Authentification multifacteur et gestionnaire de mots de passe en entreprise : mise en place
Comment déployer le MFA et un gestionnaire de mots de passe dans une PME : choix des facteurs, ordre de déploiement, récupération de comptes, coûts et erreurs à éviter.
L'authentification multifacteur (MFA) et le gestionnaire de mots de passe sont les deux mesures qui réduisent le plus de risques pour le moins d'argent : elles bloquent la plupart des prises de contrôle de comptes causées par des mots de passe volés ou réutilisés. Pour une PME, la méthode consiste à activer le MFA d'abord sur la messagerie, les accès distants et les comptes administrateurs, déployer un gestionnaire de mots de passe pour tous, puis étendre progressivement aux autres applications. Le coût est modéré, mais le succès dépend de l'accompagnement des utilisateurs et d'une procédure de récupération claire.
Pourquoi ces deux mesures sont prioritaires
Un grand nombre d'incidents commencent par un compte compromis : mot de passe obtenu par hameçonnage, réutilisé sur un service piraté, ou deviné. Une fois dans la messagerie, l'attaquant peut lire les échanges, réinitialiser d'autres accès, envoyer de fausses demandes de virement aux clients ou accéder aux fichiers partagés. Le MFA ajoute un second élément que l'attaquant ne possède pas, et le gestionnaire de mots de passe supprime la mauvaise habitude de réutiliser le même mot de passe partout.
Choisir le type de facteur
| Facteur | Principe | Avantages | Limites |
|---|---|---|---|
| Code par SMS | Un code est envoyé par message | Simple, aucun matériel | Vulnérable au détournement de carte SIM et à l'hameçonnage ; à éviter pour les comptes sensibles |
| Application d'authentification | Un code temporaire généré sur le téléphone | Gratuit, répandu | Le code peut être saisi sur un faux site |
| Notification avec validation de numéro | Approbation sur le téléphone avec un code affiché à l'écran | Plus difficile à contourner par fatigue de notifications | Dépend de la configuration du fournisseur |
| Clé de sécurité matérielle ou passkey | Authentification cryptographique liée au site réel | Résistante à l'hameçonnage, très robuste | Coût de la clé, gestion des pertes |
Pour les comptes à privilèges (administrateurs, direction, finance), privilégiez des facteurs résistants à l'hameçonnage, comme les clés de sécurité ou les passkeys, quand les services le permettent. Pour les autres utilisateurs, une application d'authentification avec validation de numéro constitue un bon compromis. Les SMS valent mieux que rien, mais ne doivent pas rester la solution durable.
Ordre de déploiement recommandé
- Comptes administrateurs de la messagerie, du cloud, des équipements réseau et de la banque en ligne.
- Messagerie de tous les utilisateurs, car elle ouvre la porte à la réinitialisation d'autres comptes.
- Accès distants : VPN, bureau à distance, applications en ligne exposées.
- Applications métier sensibles : comptabilité, paie, CRM, outils de paiement.
- Autres services, par ordre de sensibilité.
Annoncez le déploiement, expliquez le pourquoi en quelques minutes, prévoyez des permanences d'aide, et déployez par groupes plutôt que le même jour pour tous.
Mettre en place un gestionnaire de mots de passe
Un gestionnaire stocke des mots de passe longs et uniques dans un coffre chiffré, protégé par un mot de passe principal solide et, idéalement, le MFA. Les versions professionnelles ajoutent le partage d'accès par équipe, la révocation à l'arrivée ou au départ d'une personne, des journaux et la détection de mots de passe compromis.
Étapes de déploiement :
- Choisissez une solution professionnelle avec console d'administration. Les solutions personnelles ne permettent pas de reprendre la main quand un collaborateur part.
- Définissez des règles : longueur minimale élevée, interdiction de réutilisation, génération aléatoire.
- Importez les mots de passe existants et remplacez progressivement les plus sensibles.
- Créez des coffres partagés par équipe pour les comptes communs, au lieu de les noter dans un tableur.
- Documentez la procédure d'arrivée et de départ d'un collaborateur.
En matière de mot de passe, les recommandations actuelles de l'ANSSI et de la CNIL mettent en avant la longueur et l'unicité plutôt que la complexité artificielle ou le changement forcé régulier, sauf soupçon de compromission. Reportez-vous à leurs publications pour les valeurs recommandées à jour.
Prévoir la récupération des comptes
C'est le point que les entreprises négligent, avec pour conséquence des collaborateurs bloqués ou des administrateurs verrouillés dehors. Prévoyez :
- Deux administrateurs au minimum par service critique, chacun avec son propre MFA.
- Des codes de secours générés et conservés hors ligne, dans un coffre ou un endroit physique sûr.
- Une procédure de réinitialisation du MFA à la perte d'un téléphone, avec vérification d'identité sérieuse : un attaquant se fera passer pour un salarié pour demander une réinitialisation.
- Un compte d'urgence de dernier recours, très protégé, utilisé uniquement en cas de blocage.
Estimation des coûts
Pour donner un ordre de grandeur illustratif : les gestionnaires de mots de passe professionnels se facturent par utilisateur et par mois, pour des montants généralement de quelques euros. Pour 25 utilisateurs à 4 euros par mois (hypothèse), le coût annuel est 25 x 4 x 12 = 1 200 euros. Les clés de sécurité matérielles se paient à l'unité : 25 clés à 40 euros (hypothèse), plus quelques clés de secours, représentent environ 1 000 à 1 200 euros une seule fois. Ces chiffres sont des exemples, pas des prix constatés. Pour intégrer ces montants dans un budget global, utilisez l'estimateur.
Erreurs fréquentes
- Activer le MFA uniquement pour les administrateurs et laisser les utilisateurs sans protection sur la messagerie.
- Accepter toutes les notifications : la fatigue de validation est exploitée par les attaquants. Formez les utilisateurs à refuser une demande qu'ils n'ont pas initiée et à la signaler.
- Stocker les codes de secours dans le même coffre que le mot de passe principal.
- Ne pas désactiver les anciens protocoles de messagerie qui contournent le MFA.
- Négliger les comptes de service et les comptes partagés, qui ne peuvent pas utiliser un MFA classique : à remplacer ou isoler.
Lien avec l'assurance et la conformité
Les assureurs cyber demandent de plus en plus la preuve d'un MFA sur la messagerie, les accès distants et les comptes à privilèges. Une déclaration inexacte lors de la souscription peut remettre en cause une indemnisation : voir le guide sur l'assurance cyber. Pour la protection des données personnelles, ces mesures figurent parmi les précautions élémentaires attendues au titre de l'article 32 du RGPD. Pour l'ensemble des priorités, voir le plan d'action sur 90 jours.
Questions fréquentes
Le MFA ralentit-il le travail des équipes ?
Légèrement au début. Avec des sessions de confiance raisonnables et des facteurs bien choisis, la gêne reste faible comparée au risque évité.
Faut-il changer les mots de passe tous les trois mois ?
Les recommandations actuelles privilégient des mots de passe longs et uniques, changés en cas de compromission, plutôt qu'un renouvellement automatique fréquent. Vérifiez les guides à jour de l'ANSSI et de la CNIL.
Que faire si un collaborateur perd son téléphone ?
Utilisez la procédure de réinitialisation prévue, avec vérification d'identité, révoquez les sessions actives et enregistrez un nouveau facteur.
Sources et références
- ANSSI — recommandations sur l'authentification multifacteur et les mots de passe.
- CNIL — recommandations sur les mots de passe et la sécurité des comptes.
- Cybermalveillance.gouv.fr — fiches pratiques sur les mots de passe et l'hameçonnage.
