Le mot de passe seul ne protège plus grand-chose. Les identifiants volés circulent par lots, les attaques par bourrage de mots de passe tournent en continu, et une boîte professionnelle compromise sert de tremplin vers la comptabilité. L'authentification multifacteur reste la mesure qui change le plus le rapport de force, à condition d'être déployée sans braquer les utilisateurs.
Ce que le MFA arrête, et ce qu'il n'arrête pas
Un second facteur bloque l'immense majorité des tentatives de connexion avec un mot de passe volé. Il ne protège pas contre tout : les pages de collecte modernes relaient le code en temps réel et volent le jeton de session. C'est pourquoi le facteur choisi compte autant que le principe.
Trois familles, par ordre de robustesse croissante :
- le code par SMS ou appel vocal : mieux que rien, vulnérable au détournement de carte SIM ;
- la notification ou le code à usage unique dans une application d'authentification ;
- la clé de sécurité FIDO2 ou l'authentification sans mot de passe par Windows Hello, résistantes au relais d'identifiants.
Commencez par l'application d'authentification pour la majorité des salariés et réservez les clés physiques aux comptes à privilèges, aux dirigeants et aux personnes qui manipulent des virements.
Activez la correspondance de numéros dans les notifications. Sans elle, un utilisateur harcelé de demandes finit par valider par lassitude, et l'attaque par fatigue fonctionne.
Préparer le terrain avant d'annoncer une date
La moitié du travail se fait dans Entra ID, avant toute communication.
Commencez par l'inventaire des comptes : comptes nominatifs, comptes partagés, comptes de service, boîtes de messagerie génériques, comptes d'anciens salariés jamais désactivés. Un déploiement révèle toujours des surprises, mieux vaut les traiter en amont.
Repérez ensuite les protocoles d'authentification anciens encore utilisés, car ils contournent le second facteur. Les journaux de connexion d'Entra ID permettent de savoir quels comptes et quelles applications en dépendent : souvent un copieur multifonction qui envoie des numérisations, une application métier, un module de facturation.
Définissez enfin la procédure de réinitialisation. Que fait un salarié qui a changé de téléphone un samedi ? Qui a le droit de réattribuer une méthode, et sur quelle vérification d'identité ? Sans réponse écrite, le support devient le maillon faible et le premier contournement.
Un déploiement en quatre vagues
| Vague | Population | Durée indicative | Objectif |
|---|---|---|---|
| 1 | équipe informatique et comptes d'administration | 1 semaine | valider la procédure, écrire la documentation |
| 2 | volontaires et direction | 1 semaine | tester les cas d'usage mobiles et le partage d'agendas |
| 3 | services support : finance, RH, achats | 2 semaines | couvrir les fonctions les plus visées |
| 4 | reste de l'entreprise, y compris terrain | 2 à 3 semaines | traiter les cas sans smartphone professionnel |
Entre chaque vague, relevez deux indicateurs : le nombre de tickets liés à l'inscription et le taux de comptes réellement enrôlés. Si les tickets dépassent un par dizaine d'utilisateurs, la documentation est à revoir avant de continuer.
Les cas particuliers qui font dérailler un projet
Le salarié sans téléphone professionnel et qui refuse d'installer une application sur son appareil personnel. La réponse n'est pas l'exception permanente mais une alternative : clé de sécurité matérielle, ou application sur un appareil partagé par l'équipe avec une méthode nominative.
Les comptes de service et les scripts automatisés. Ils ne doivent pas porter de second facteur mais être convertis en identités applicatives avec des secrets gérés, des permissions limitées et une rotation planifiée.
Les prestataires externes. Un accès invité soumis aux mêmes règles, avec une date d'expiration, vaut mieux qu'un compte interne prêté. La question du cadrage écrit de ces accès est traitée plus largement dans nos pages contrôle d'accès et sécurité des postes.
Les équipements qui envoient des courriels : copieurs, alarmes, logiciels de caisse. Basculez-les sur un connecteur dédié plutôt que sur un compte utilisateur.
Réduire le bruit avec l'accès conditionnel
Un MFA demandé dix fois par jour sur le même poste produit de la résistance. L'accès conditionnel permet de doser : exiger le second facteur lors d'une connexion depuis un appareil inconnu, une adresse inhabituelle ou une application sensible, et allonger la durée de session sur un poste géré et conforme.
Quelques règles utiles à écrire :
- appareils enregistrés et conformes via Intune pour l'accès aux données internes ;
- second facteur systématique pour toute connexion à un rôle d'administration ;
- blocage des protocoles d'authentification anciens une fois l'inventaire soldé ;
- exclusion d'urgence limitée à deux comptes de secours, avec mots de passe longs conservés hors ligne et surveillance de leur usage.
Bien réglées, ces politiques font que la majorité des salariés ne voient le second facteur que quelques fois par mois. C'est le vrai critère d'acceptation.
Ce que vos équipes vont demander
« Pourquoi maintenant ? » Répondez par des faits observables : les tentatives de connexion bloquées visibles dans les journaux, et le fait que l'hameçonnage vise d'abord les identifiants. Nos dix signaux d'un courriel d'hameçonnage constituent d'ailleurs un bon support de sensibilisation à envoyer avant la vague 3.
« Est-ce que mon employeur voit mon téléphone ? » Non, si vous déployez uniquement l'application d'authentification. Dites-le explicitement, écrivez-le, et distinguez clairement l'inscription d'une méthode d'authentification de la gestion d'un appareil personnel.
« Que se passe-t-il si je perds mon téléphone ? » Donnez le numéro de la procédure, le délai de réattribution et la méthode de secours. Cette réponse préparée évite la moitié des tickets.
La configuration d'Entra ID, l'inventaire des comptes et les politiques d'accès conditionnel se pilotent intégralement à distance : voyez nos prestations Active Directory et Entra ID. Un déploiement de cette taille se mesure en semaines, pas en heures, et l'essentiel du travail tient dans la préparation.
Rédaction Apply
Identités et postes de travail