Sommaire
La double authentification ajoute au mot de passe un second facteur (application, clé physique, SMS) et bloque l’essentiel des connexions par mot de passe volé. Je la rends obligatoire au moins pour les administrateurs ; elle se prévoit au cadrage d’un projet qui démarre à 6 000€HT.
Le vol de mot de passe reste la porte d’entrée la plus simple dans un outil métier : un mot de passe réutilisé sur un autre site, une page d’hameçonnage bien imitée et quelqu’un se connecte à votre CRM avec les droits d’un commercial ou d’un administrateur. La double authentification ferme cette porte pour un coût modeste. Voici les méthodes possibles, celles que je recommande selon les comptes et la façon de l’intégrer sans freiner vos équipes.
Ce que protège vraiment un second facteur
Le principe est simple : pour se connecter, il faut deux éléments de nature différente. Ce que l’on sait (le mot de passe), ce que l’on possède (un téléphone, une clé physique) ou ce que l’on est (une empreinte, un visage). Un attaquant qui a volé le mot de passe ne peut rien faire sans le second élément.
La CNIL le dit clairement dans sa page de recommandations sur les mots de passe : les solutions d’authentification à plusieurs facteurs offrent une meilleure protection que le mot de passe seul. Elle a adopté en mars 2025 une recommandation dédiée à l’authentification multifacteur (délibération n° 2025-019), qui traite des types de facteurs, des données collectées et de plusieurs points d’attention (sources consultées en octobre 2026).
Ce que la double authentification ne protège pas : un poste de travail déjà compromis, une session laissée ouverte, ou des droits trop larges. Elle va donc avec une gestion des droits par rôle et un journal des connexions.
Les méthodes, de la plus faible à la plus solide
| Méthode | Niveau de protection | Confort pour l’utilisateur | Coût pour l’entreprise | Mon usage |
|---|---|---|---|---|
| Code par e-mail | Faible : si la messagerie est compromise, tout l’est | Correct | Quasi nul | Espace client peu sensible |
| Code par SMS | Moyen : détournement de numéro possible | Bon | Coût d’envoi par SMS | Solution de secours |
| Application d’authentification (code à 6 chiffres) | Bon | Bon, après une installation | Nul | Méthode par défaut |
| Clé physique ou clé d’accès (passkey) | Très bon, résiste à l’hameçonnage | Très bon une fois en place | Achat d’une clé par personne | Administrateurs, finance, direction |
| Connexion unique Microsoft 365 ou Google | Hérite de la sécurité du compte d’entreprise | Excellent : un seul compte | Inclus dans l’abonnement existant | Équipes internes déjà équipées |
La dernière ligne compte beaucoup pour une entreprise de 50 ou 200 personnes : si vos salariés ont déjà un compte Microsoft 365 ou Google Workspace protégé par un second facteur, l’application peut s’appuyer dessus. Les arrivées et départs se gèrent alors à un seul endroit. C’est le sujet de la connexion unique (SSO).
Pour quels comptes la rendre obligatoire
Je ne recommande pas d’imposer la même règle à tout le monde. Je classe les comptes au cadrage :
- Obligatoire : administrateurs, comptes qui peuvent exporter des données, modifier des tarifs, valider des paiements ou voir des données personnelles sensibles (RH, santé, données bancaires).
- Obligatoire pour les accès externes : partenaires, sous-traitants, prestataires qui se connectent depuis leurs propres postes.
- Proposée : clients d’un extranet qui consultent des documents peu sensibles.
Côté technique, la règle doit être vérifiée par le serveur, pas seulement par l’écran. Avec Supabase, que j’utilise souvent, l’authentification gère les codes TOTP et les codes par téléphone et les règles d’accès de la base peuvent exiger qu’une session ait passé le second facteur avant de lire une table (documentation Supabase, relevée en octobre 2026). C’est ce qui évite qu’un appel direct à l’API contourne la protection.
Les détails qui font la différence
Une double authentification mal pensée devient vite une source de tickets. Les points que je traite systématiquement :
- Les codes de secours, générés à l’activation, pour le jour où le téléphone est perdu.
- La réinitialisation par un administrateur, avec vérification d’identité et trace dans le journal.
