En bref : La 2FA réduit le taux de succès des attaques de 99 % pour un coût de 0 à 10 EUR/employé/an. En 2026, le passkey (FIDO2/WebAuthn) est le meilleur choix pour les comptes critiques, TOTP via application pour les autres. Le SMS est deprecated. Plan de déploiement en entreprise : (1) inventaire des comptes, (2) choix de la méthode, (3) formation, (4) application progressive, (5) codes de secours et procédure de récupération.
L’investissement de sécurité le plus simple, le moins cher et le plus efficace en 2026 n’est pas l’IA de threat intelligence ni un pare-feu nouvelle génération. C’est la 2FA (authentification à deux facteurs). Microsoft rapporte que la 2FA bloque 99,9 % des compromissions automatisées de comptes, et Google a publié que les passkeys bloquent 100 % du phishing (ce qu’aucune combinaison mot de passe+SMS n’atteint).
Cet article guide l’entreprise à travers les décisions pratiques : quelle forme de 2FA choisir, comment la déployer sans chaos et quelles sont les erreurs fréquentes. Pour le contexte sécurité plus large, voir le pilier Cybersécurité des données d’entreprise.
Pourquoi la 2FA : les mathématiques du risque
L’authentification à facteur unique (mot de passe seul) échoue en 2026 pour trois raisons :
- Les mots de passe fuient dans des dumps — Have I Been Pwned recense 14+ milliards de comptes compromis. La probabilité que votre mot de passe ait déjà fuité quelque part est élevée.
- Les mots de passe sont volés par phishing — le phishing généré par IA en 2026 est quasi indiscernable.
- Les mots de passe sont devinés — les attaques de credential stuffing testent des millions de combinaisons contre les services courants. Sans 2FA, une seule bonne combinaison suffit.
La 2FA ajoute un second facteur que l’attaquant n’obtient pas avec le mot de passe. Même une fuite complète de la base de données des mots de passe de l’entreprise sans 2FA reste une menace théorique — l’attaquant n’obtient pas le second facteur.
Les trois catégories de facteurs
La théorie de la sécurité définit trois catégories de facteurs d’authentification :
| Catégorie | Exemples |
|---|---|
| Quelque chose que vous savez | Mot de passe, PIN, question secrète |
| Quelque chose que vous avez | Téléphone avec authentificateur, token matériel, clé USB |
| Quelque chose que vous êtes | Empreinte digitale, reconnaissance faciale (biométrie) |
La vraie 2FA combine deux facteurs de catégories différentes — typiquement mot de passe (1) + téléphone/token (2). Lorsqu’un système exige « mot de passe et question secrète », ce n’est PAS de la 2FA — ce sont deux facteurs de la même catégorie.
Comparaison des méthodes 2FA
Passkey (FIDO2 / WebAuthn) — la plus forte
Le passkey est une authentification sans mot de passe basée sur la cryptographie asymétrique. Le mot de passe est remplacé par une clé cryptographique stockée sur l’appareil (téléphone, ordinateur, token matériel).
Avantages :
- Résistant au phishing — la clé est liée à un domaine spécifique, impossible à extraire ou intercepter par phishing
- Aucun mot de passe à mémoriser
- Meilleure UX — un clic / une empreinte
Inconvénients :
- Nécessite un appareil et un OS modernes (iOS 16+, macOS Ventura+, Windows 10+, Android 9+)
- Certains systèmes legacy ne le supportent pas encore
Recommandation : premier choix pour les administrateurs et les comptes critiques en 2026.
Token matériel (YubiKey, Titan Key)
Clé USB / NFC physique. Pour se connecter, l’utilisateur la branche ou l’approche de l’appareil.
Avantages :
- Résistant au phishing (même principe que le passkey)
- Fonctionne sans batterie / sans réseau
- Robuste (waterproof, résistant)
Inconvénients :
- Coût 25 à 80 EUR par token
- Perte = procédure de récupération
- Certains services ne le supportent pas
Recommandation : pour les utilisateurs à hauts privilèges (admin root, finance, IT). Token de secours obligatoire.
