à la gestion des sessions et à des contrôles d’accès cohérents.

Déployer avec des critères de réussite

Commencez par les services à fort impact : messagerie, accès distants, comptes privilégiés et consoles d’administration. Identifiez aussi les comptes techniques et les intégrations : les traitements sans utilisateur nécessitent des mécanismes adaptés, pas une demande de validation humaine impossible à satisfaire.

Préparez un pilote avec des utilisateurs représentatifs, une assistance accessible et une procédure de récupération sûre. Testez la perte d’un appareil, le retrait d’un facteur, la désactivation d’un compte et une tentative avec une méthode non autorisée. Les comptes de secours doivent être protégés et surveillés selon une procédure spécifique.

Le taux d’inscription au MFA ne mesure pas à lui seul l’efficacité. Vérifiez les exceptions, les anciennes méthodes encore admises et les connexions qui échappent à la stratégie. Une revue périodique permet de repérer les contournements devenus permanents.

Réagir après une validation involontaire

Signalez rapidement la demande, même si vous n’observez aucune anomalie. L’équipe habilitée doit examiner ce qui a été autorisé et déterminer les mesures de protection adaptées. Un mot de passe changé n’est pas la preuve que toutes les sessions ou applications ont perdu leurs accès.

Le retour d’expérience doit améliorer les contrôles et la simplicité du signalement. Une personne doit pouvoir dire qu’elle a accepté une demande sans craindre d’être humiliée. C’est une condition pratique pour réduire le délai de réaction.

Sources

Références consultées le 19 octobre 2026.

• CISA - Implementing phishing-resistant MFA
• Microsoft - analyse EvilTokens du 22 septembre 2026