La double authentification ajoute une seconde preuve à votre mot de passe : un code ou une validation sur votre téléphone, ou une clé physique. Un mot de passe volé ne suffit alors plus pour entrer dans votre messagerie ou vos comptes. L'activer prend quelques minutes par compte, ce qui en fait l'une des protections les plus efficaces au regard de l'effort demandé.
01Le principe : deux preuves au lieu d'une
Pour prouver votre identité, il existe trois familles de preuves, que l'on appelle des facteurs : ce que vous savez (un mot de passe), ce que vous possédez (un téléphone, une clé) et ce que vous êtes (une empreinte digitale). La double authentification, aussi appelée authentification multifacteur (MFA), en exige au moins deux, de familles différentes.
Les mots de passe se volent facilement : par hameçonnage, ou lors d'une fuite de données sur un site où ils étaient réutilisés. Avec un second facteur, ce mot de passe ne suffit plus. Une étude publiée en mai 2023 par des chercheurs de Microsoft, portant sur des comptes professionnels présentant une activité suspecte, estime que la double authentification réduit le risque de compromission de 99,22 % (Meyer et al., « How effective is multifactor authentication at deterring cyberattacks? »).
Elle n'est pas infaillible pour autant : certaines attaques d'hameçonnage élaborées interceptent aussi le code. D'où l'importance de la méthode choisie.
02Quelle méthode choisir ?
| Méthode | Comment ça marche | Pour qui |
|---|---|---|
| Application d'authentification | Un code à 6 chiffres, ou une notification à approuver, sur le smartphone | Le bon choix par défaut pour toute l'équipe |
| Clé de sécurité physique | Une petite clé USB ou sans contact (norme FIDO2), à brancher ou à approcher | Les comptes administrateurs et les postes sensibles |
| Code par SMS | Un code reçu par SMS à chaque connexion | En dernier recours, faute d'autre option |
La clé physique est la méthode la plus robuste : elle vérifie l'adresse du site auquel elle répond, ce qui la rend très résistante à l'hameçonnage.
Le SMS est la méthode la plus faible. L'ANSSI recommande de ne pas l'utiliser comme second facteur : les SMS peuvent être interceptés, et un fraudeur peut se faire attribuer votre numéro en se faisant passer pour vous auprès de votre opérateur (le « SIM swapping »). L'agence reconnaît toutefois qu'en l'absence d'alternative, il permet de limiter les tentatives frauduleuses (recommandations relatives à l'authentification multifacteur et aux mots de passe, octobre 2021). Mieux vaut un SMS que rien du tout.
03Où l'activer en priorité
- La messagerie (Microsoft 365, Google Workspace). C'est le compte le plus précieux : il permet de réinitialiser la plupart des autres mots de passe, et un pirate qui y accède peut écrire à vos clients en votre nom. Cybermalveillance.gouv.fr recommande de l'activer pour limiter le piratage des messageries, qui sert parfois de point de départ aux fraudes au virement (fiche réflexe sur les faux ordres de virement).
- Les accès à distance. VPN, bureau à distance, logiciels de prise en main : la CNIL recommande l'authentification multifacteur « en particulier lorsque la connexion est accessible depuis l'extérieur du réseau de l'organisme » (fiche « Authentifier les utilisateurs », mars 2024). C'est là que le retard est le plus net : parmi les TPE/PME équipées d'au moins un dispositif de sécurité, seules 26 % utilisent la double authentification pour se connecter au réseau de l'entreprise depuis l'extérieur (baromètre Cybermalveillance.gouv.fr 2025, OpinionWay, 588 entreprises).
- Les comptes administrateurs. Console Microsoft 365 ou Google, pare-feu, serveur de stockage, hébergement du site web, nom de domaine : un seul de ces comptes compromis ouvre tout le reste. C'est là qu'une clé physique se justifie le plus. Pensez aussi aux accès de votre système de sauvegarde.
- La banque et les outils financiers. La plupart des banques imposent déjà une validation renforcée. Vérifiez que chaque personne habilitée dispose de son propre accès, et faites de même pour votre logiciel de comptabilité ou votre plateforme de paiement.
Viennent ensuite les logiciels métier en ligne, les réseaux sociaux de l'entreprise et les espaces administratifs en ligne.
04Comment l'organiser dans une TPE
- Faites l'inventaire des comptes : qui utilise quoi, et qui en est administrateur.
- Choisissez la méthode. L'idéal est une application installée sur un téléphone professionnel. Si vos salariés utilisent leur téléphone personnel, la CNIL signale des points d'attention dans sa recommandation sur l'authentification multifacteur d'avril 2025 ; une clé physique peut alors être une bonne alternative.
- Prévoyez les secours : codes de récupération imprimés et rangés en lieu sûr, seconde méthode pour les administrateurs, procédure en cas de perte de téléphone ou de départ d'un salarié.
- Accompagnez, puis généralisez. Annoncez le changement, prenez un quart d'heure avec chaque personne pour l'activation, puis rendez la double authentification obligatoire pour tous depuis la console d'administration.
- Fixez une règle simple : on ne valide jamais une demande de connexion qu'on n'a pas lancée. Un pirate qui connaît un mot de passe peut multiplier les notifications en espérant une validation par lassitude (voir nos 10 signes d'hameçonnage).
À retenir
Commencez cette semaine par la messagerie et les comptes administrateurs. Le reste peut suivre progressivement.
En résumé
- La double authentification exige une seconde preuve en plus du mot de passe : un mot de passe volé ne suffit plus.
- Privilégiez une application ou une clé physique, et gardez le SMS en dernier recours.
- Priorités : messagerie, accès à distance, comptes administrateurs, banque.
- Prévoyez les codes de secours et une procédure en cas de perte de téléphone.
Pour déployer la double authentification dans votre entreprise sans bloquer vos équipes, découvrez nos solutions de cybersécurité ou contactez-nous.