TOTP via application
Le TOTP (Time-based One-Time Password) génère un code à 6 chiffres toutes les 30 secondes basé sur un secret partagé. Applications les plus connues :
- Microsoft Authenticator (meilleure intégration avec M365)
- Google Authenticator (la plus simple)
- 1Password (intégré avec le gestionnaire de mots de passe — codes et mots de passe en un)
- Authy (sync cloud, multi-appareils)
Avantages :
- Gratuit
- Fonctionne hors ligne (pas besoin de réseau)
- Large support des services
Inconvénients :
- Nécessite un smartphone
- En cas de perte/changement de téléphone, la récupération est problématique — codes de secours obligatoires
Recommandation : choix par défaut pour tous les employés là où le passkey n’est pas possible.
Notification push
L’application (Microsoft Authenticator, Duo) envoie une notification push sur le téléphone, l’utilisateur approuve d’un clic.
Avantages :
- Meilleure UX
- Number matching — protection contre le MFA fatigue
Inconvénients :
- Nécessite un réseau
- Attaque MFA fatigue — l’attaquant déclenche répétitivement une connexion, l’utilisateur finit par cliquer « Approuver » par erreur. (Atténué via le « number matching » — l’utilisateur doit saisir le numéro affiché sur l’écran d’origine.)
Recommandation : bien adaptée aux déploiements d’entreprise avec Microsoft Authenticator (number matching obligatoire en 2026).
SMS OTP — DEPRECATED
SMS avec un code à 6 chiffres. La méthode la plus simple, mais la plus faible.
Faiblesses :
- Attaque SIM swap — l’attaquant convainc l’opérateur de transférer votre numéro sur sa SIM, reçoit tous les SMS
- Les vulnérabilités du protocole SS7 permettent l’interception des SMS
- Le SMS arrive même quand le téléphone est éteint / hors réseau
Le NIST (standard fédéral américain) recommande de ne pas utiliser les SMS pour la 2FA depuis 2017. En 2026, c’est uniquement un fallback pour les utilisateurs sans smartphone.
Recommandation : migrer des SMS vers TOTP / passkey dès que possible.
Plan de déploiement de la 2FA en entreprise
Phase 1 : Inventaire (1 semaine)
Liste de tous les comptes et services utilisés par vos employés :
- E-mail (Microsoft 365, Google Workspace)
- ERP / CRM (Modulario, SAP, Salesforce, etc.)
- Banque (compte professionnel)
- Services cloud (AWS, Azure, GitHub, etc.)
- Applications SaaS (RH, outils marketing, etc.)
- VPN et accès distant
Identifiez lesquels supportent la 2FA et sous quelles formes.
Phase 2 : Choix de la méthode par catégorie
Classifiez les comptes selon le risque :
| Catégorie | Exemples | Méthode 2FA |
|---|---|---|
| Risque élevé | Comptes admin, banque, finance, RH | Passkey ou token matériel |
| Risque moyen | E-mail, ERP, SaaS importants | TOTP ou passkey |
| Risque faible | Outils marketing, documentation | TOTP |
| Public | Comptes publics (LinkedIn) | TOTP |
Phase 3 : Pilote (2 semaines)
D’abord l’équipe IT et le management. Identifiez les points de friction (quels services ont une mauvaise UX), préparez une FAQ et un runbook pour les problèmes courants.
Phase 4 : Formation (1 semaine)
Avant le déploiement général, formation pour tous les employés :
- Pourquoi la 2FA (motivation)
- Comment installer un authentificateur (pas à pas)
- Codes de secours (à conserver en lieu sûr)
- Que faire en cas de perte du téléphone (récupération)
Phase 5 : Déploiement général (2 à 4 semaines)
Progressivement, pas tout en même temps. Commencez par l’opt-in (l’employé l’active volontairement), après 2 semaines passez au mandatory (obligatoire, la connexion sans 2FA est bloquée).
