Double authentification : quelle méthode résiste vraiment aux attaques ?
La double authentification ajoute une seconde preuve d’identité après le mot de passe : un code, une application, une clé physique. Les quatre méthodes courantes ne se valent pas. Le SMS est déconseillé par la CNIL, les codes temporaires arrêtent le vol de mot de passe mais pas le relais de session, et seule la famille FIDO2 résiste au phishing par conception.
Pourquoi le mot de passe seul ne tient plus
Le mot de passe est devenu la donnée la plus fuitée du web. Cybermalveillance.gouv.fr a franchi les 504 000 demandes d’assistance en 2025, en hausse de 20 % sur un an, et le piratage de compte figure en tête des menaces visant les professionnels, avec une progression annoncée de 45 %. Le carburant de ces attaques : les fuites massives de bases de données, qui alimentent ensuite des vagues d’hameçonnage ciblé.
Le raisonnement des attaquants est mécanique. Un identifiant volé sur un service grand public est rejoué sur la messagerie professionnelle, le CRM, la banque en ligne. Sans second facteur, un seul mot de passe réutilisé ouvre toute la chaîne. C’est exactement le schéma que décrivent les catégories d’attaques informatiques les plus répandues.
Le retard des petites structures reste net. Selon le baromètre 2025 de Cybermalveillance.gouv.fr, 26 % des TPE et PME interrogées déclarent utiliser la double authentification. Trois entreprises sur quatre reposent donc encore sur un couple identifiant et mot de passe pour protéger leurs accès les plus critiques.
La CNIL a tranché le débat réglementaire. Sa recommandation relative à l’authentification multifacteur, adoptée par la délibération n° 2025-019 du 20 mars 2025, cadre l’usage de ces dispositifs au regard du RGPD, et l’autorité annonce en vérifier le respect lors de ses contrôles à partir de 2026.
Les quatre méthodes, et ce qu’elles arrêtent réellement
Un facteur d’authentification appartient à l’une de trois familles : ce que vous savez, ce que vous possédez, ce que vous êtes. La double authentification combine deux familles distinctes. Deux mots de passe successifs ne constituent donc pas une authentification forte.
Le code par SMS : le plancher, pas la cible
Le principe est connu de tous : un code à six chiffres arrive par message, vous le recopiez. L’adoption est massive parce que le téléphone existe déjà et qu’aucune installation n’est nécessaire.
Le canal, lui, n’a jamais été conçu pour transporter un secret. La CNIL le rappelle sans détour : la réception d’un code par SMS repose sur un canal difficile à considérer comme apportant une sécurité satisfaisante, et reste déconseillée par les autorités compétentes, avec une tolérance pour les usages à faible risque. Les faiblesses documentées sont connues :
- le détournement de carte SIM, où l’attaquant obtient un duplicata auprès de l’opérateur après avoir collecté vos données personnelles ;
- les failles historiques du protocole de signalisation entre opérateurs, qui autorisent le détournement de messages ;
- la lecture du code sur l’écran verrouillé d’un téléphone laissé sans surveillance ;
- la recopie du code sur une fausse page, exactement comme un mot de passe.
Verdict : le SMS bloque le rejeu d’un mot de passe fuité. Il n’arrête ni le phishing en direct, ni la perte de contrôle de la ligne mobile.
L’application TOTP : le bon rapport sécurité-effort
Une application d’authentification génère un code qui change toutes les trente secondes. Le mécanisme est un standard public, décrit par la RFC 6238 de l’IETF : un secret partagé lors de l’enrôlement, combiné à l’horloge, produit une valeur à usage unique. Aucun réseau n’intervient, l’application fonctionne même hors ligne.
L’avantage opérationnel est réel. Le déploiement ne coûte rien, les codes ne transitent pas par l’opérateur, et le détournement de carte SIM devient inopérant. Pour la majorité des comptes d’une PME, c’est le socle raisonnable.
La limite tient en une phrase : un code TOTP se recopie. Si vous le saisissez sur une page contrefaite, l’attaquant le rejoue dans les secondes qui suivent sur le vrai service. Le second facteur ralentit l’agresseur, il ne l’élimine pas.
La clé physique FIDO2 : la résistance au phishing par conception
Une clé de sécurité est un petit objet USB ou NFC qui stocke une paire de clés cryptographiques. À l’inscription, elle génère une clé privée qui ne sort jamais du composant et transmet la clé publique au service. À chaque connexion, elle signe un défi envoyé par le site.
Le point décisif se situe ailleurs que dans la cryptographie : la signature est liée au nom de domaine du service, dans le cadre du standard WebAuthn publié par le W3C. Une page hébergée sur un domaine ressemblant n’obtient aucune signature valide. L’utilisateur ne se trompe pas, parce qu’il n’a rien à recopier.
Le coût matériel n’est plus un obstacle. Les modèles d’entrée de gamme des principaux fabricants démarrent autour de 30 euros pièce, les versions multiprotocoles montant nettement au-dessus. Le vrai budget se loge dans la clé de secours, indispensable pour ne pas transformer une perte d’objet en perte de compte.
