L’authentification à double facteur (2FA) ajoute une étape de vérification après le mot de passe : un code temporaire, une clé physique ou une donnée biométrique. Cette couche supplémentaire bloque l’accès même si un identifiant a été volé. Dans les entreprises françaises, son déploiement s’accélère, porté par la multiplication des attaques par hameçonnage et par des exigences réglementaires de plus en plus strictes.
Comptes administrateurs et MFA : la faille que les entreprises sous-estiment
La logique voudrait que les comptes disposant des privilèges les plus élevés soient les mieux protégés. Les faits montrent le contraire. Une organisation sur cinq applique des exigences MFA moins strictes aux administrateurs qu’aux employés, selon les données compilées en 2025-2026. Ce déséquilibre crée une vulnérabilité structurelle : un compte admin compromis donne un accès quasi total au système d’information.
Le problème ne vient pas d’un oubli. Les équipes IT invoquent souvent la nécessité d’un accès rapide en cas d’incident, ou la complexité d’ajouter un second facteur sur des consoles d’administration anciennes. Ces justifications techniques masquent un risque disproportionné.
Concrètement, un attaquant qui cible une entreprise cherche rarement à compromettre le poste d’un stagiaire. Il vise les comptes à privilèges : annuaires, serveurs de messagerie, outils de déploiement. Si ces comptes exigent un simple mot de passe alors que les postes utilisateurs réclament un code OTP, la politique de sécurité s’effondre par le haut.
Freins concrets au déploiement du MFA en entreprise
Le principal obstacle au déploiement de l’authentification à double facteur n’est pas la résistance des utilisateurs. Près de la moitié des organisations citent la difficulté d’intégration avec les systèmes on-premise comme frein majeur. Serveurs de fichiers, ERP internes, applications métier développées il y a dix ans : ces briques logicielles n’ont souvent aucun connecteur prévu pour un second facteur.
Un autre frein revient fréquemment : plus d’un tiers des décideurs déclarent ne pas savoir quelle solution choisir ni comment structurer le projet. Le marché propose des dizaines de solutions MFA, avec des protocoles différents (TOTP, FIDO2, push notification, SMS), et comparer leurs compatibilités avec un parc applicatif hétérogène demande une expertise que les petites structures n’ont pas en interne.
Le ressenti utilisateur, un facteur sous-estimé
Les chiffres confirment un décalage net entre la volonté de sécuriser et l’adoption réelle. Plus de 40 % des répondants à un baromètre récent considèrent que le MFA est compliqué. Ce ressenti ne concerne pas seulement la saisie d’un code : il englobe les oublis de téléphone, les tokens déchargés, les délais de synchronisation et les situations où le second facteur échoue sans message d’erreur clair.
Sur les outils de gestion (ERP, logiciels de facturation), les taux d’activation du MFA restent particulièrement bas. Ces applications manipulent pourtant des données financières sensibles. Le paradoxe s’explique par leur architecture : beaucoup fonctionnent avec des sessions longues et des mécanismes d’authentification propriétaires difficiles à modifier.
SMS, application, clé FIDO2 : quel second facteur choisir
Tous les seconds facteurs ne se valent pas. Le choix du mécanisme de vérification conditionne directement le niveau de protection obtenu.
- Le SMS reste le facteur le plus répandu, mais aussi le plus vulnérable. Les attaques par SIM swapping (détournement de carte SIM) et l’interception de messages le rendent inadapté pour les comptes critiques.
- Les applications d’authentification (type TOTP) génèrent des codes temporaires sur le téléphone de l’utilisateur. Elles offrent un bon compromis entre sécurité et facilité de déploiement, à condition que les utilisateurs ne perdent pas l’accès à leur appareil.
- Les clés FIDO2 et les passkeys constituent la méthode qualifiée de résistante au phishing. Le secret cryptographique ne quitte jamais le dispositif physique, ce qui rend l’interception par un site frauduleux techniquement impossible.
Les données d’Okta publiées en janvier 2025 montrent que la part des méthodes résistantes au phishing dans les organisations suivies a nettement progressé. Cette tendance confirme un mouvement de fond : les entreprises qui renouvellent leur stratégie MFA privilégient désormais FIDO2 ou les passkeys plutôt que le SMS.
Recommandations de la CNIL sur l’authentification multifacteur
La CNIL a publié une recommandation dédiée à l’authentification multifacteur, destinée aux responsables de traitement. Son objectif : fournir un cadre clair pour déployer le MFA tout en respectant le RGPD. La question peut sembler paradoxale, puisque le MFA renforce la sécurité des données personnelles. En pratique, le second facteur implique parfois la collecte de données supplémentaires (numéro de téléphone, empreinte digitale), ce qui soulève des questions de proportionnalité.
La recommandation rappelle que le choix du facteur doit être proportionné au risque pesant sur les données traitées. Un accès à une base de données de santé ne justifie pas le même dispositif qu’un outil de gestion de planning interne. Cette approche par le risque évite le déploiement uniforme d’une solution lourde là où un mécanisme plus léger suffirait.
Étendre le MFA à tous les systèmes : un chantier encore en cours
L’extension de l’authentification multifacteur à l’ensemble des systèmes et des profils utilisateurs reste un chantier inachevé dans la plupart des organisations. Les environnements cloud bénéficient généralement d’un MFA natif, activable en quelques clics. Les systèmes on-premise, les applications métier anciennes et les accès VPN posent des difficultés techniques bien plus lourdes.
Le déploiement progressif reste l’approche la plus réaliste :
- Commencer par les comptes à privilèges élevés (administrateurs systèmes, accès aux bases de données)
- Étendre ensuite aux accès distants (VPN, bureaux virtuels)
- Couvrir enfin les applications métier internes, en acceptant que certaines nécessitent des adaptations sur mesure
- Documenter les exceptions et les réévaluer à chaque cycle de revue de sécurité
Le gain de sécurité apporté par l’authentification à double facteur est mesurable dès les premiers comptes protégés. L’enjeu pour les entreprises n’est plus de savoir si elles doivent déployer le MFA, mais de cartographier les zones encore exposées et d’y remédier méthodiquement, en commençant par les accès dont la compromission aurait les conséquences les plus graves.