Phase 6 : Récupération et cas particuliers (en continu)
Établissez des processus pour :
- Perte du téléphone — le support IT génère de nouveaux codes de secours après vérification de l’identité
- Nouvel employé — l’onboarding inclut l’enrollment 2FA comme première étape
- Départ d’un employé — les tokens 2FA sont désactivés en même temps que le compte
- Déplacements — TOTP fonctionne hors ligne, le passkey peut nécessiter une synchronisation
Erreurs fréquentes lors du déploiement de la 2FA
Erreur 1 : Ne pas sauvegarder les codes de secours
Lors de l’activation de la 2FA, la plupart des services donnent 8 à 10 codes de secours à usage unique. Si l’utilisateur ne les sauvegarde pas, il perd l’accès en cas de perte du téléphone. Politique : sauvegarder les codes de secours dans le gestionnaire de mots de passe (dans la même entrée que le secret 2FA).
Erreur 2 : Un seul appareil 2FA
Si l’utilisateur n’a la 2FA que sur un seul téléphone et le perd, il est bloqué. Solution : synchronisation multi-appareils (1Password, Authy, Microsoft Authenticator), codes de secours, ou token matériel de secours.
Erreur 3 : Le SMS comme facteur principal
En 2026, le SMS est deprecated. Migrez vers TOTP ou passkey. Si le SMS doit rester comme fallback, combinez-le avec un autre facteur.
Erreur 4 : Sans SSO
Sans Single Sign-On (SSO), chaque employé doit gérer la 2FA pour 20+ services individuellement. La friction mène à l’opt-out. Avec SSO (Azure AD, Google Workspace, Okta), la 2FA est au niveau du fournisseur SSO, les autres applications sont automatiquement protégées.
Erreur 5 : Aucun processus d’incident
Que faire si un attaquant contourne la 2FA (rare, mais possible via SIM swap, social engineering du support IT, ou MFA fatigue) ? Sans processus préparé, la détection et la remédiation prennent longtemps. Cela fait partie du runbook de réponse aux incidents.
La 2FA dans Modulario
Modulario supporte :
- TOTP (compatible avec toutes les applications d’authentification)
- Passkey / WebAuthn (depuis 2025)
- Tokens matériels via le standard WebAuthn
- SSO via SAML 2.0 / OIDC (Azure AD, Google Workspace, Okta, Keycloak, Auth0)
- Obligation de 2FA au niveau administrateur — obligatoire pour tous ou sélectif selon le rôle
- Codes de récupération avec stockage sécurisé
- Journal d’audit de tous les événements d’enrollment, succès et échec 2FA
Pour la configuration, voir la documentation sécurité. Pour le contexte plus large de la cyberdéfense, voir le pilier Cybersécurité des données d’entreprise.
Questions fréquentes
Quelle forme d’authentification à deux facteurs est la plus sécurisée ? Par ordre de préférence : (1) Passkey / FIDO2 / WebAuthn — résistant au phishing, défense la plus forte, (2) Token matériel (YubiKey, Titan Key), (3) TOTP via application (Google Authenticator, Microsoft Authenticator, 1Password), (4) Notification push (Microsoft Authenticator, Duo) — attention aux attaques MFA fatigue, (5) OTP par SMS — la forme la plus faible, vulnérable aux attaques SIM swap. Pour une entreprise en 2026, le passkey ou le token matériel est le standard pour les administrateurs, TOTP pour les autres, le SMS est à remplacer.
Quelle est la différence entre 2FA et MFA ? 2FA utilise exactement 2 facteurs. MFA utilise 2 facteurs ou plus. En pratique, les termes sont souvent confondus. Les trois catégories de facteurs : (1) quelque chose que vous savez, (2) quelque chose que vous avez, (3) quelque chose que vous êtes. Une vraie MFA combine 2 à 3 catégories différentes.
La 2FA est-elle obligatoire selon NIS2 ou le RGPD ? Le RGPD ne prescrit pas explicitement la 2FA, mais l’article 32 exige des « mesures techniques et organisationnelles appropriées ». Pour les entreprises dans le périmètre NIS2, des mesures d’authentification fortes sont obligatoires. Pour les comptes administrateurs et les accès aux données personnelles, la 2FA est de facto obligatoire en 2026 — sans elle, l’autorité de contrôle ne reconnaîtra pas l’adéquation des mesures et les assureurs refuseront la cyber-assurance.