Les passkeys : la même cryptographie, sans objet dédié
Une passkey applique le même modèle FIDO2, mais la clé privée réside dans le téléphone, l’ordinateur ou le gestionnaire de mots de passe, et se déverrouille par empreinte, visage ou code. La synchronisation entre appareils du même écosystème supprime la crainte de la perte.
L’adoption a basculé. La FIDO Alliance a annoncé en mai 2026, à l’occasion du World Passkey Day, le franchissement de la barre des cinq milliards de passkeys dans le monde. Les grandes plateformes grand public les proposent désormais par défaut.
La contrepartie est la dépendance à l’écosystème : la clé vit dans un compte Apple, Google ou Microsoft, ou dans un gestionnaire tiers. Pour un poste d’administration, une clé matérielle séparée reste plus lisible en gouvernance.
Le scénario qui traverse la moitié des méthodes
Le contournement dominant ne casse aucun algorithme. Il place un serveur relais entre la victime et le vrai site. La victime saisit son mot de passe puis son code sur une page proxy, l’attaquant transmet le tout en direct au service légitime, la connexion réussit, et le cookie de session est capté au passage. Le second facteur a fonctionné, pour le compte du mauvais destinataire.
L’échelle du phénomène est documentée. Microsoft a décrit des campagnes de ce type ayant visé plus de 10 000 organisations sur douze mois, et des kits vendus en abonnement, comme Tycoon 2FA ou EvilProxy, ont industrialisé la technique auprès d’acteurs sans compétence technique particulière.
Face à ce scénario, la hiérarchie devient simple :
- SMS et TOTP recopiés à la main : contournés, le code voyage vers l’attaquant ;
- clé FIDO2 et passkey : la signature ne correspond pas au domaine du relais, l’authentification échoue.
Un second garde-fou complète le dispositif : la durée de vie des sessions. Un cookie volé ne vaut que tant qu’il est accepté. Réduire la validité des sessions administrateur et exiger une nouvelle authentification pour les actions sensibles limite mécaniquement la fenêtre d’exploitation.
Déployer sans bloquer l’entreprise
Le passage à la double authentification échoue rarement pour des raisons techniques. Il échoue sur la procédure de récupération et sur l’ordre des priorités. Une séquence qui tient en cinq temps :
- Inventorier les comptes à privilèges : messagerie, banque, hébergeur, nom de domaine, comptabilité, console d’administration.
- Protéger d’abord la messagerie du dirigeant et le compte du bureau d’enregistrement : ce sont les deux clés qui ouvrent toutes les autres par réinitialisation.
- Choisir par niveau de risque : clé FIDO2 ou passkey sur les accès administrateurs, application TOTP sur le reste, SMS en dernier recours seulement.
- Distribuer deux facteurs par personne dès le départ, plus des codes de secours conservés hors ligne et hors du poste de travail.
- Écrire la procédure de perte, la tester une fois, et désigner qui a le droit de réinitialiser un facteur, avec quelle vérification d’identité.
L’étape 5 est celle que la plupart des entreprises sautent. Un attaquant qui ne casse pas le second facteur appelle le support et se fait passer pour un salarié en déplacement. Sans règle écrite, la personne au téléphone improvise. Cette bascule vers l’humain rejoint les thèmes de la sensibilisation en entreprise, où la procédure vaut autant que l’outil.
Deux réflexes complètent le socle. Refuser toute notification d’approbation que vous n’avez pas déclenchée, y compris la dixième d’affilée : la répétition est une technique d’épuisement destinée à provoquer un clic de lassitude. Et ne jamais dicter un code par téléphone, quel que soit l’interlocuteur, un principe que partage la détection d’un courriel d’hameçonnage.
Ce que la réglementation attend déjà
Le RGPD impose des mesures de sécurité proportionnées au risque, et la CNIL en précise la traduction concrète avec sa recommandation de mars 2025. L’ANSSI publie de son côté depuis 2021 un guide dédié à l’authentification multifacteur et aux mots de passe, qui gradue les facteurs selon leur robustesse et écarte le SMS seul des usages les plus sensibles.
La directive NIS2 ajoute une couche pour les entités concernées, avec des exigences de contrôle d’accès et d’authentification renforcée sur les accès distants. Le calendrier français se précise progressivement, mais l’attente de fond ne bouge pas : un accès à privilèges sans second facteur sera lu comme une carence lors d’un contrôle ou d’une expertise après incident. Les structures qui préparent leur mise en conformité trouveront le cadre dans notre dossier cybersécurité pour les PME.
Prochaine étape concrète : listez vos cinq comptes les plus critiques, activez une application TOTP dessus cette semaine, puis commandez deux clés FIDO2 pour la messagerie du dirigeant. Une demi-journée de travail ferme la porte d’entrée de la grande majorité des piratages de compte.