MFA et passkeys : sécuriser les accès de votre PME

📌 Ce qu’il faut retenir

1. Un mot de passe unique ne bloque pas le phishing – s’il est saisi sur un faux site ou volé sur un poste compromis, il peut encore être exploité. Le MFA ajoute une preuve distincte et limite l’impact d’un secret compromis.
2. Les passkeys résistent mieux au phishing – elles reposent sur la cryptographie à clé publique et sont liées au service légitime. L’utilisateur ne tape plus de secret réutilisable qu’un faux site pourrait simplement collecter.
3. Commencez par les comptes critiques – messagerie, Microsoft 365 ou Google Workspace, administration, VPN, sauvegardes et outils financiers doivent passer en priorité. Le déploiement global peut venir ensuite.
4. MFA et passkeys se déploient par étapes – FIDO2 constitue la cible sur les services compatibles, TOTP reste utile ailleurs, et le gestionnaire de mots de passe couvre les comptes encore dépendants d’un mot de passe.

Résumé généré par IA

Credential stuffing : quand un ancien mot de passe ouvre votre messagerie

Le scénario est banal : un collaborateur réutilise un mot de passe sur plusieurs services. L’un d’eux subit une fuite. Un attaquant teste ensuite automatiquement le même couple adresse email et mot de passe sur d’autres plateformes. C’est le credential stuffing, ou bourrage d’identifiants.

La difficulté n’est donc pas seulement de créer un « bon » mot de passe. Il faut éviter qu’un secret volé sur un service puisse servir ailleurs. Un mot de passe long, aléatoire et unique reste utile, mais il ne protège pas contre tous les scénarios de phishing ou de vol de session.

Pour vérifier si une adresse apparaît dans une fuite connue, le service Have I Been Pwned fournit un contrôle public. Cette vérification ne remplace pas un inventaire des comptes ni une politique d’authentification.

Authentification multifacteur : protéger d’abord les accès critiques

L’authentification multifacteur demande au moins deux preuves distinctes. L’ANSSI recommande de privilégier le MFA et l’usage d’un coffre-fort de mots de passe. Pour une PME, l’enjeu n’est pas d’activer toutes les options au hasard, mais de protéger d’abord les comptes dont la compromission aurait le plus d’impact.

Notre ordre de priorité est généralement le suivant :

1. messagerie et suites Microsoft 365 ou Google Workspace ;
2. comptes administrateurs et accès distants ;
3. VPN, sauvegardes et outils de supervision ;
4. comptabilité, banque, CRM et services contenant des données sensibles.

Quand plusieurs méthodes sont proposées, privilégiez les moyens résistants au phishing. Une clé de sécurité FIDO2 ou une passkey est préférable pour les comptes sensibles. Une application TOTP reste une solution utile si FIDO n’est pas disponible. Le SMS peut servir de solution de repli, mais il dépend du réseau téléphonique et expose à d’autres risques.

Le guide officiel de l’ANSSI sur l’authentification détaille ces choix selon le niveau de risque.

MFA et passkeys : ne pas opposer les deux approches

Une passkey, ou clé d’accès, remplace le mot de passe par une paire de clés cryptographiques. Le service conserve la clé publique. La preuve de connexion est produite par l’authentificateur de l’utilisateur. La passkey est liée au domaine du service, ce qui réduit fortement l’efficacité des faux sites de connexion.

Contrairement à une idée fréquente, toutes les passkeys ne sont pas limitées à un seul appareil. Certaines sont liées à une clé matérielle. D’autres peuvent être synchronisées de manière chiffrée par un fournisseur de passkeys. Dans les deux cas, l’utilisateur n’a pas de mot de passe réutilisable à saisir sur un site.

La bonne question n’est donc pas « MFA ou passkey ? ». Sur un service compatible, la passkey peut remplacer le mot de passe et simplifier un ancien parcours mot de passe plus code. Sur un service non compatible, le MFA reste la protection immédiate à activer.

FIDO2 : pourquoi les clés d’accès résistent au phishing

FIDO2 associe notamment WebAuthn et CTAP. Le protocole utilise la cryptographie asymétrique et lie l’authentification au service légitime. Un faux site ne peut donc pas simplement récupérer une passkey comme il récupère un mot de passe ou un code saisi par l’utilisateur.

Cette résistance au phishing ne supprime pas tous les risques. Un poste compromis, une mauvaise procédure de récupération de compte ou une session déjà détournée restent des sujets de sécurité. Les passkeys renforcent l’authentification ; elles ne remplacent ni les mises à jour, ni la gestion des droits, ni la surveillance.

Pour replacer ce chantier dans une démarche plus large, consultez notre guide cybersécurité TPE-PME : les cinq priorités.

Gestionnaire de mots de passe : gérer la période de transition

Le gestionnaire de mots de passe reste indispensable tant que tous les services ne proposent pas de passkeys. Il génère un secret différent pour chaque compte et évite la réutilisation. En entreprise, il facilite aussi le partage contrôlé, la révocation des accès et la séparation entre usages personnels et professionnels.

Il faut toutefois choisir son architecture, protéger le compte maître avec une authentification forte et définir une procédure de récupération. Le gestionnaire n’est pas un raccourci organisationnel : les droits doivent toujours être attribués selon le besoin réel.

Pour approfondir les règles actuelles, voir notre dossier sur les recommandations NIST et la gestion des mots de passe.

Déployer MFA et passkeys dans une PME sans bloquer les équipes

Un déploiement efficace commence par un inventaire, pas par l’achat d’un outil. Listez les comptes critiques, les méthodes déjà disponibles et les personnes qui disposent de droits élevés. Ensuite, choisissez un groupe pilote de quelques utilisateurs et testez les procédures normales comme les procédures de secours.

Le point souvent oublié est la récupération. Une clé perdue, un téléphone remplacé ou un salarié absent ne doit pas conduire à désactiver la sécurité dans l’urgence. Prévoyez au moins une méthode de secours maîtrisée et documentée pour les comptes essentiels.

Cybersécurité PME : transformer l’authentification en plan d’action

Si vous ne savez pas par quels comptes commencer, MonAideCyber propose aux organisations éligibles un diagnostic cyber gratuit accompagné. Le dispositif aide à identifier des premières mesures prioritaires, sans se substituer à un audit technique complet.