- La mémorisation de l’appareil pendant une durée raisonnable, pour ne pas redemander le code à chaque ouverture.
- La protection contre les essais répétés : limitation du nombre de tentatives et alerte en cas d’anomalie.
- Une nouvelle vérification pour les actions sensibles : changer un IBAN ou exporter toute la base peut redemander le second facteur, même en session ouverte.
Ce que ça coûte
La double authentification n’est pas un projet à part : c’est une partie de la gestion des comptes. Voici les repères de mon barème.
| Situation | Repère de prix | Délai |
|---|---|---|
| Application métier neuve, comptes et rôles compris | 6 000 à 20 000€HT pour l’ensemble du projet (brique comptes et rôles : 1 500€HT dans l’estimateur) | 1 à 3 mois |
| Vérifier la sécurité des comptes d’une application existante | Audit express 589€HT, audit complet 1 990€HT | Quelques jours à 7 jours |
| Ajouter la double authentification à une application existante | Sur devis après audit, selon le code et la base | Variable |
Les coûts récurrents sont faibles : les applications d’authentification sont gratuites, les SMS se paient à l’envoi auprès du fournisseur, les clés physiques s’achètent une fois. Pour situer votre projet, l’estimateur donne une fourchette en une minute.
Quand ce n’est pas la priorité
Je préfère le dire : la double authentification n’est pas toujours le premier chantier. Si votre application laisse n’importe quel utilisateur connecté lire les données des autres, si des clés secrètes traînent dans le code du navigateur, ou si personne ne sait restaurer une sauvegarde, ces failles passent avant. Un second facteur sur une porte dont la serrure est cassée ne sert pas à grand-chose. La page sur les failles les plus fréquentes aide à faire le tri.
À l’inverse, si vos équipes utilisent uniquement des logiciels du marché qui proposent déjà la double authentification, le travail consiste à l’activer partout, pas à développer quoi que ce soit.
Par où commencer
- Listez les comptes de vos outils et repérez ceux qui ont des droits d’administration ou accèdent à des données sensibles.
- Activez le second facteur là où il existe déjà, en commençant par la messagerie et les outils financiers.
- Pour votre application métier, faites vérifier comment l’authentification est réellement contrôlée côté serveur. C’est l’objet de l’audit : un état des lieux et un plan d’action chiffré.
- Pour un nouvel outil, la double authentification se décide au cadrage, avec les rôles et la procédure de perte d’appareil. Elle ne se rajoute pas en urgence après un incident.
Questions fréquentes
Les codes par SMS sont-ils encore acceptables ?
Ils valent mieux qu’un mot de passe seul, mais ce sont les plus faibles des seconds facteurs : un numéro peut être détourné et le SMS n’est pas chiffré de bout en bout. La CNIL en fait un point d’attention dans sa recommandation de 2025. Je les garde comme solution de secours, pas comme méthode principale pour les comptes sensibles.
Faut-il imposer la double authentification à tous les utilisateurs ?
Pas forcément. Je recommande de l’imposer aux administrateurs, aux comptes qui voient des données sensibles ou financières et aux accès depuis l’extérieur. Pour un espace client consulté deux fois par an, elle peut rester facultative, proposée mais non exigée.
Que se passe-t-il si un salarié perd son téléphone ?
Il faut l’avoir prévu : codes de secours générés à l’activation, possibilité pour un administrateur de réinitialiser le second facteur après vérification d’identité et trace de cette réinitialisation dans le journal. Sans procédure, la perte d’un téléphone bloque un salarié une journée entière.
Peut-on demander aux salariés d’utiliser leur téléphone personnel ?
C’est fréquent, mais cela se décide et s’encadre. La CNIL relève l’usage de l’équipement personnel des salariés comme facteur de possession parmi ses points d’attention. L’alternative est une clé physique fournie par l’entreprise, achetée une fois par personne.
La double authentification remplace-t-elle une bonne politique de mots de passe ?
Non, elle la complète. La CNIL a fixé ses recommandations sur les mots de passe dans une délibération de 2022, avec par exemple 12 caractères mélangeant quatre types de caractères pour un mot de passe utilisé seul. Le second facteur réduit le risque si ce mot de passe fuite.