MFA : quelles méthodes choisir et quelles limites connaître ?

Public : particuliers, indépendants et petites équipes. Aucun prérequis cryptographique n’est nécessaire. Il faut seulement savoir accéder aux paramètres de sécurité d’un compte et distinguer trois objets : le mot de passe, le second facteur et le moyen de récupération.

La MFA, ou authentification multifacteur, demande des preuves appartenant à des catégories différentes. Un secret mémorisé relève de ce que l’on sait. Une clé physique ou un téléphone relève de ce que l’on possède. Une empreinte ou un visage relève de ce que l’on est. Deux mots de passe ne constituent donc pas deux facteurs différents.

Pour les comptes professionnels administrés, le choix doit aussi respecter la politique de l’organisation. La comparaison des mécanismes ne remplace pas une analyse de risque ni les exigences réglementaires applicables.

Après la saisie d’un identifiant, le service vérifie une ou plusieurs preuves. Dans une connexion classique avec mot de passe et code TOTP, le serveur vérifie d’abord le mot de passe, puis un code temporaire calculé à partir d’un secret partagé et de l’heure. Le standard TOTP décrit des valeurs à durée courte, souvent renouvelées toutes les 30 secondes. Cette courte validité limite la réutilisation, mais n’empêche pas un faux site de demander le code et de le transmettre immédiatement au vrai service.

Une authentification FIDO fonctionne autrement. L’appareil crée une paire de clés cryptographiques propre au service. La clé privée reste dans l’authentificateur, tandis que le service conserve la clé publique. Lors de la connexion, l’authentificateur signe un défi lié au site attendu. Une passkey est un identifiant FIDO utilisable pour se connecter sans saisir le mot de passe habituel, selon le parcours proposé par le service. Certaines passkeys sont synchronisées entre appareils par un fournisseur, d’autres restent liées à un dispositif. Cette liaison au domaine explique leur résistance au phishing : un faux domaine ne peut pas simplement réutiliser la preuve sur le domaine légitime.

La biométrie associée à une passkey déverrouille généralement une clé locale. Le mécanisme central reste cryptographique, et le geste biométrique ou le code de l’appareil autorise son utilisation.

Les exigences actuelles sont détaillées dans les Digital Identity Guidelines du NIST, tandis que l’algorithme des codes temporels est défini par la RFC 6238.

Passkeys et clés de sécurité FIDO

Ce sont les méthodes à privilégier pour la messagerie principale, le gestionnaire de mots de passe, les comptes administrateurs et les services qui les prennent correctement en charge. Leur principal avantage est la résistance au phishing. Une clé matérielle conserve le secret cryptographique hors de l'ordinateur, mais elle ne protège pas une session déjà ouverte contre un logiciel malveillant.

Leurs limites sont pratiques. Tous les services ne les acceptent pas. Une passkey synchronisée dépend du compte et du mécanisme de synchronisation du fournisseur. Une clé physique peut être perdue ou oubliée. Pour un compte critique, enregistre deux clés ou prévois une méthode de secours correctement protégée. Vérifie également si le service permet encore une récupération faible qui contournerait la méthode robuste.

Application TOTP

Une application TOTP fonctionne hors réseau après l’enrôlement. Elle est largement compatible et ne dépend pas de la réception d’un SMS. Elle constitue un choix réaliste lorsqu’un service ne propose pas FIDO.

Elle n’est cependant pas résistante au phishing. Un attaquant peut reproduire l’écran du service, récupérer le mot de passe et demander le code en temps réel. Le secret TOTP initial, souvent présenté sous forme de QR code, doit aussi être protégé. Une capture de ce QR code permettrait de générer les mêmes codes. La sauvegarde ou la synchronisation de l’application doit donc être comprise et sécurisée.

Notification push

Une notification demande d’accepter ou de refuser une connexion sur un appareil. Cette méthode est confortable, mais une simple question « Autoriser ? » peut conduire à une validation machinale. Des tentatives répétées créent une fatigue MFA. Lorsque le service propose une correspondance de nombres ou affiche clairement le contexte de connexion, utilise ces fonctions et refuse toute demande inattendue.

La sécurité du push dépend du protocole utilisé et des informations affichées : origine de la demande, appareil, localisation approximative et correspondance de nombres. Il n’est pas automatiquement résistant au phishing. Il faut examiner le protocole réel, pas seulement le fait qu’une notification apparaisse.

