Double authentification en entreprise : protéger vos comptes

Dans une PME, la messagerie donne souvent accès à tout le reste : elle reçoit les liens pour changer le mot de passe des autres comptes, les factures, les échanges clients. Selon l’ANSSI, l’agence nationale de cybersécurité, son piratage « permet très généralement d’accéder dans un second temps à tous les comptes associés ». Protéger les connexions, notamment par la double authentification en entreprise (une seconde preuve en plus du mot de passe), relève donc de la continuité d’activité.

Ce que recommandent la CNIL et l’ANSSI

Dans sa recommandation sur la double authentification adoptée le 20 mars 2025 (délibération n° 2025-019), la CNIL la recommande pour l’administration des systèmes et réseaux, la connexion à l’informatique de l’entreprise depuis l’extérieur et, de manière générale, la messagerie professionnelle. Le code par SMS, rappelle-t-elle, est déconseillé par les autorités compétentes mais reste préférable à un mot de passe seul ; un code reçu par courriel n’est pas une véritable double authentification.

Pour un mot de passe seul, sa recommandation sur les mots de passe (délibération n° 2022-100 du 21 juillet 2022) demande une robustesse équivalente à 80 bits d’entropie (mesure de la difficulté à le deviner) : par exemple 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux, 14 caractères mêlant majuscules, minuscules et chiffres, ou une phrase de passe d’au moins 7 mots.

Le guide de l’ANSSI (version du 8 octobre 2021) conseille aussi de privilégier la double authentification, notamment avec un objet que l’on possède (téléphone, clé physique), de fournir un coffre-fort de mots de passe (logiciel qui les range en sécurité) et de ne pas recevoir de code par SMS, à cause des failles des réseaux téléphoniques et des fraudes au transfert de carte SIM.

Pourquoi un simple code ne suffit plus

La double authentification classique (un code ou une notification à approuver) protège des mots de passe volés ou devinés, pas de certains hameçonnages : un faux site de connexion, copie du vrai, relaie en direct au vrai service ce que la victime tape, code compris, puis récupère la connexion ouverte. Microsoft constate une hausse des attaques visant à « voler ou à relayer » mots de passe et codes.

Autre ruse : multiplier les demandes de validation jusqu’à ce que l’utilisateur, lassé, accepte. Microsoft Authenticator y répond en faisant recopier un nombre affiché à l’écran, parade aussi citée par la CNIL.

L’attaquant cherche ensuite à rester. Dans un rapport de février 2025 sur le cloud, le CERT-FR, centre d’alerte de l’ANSSI, décrit des messageries Office 365 où les attaquants avaient ajouté des adresses de secours, des appareils de confiance ou des transferts automatiques : activer la double authentification après coup ne suffit alors pas à les évincer, il faut aussi supprimer ces réglages.

Les clés d’accès : se connecter sans mot de passe

Une clé d’accès (« passkey ») remplace le mot de passe par une clé numérique secrète, gardée sur l’appareil ou dans un trousseau chiffré. Elle ne sert que sur le site où elle a été créée et se déverrouille par l’empreinte, le visage ou le code de l’appareil. Un faux site n’en tire rien : Microsoft la juge « presque impossible » à hameçonner.

• Microsoft accepte des clés liées à un appareil (application Authenticator, clé de sécurité physique, souvent au format d’une clé USB) ou synchronisées (trousseau iCloud, gestionnaire de mots de passe de Google). Les secondes conviennent à la plupart des utilisateurs ; pour les comptes aux droits les plus étendus, Microsoft recommande des clés physiques.
• Google permet de se connecter avec une clé d’accès, sans mot de passe. Sur Google Workspace, son offre professionnelle, l’administrateur peut autoriser cette connexion ; sinon, la clé peut servir de seconde étape. Google y déconseille les codes par SMS, qui peuvent être interceptés, et annonce une validation en deux étapes obligatoire, déployée progressivement, pour les administrateurs.
• Apple synchronise les clés d’accès par le trousseau iCloud, chiffré de bout en bout avec des clés qu’Apple indique ne pas connaître.

Microsoft 365 : la fin programmée du code par SMS

Microsoft a publié le calendrier de retrait des SMS et appels vocaux qu’il fournit pour la connexion aux comptes Microsoft 365 :

• depuis le 1er septembre 2026, les clés d’accès sont la méthode par défaut : qui valide par SMS ou appel est invité à en créer une, mais peut par défaut reporter l’invitation sans limite (l’entreprise peut aussi différer cette étape jusqu’au 1er février 2027) ;
• au 1er février 2027, les SMS et appels fournis par Microsoft disparaissent pour tous, sauf les administrateurs généraux et les utilisateurs externes ;
• au 1er juillet 2027, le retrait s’étend à ces derniers.

Passé ces dates, un utilisateur qui n’a que le SMS ou l’appel devra créer une clé d’accès pour se connecter, sans dérogation. Le retrait vise aussi la réinitialisation du mot de passe par SMS. En cas de besoin réglementaire ou opérationnel réel, un opérateur tiers payant pourra fournir le SMS, à choisir dès le 30 octobre 2026 dans la boutique de sécurité de Microsoft.

Double authentification en entreprise : par où commencer

• Les comptes administrateur. Listez qui détient des droits d’administration (Microsoft 365 ou Google Workspace, hébergeur, nom de domaine, pare-feu, logiciel métier) et réduisez la liste. Séparez le compte d’administration du compte de travail quotidien, comme le conseille Microsoft, et protégez-le par une clé physique. Prévoyez deux comptes d’urgence protégés de même.
• La messagerie. Exigez la double authentification pour tous et bloquez les anciennes méthodes de connexion des vieux logiciels de messagerie, qui permettent de la contourner. Sans licence d’« accès conditionnel » (règles de connexion avancées), les « paramètres de sécurité par défaut » de Microsoft, sans surcoût, imposent l’inscription de tous et bloquent ces méthodes. Passez dès maintenant les utilisateurs du SMS aux clés d’accès.
• Les accès à distance et outils sensibles. VPN (accès distant au réseau de l’entreprise), bureau à distance, banque, comptabilité, paie, gestion des clients, facturation : activez la double authentification partout où elle existe, par clé d’accès ou application plutôt que par SMS.
• Les mots de passe restants. Déployez un coffre-fort de mots de passe d’équipe, avec un mot de passe unique par service, aux longueurs recommandées par la CNIL.
• Les pertes, les départs, les réglages. Écrivez la marche à suivre en cas de téléphone perdu ou de départ, prévoyez une clé physique pour qui ne peut ou ne veut pas utiliser son téléphone personnel, et contrôlez régulièrement les règles de transfert des boîtes sensibles.

À transmettre à votre prestataire : clés d’accès Microsoft Entra ID, clés FIDO2 (comptes à privilèges élevés et d’accès d’urgence), blocage de l’authentification héritée (IMAP, POP3, SMTP), paramètres de sécurité par défaut, Microsoft Security Store.

Un exemple concret

Prenons, à titre d’illustration, une PME de 20 personnes sous Microsoft 365 : trois administrateurs généraux, la moitié de l’équipe qui valide par SMS, un copieur qui envoie ses numérisations par courriel avec un mot de passe enregistré. D’abord, deux comptes d’administration dédiés et nominatifs, protégés par une clé physique, plus deux comptes d’urgence. Ensuite, régler le copieur sur une méthode d’envoi compatible, puis bloquer les anciennes méthodes de connexion. Puis inscrire chacun aux clés d’accès, direction et personnes qui valident les paiements en premier. Enfin, retirer le SMS sans attendre février 2027.

Questions fréquentes

Faut-il encore changer les mots de passe tous les trois mois ?

Pas pour les comptes ordinaires aux mots de passe robustes : la CNIL et l’ANSSI le déconseillent, car des changements fréquents les rendent prévisibles. Les mots de passe des comptes d’administration restent à renouveler régulièrement (l’ANSSI cite par exemple un à trois ans), et tout mot de passe compromis doit être changé immédiatement.

Que faire si un salarié perd son téléphone ?

L’ANSSI recommande un moyen de récupérer l’accès et une procédure pour désactiver celui qui est perdu ; la CNIL demande que la remise d’un nouveau moyen n’affaiblisse pas la sécurité. Enregistrez deux méthodes par personne (téléphone et clé physique) et désignez qui rétablit un accès, après quelle vérification d’identité.

Notre messagerie n’est pas chez Microsoft : sommes-nous concernés ?

Le calendrier de Microsoft ne vise que ses comptes Entra ID, comme ceux de Microsoft 365. Les recommandations de la CNIL et de l’ANSSI valent pour tous les outils.

Avec son offre Secure, 411bit audite vos accès (comptes administrateur, méthodes de connexion, règles de messagerie), établit un plan de passage aux clés d’accès et vous accompagne dans sa mise en œuvre ; l’offre Run peut ensuite en assurer le suivi. Pour faire le point, contactez-nous : chaque demande reçoit une réponse sous 24 h ouvrées. À lire aussi : sécuriser son informatique sans bloquer la croissance.