SMS ou appel téléphonique

Le SMS est facile à déployer et accessible à de nombreux utilisateurs. CISA rappelle qu’une forme de MFA, y compris le SMS, est préférable à aucune MFA. Il peut donc rester une solution de repli quand aucune option plus forte n’existe.

Ses limites sont importantes : détournement de numéro, fraude auprès de l’opérateur, interception et phishing du code. Un changement de téléphone ou un déplacement sans réseau peut aussi bloquer l’accès. N’utilise pas le SMS comme premier choix pour un compte très sensible si une méthode résistante au phishing est disponible.

Codes de récupération

Les codes de récupération ne sont pas une méthode quotidienne. Ils servent à reprendre l’accès en cas de perte du facteur principal. Un code stocké dans la même sacoche que la clé ou dans une note non protégée sur le même téléphone ne constitue pas une vraie séparation.

Conserve-les hors ligne dans un endroit sûr, ou dans un gestionnaire de mots de passe dont la récupération a elle-même été préparée. Marque les codes déjà utilisés et régénère-les si tu penses qu’ils ont été exposés.

La présentation des passkeys par la FIDO Alliance explique leur résistance au phishing. Les recommandations de la CISA pour les petites organisations replacent la MFA parmi les mesures prioritaires.

Commence par classer les comptes selon leur impact. La messagerie principale mérite la priorité, car elle sert souvent à réinitialiser d’autres comptes. Viennent ensuite le gestionnaire de mots de passe, les comptes bancaires, les comptes cloud, les réseaux sociaux professionnels et les accès administrateurs.

Pour chaque compte, applique cet ordre :

1. active une passkey ou une clé FIDO si le service la propose ;
2. enregistre un second authentificateur ou prépare une récupération indépendante ;
3. sinon, utilise TOTP ;
4. sinon, utilise une notification push avec correspondance de nombres et affichage du contexte de connexion ;
5. sinon, utilise le SMS plutôt que de laisser le compte sans MFA ;
6. retire les anciennes méthodes faibles uniquement après avoir testé la connexion et la récupération.

En entreprise, ajoute des critères de déploiement : inventaire des appareils, accessibilité, support, départ d’un salarié, comptes de secours et journalisation.

Cadre : utilise uniquement un compte qui t’appartient, de préférence un compte de test sans données sensibles. Ne modifie pas le compte d’un tiers.

1. Ouvre les paramètres de sécurité du compte.
2. Note les méthodes MFA proposées sans encore supprimer l’existant.
3. Choisis la méthode la plus résistante disponible sur tes appareils.
4. Enregistre-la, puis ajoute un moyen de secours distinct si le service le permet.
5. Télécharge ou recopie les codes de récupération et stocke-les séparément.
6. Ouvre une fenêtre de navigation privée et teste une nouvelle connexion.
7. Déconnecte la session de test et vérifie la page listant les appareils ou connexions récentes.

Durée indicative : 20 à 30 minutes. L’exercice s’arrête après la vérification de la connexion et de la récupération. Il ne demande aucun test offensif.

L’exercice est réussi si tu peux te connecter avec la méthode principale, identifier une méthode de récupération indépendante et expliquer pourquoi ton choix résiste ou non au phishing. Tu dois aussi pouvoir nommer l’endroit où sont conservés les codes de récupération sans les afficher ni les copier dans le compte rendu.

• Activer la MFA sans préparer la récupération : la perte du téléphone devient alors un incident d’accès.
• Garder le SMS comme option cachée : un facteur robuste peut être contourné si la récupération revient toujours à un numéro mal protégé.
• Valider une demande push inattendue : refuse-la et examine les sessions actives. Change le mot de passe si tu l'as saisi sur un site suspect ou si une connexion inconnue apparaît.
• Scanner un QR code TOTP dans un contexte non fiable : ce code contient le secret d’enrôlement.
• Confondre MFA et sécurité complète : un logiciel malveillant peut voler des données après connexion, et un jeton de session dérobé peut permettre de contourner une nouvelle demande d'authentification.
• Multiplier les facteurs sur un seul appareil sans plan : la panne ou la perte de cet appareil affecte toutes les méthodes.
• Ignorer l’accessibilité : biométrie, clés physiques et téléphones ne conviennent pas de la même façon à tous les utilisateurs.

La MFA doit être accompagnée de mises à jour, d’une surveillance des sessions et d’une récupération vérifiée. Elle réduit le risque, elle ne le supprime pas.