- Longueur minimale adaptée au niveau de risque
- Absence de données personnelles dans la composition
- Unicité par service et par usage
- Stockage haché avec sel long et aléatoire
- Renouvellement immédiat après compromission suspectée
Stockage sécurisé et recouvrement d’accès
Le stockage en clair reste inacceptable, car il transforme une fuite technique en incident direct. Les fonctions de dérivation robustes, comme Argon2 ou scrypt, réduisent la rentabilité des attaques hors ligne.
Selon l’ANSSI, le recouvrement doit éviter toute communication du mot de passe originel. Un lien temporaire, un support encadré ou un coffre-fort dédié répondent mieux aux besoins réels de sécurité internet.
Sensibilisation et discipline d’usage
La technique seule ne suffit pas, car beaucoup d’incidents naissent d’un geste banal. Un mot de passe noté sur un papier, un code transmis par courriel ou une clé partagée en urgence ouvrent des brèches évitables.
Selon l’ANSSI, la sensibilisation des utilisateurs fait partie intégrante de la défense. Elle soutient la prévention des intrusions, diminue l’exposition au phishing et renforce la sécurité des données sans alourdir inutilement les usages.
« Après la formation, les équipes ont cessé d’envoyer leurs secrets par messagerie, et les demandes de support sont devenues plus saines. »
Camille B., référente sécurité
Dans une organisation mature, cette discipline nourrit directement la résilience, car chaque bon réflexe réduit un peu plus l’espace offert aux attaquants.
Source : ANSSI, « Recommandations relatives à l’authentification multifacteur et aux mots de passe », ANSSI-PG-078, 2021 ; CNIL, « Recommandation relative à l’authentification multifacteur », CNIL, 2021 ; Microsoft, « Authentification multifacteur : ce que recommande la CNIL », Microsoft Security, 2021.
Règles utiles pour les mots de passe :
- Longueur minimale adaptée au niveau de risque
- Absence de données personnelles dans la composition
- Unicité par service et par usage
- Stockage haché avec sel long et aléatoire
- Renouvellement immédiat après compromission suspectée
Stockage sécurisé et recouvrement d’accès
Le stockage en clair reste inacceptable, car il transforme une fuite technique en incident direct. Les fonctions de dérivation robustes, comme Argon2 ou scrypt, réduisent la rentabilité des attaques hors ligne.
Selon l’ANSSI, le recouvrement doit éviter toute communication du mot de passe originel. Un lien temporaire, un support encadré ou un coffre-fort dédié répondent mieux aux besoins réels de sécurité internet.
Sensibilisation et discipline d’usage
La technique seule ne suffit pas, car beaucoup d’incidents naissent d’un geste banal. Un mot de passe noté sur un papier, un code transmis par courriel ou une clé partagée en urgence ouvrent des brèches évitables.
Selon l’ANSSI, la sensibilisation des utilisateurs fait partie intégrante de la défense. Elle soutient la prévention des intrusions, diminue l’exposition au phishing et renforce la sécurité des données sans alourdir inutilement les usages.
« Après la formation, les équipes ont cessé d’envoyer leurs secrets par messagerie, et les demandes de support sont devenues plus saines. »
Camille B., référente sécurité
Dans une organisation mature, cette discipline nourrit directement la résilience, car chaque bon réflexe réduit un peu plus l’espace offert aux attaquants.
Source : ANSSI, « Recommandations relatives à l’authentification multifacteur et aux mots de passe », ANSSI-PG-078, 2021 ; CNIL, « Recommandation relative à l’authentification multifacteur », CNIL, 2021 ; Microsoft, « Authentification multifacteur : ce que recommande la CNIL », Microsoft Security, 2021.
- Catégories distinctes pour chaque preuve
- Canaux sécurisés pour remise et usage
- Révocation rapide en cas de perte
- Durée de session strictement limitée
- Journalisation des événements d’accès
Le bon équilibre entre sécurité et usage
Un dispositif trop dur à utiliser pousse vite les équipes à le contourner. C’est un point souvent sous-estimé, alors qu’il détermine l’adhésion réelle des utilisateurs.
Selon l’ANSSI, l’expérience utilisateur doit être évaluée avec le niveau de sensibilité des services. Une messagerie critique, un accès administrateur ou un environnement industriel n’acceptent pas les mêmes compromis.
« Le projet a mieux fonctionné quand nous avons simplifié l’enregistrement et préparé des solutions de secours. »
Julien R., administrateur système
Le dernier enjeu consiste alors à protéger le mot de passe lui-même, car la MFA n’efface pas la nécessité d’une bonne politique de conservation et de renouvellement.
Politiques de mots de passe et gestion des identités au quotidien
Une fois les facteurs bien choisis, le mot de passe reste souvent le premier rempart à renforcer. Dans une organisation, la gestion des identités dépend autant des règles de création que du stockage et du recouvrement.
Selon l’ANSSI, allonger un mot de passe vaut souvent mieux que le compliquer artificiellement. Cette approche réduit les comportements prévisibles, tout en facilitant une protection des comptes plus durable.
Règles utiles pour les mots de passe :
- Longueur minimale adaptée au niveau de risque
- Absence de données personnelles dans la composition
- Unicité par service et par usage
- Stockage haché avec sel long et aléatoire
- Renouvellement immédiat après compromission suspectée
Stockage sécurisé et recouvrement d’accès
Le stockage en clair reste inacceptable, car il transforme une fuite technique en incident direct. Les fonctions de dérivation robustes, comme Argon2 ou scrypt, réduisent la rentabilité des attaques hors ligne.
Selon l’ANSSI, le recouvrement doit éviter toute communication du mot de passe originel. Un lien temporaire, un support encadré ou un coffre-fort dédié répondent mieux aux besoins réels de sécurité internet.
Sensibilisation et discipline d’usage
La technique seule ne suffit pas, car beaucoup d’incidents naissent d’un geste banal. Un mot de passe noté sur un papier, un code transmis par courriel ou une clé partagée en urgence ouvrent des brèches évitables.
Selon l’ANSSI, la sensibilisation des utilisateurs fait partie intégrante de la défense. Elle soutient la prévention des intrusions, diminue l’exposition au phishing et renforce la sécurité des données sans alourdir inutilement les usages.
« Après la formation, les équipes ont cessé d’envoyer leurs secrets par messagerie, et les demandes de support sont devenues plus saines. »
Camille B., référente sécurité
Dans une organisation mature, cette discipline nourrit directement la résilience, car chaque bon réflexe réduit un peu plus l’espace offert aux attaquants.
Source : ANSSI, « Recommandations relatives à l’authentification multifacteur et aux mots de passe », ANSSI-PG-078, 2021 ; CNIL, « Recommandation relative à l’authentification multifacteur », CNIL, 2021 ; Microsoft, « Authentification multifacteur : ce que recommande la CNIL », Microsoft Security, 2021.
À retenir sur les facteurs robustes :
- Catégories distinctes pour chaque preuve
- Canaux sécurisés pour remise et usage
- Révocation rapide en cas de perte
- Durée de session strictement limitée
- Journalisation des événements d’accès
Le bon équilibre entre sécurité et usage
Un dispositif trop dur à utiliser pousse vite les équipes à le contourner. C’est un point souvent sous-estimé, alors qu’il détermine l’adhésion réelle des utilisateurs.
Selon l’ANSSI, l’expérience utilisateur doit être évaluée avec le niveau de sensibilité des services. Une messagerie critique, un accès administrateur ou un environnement industriel n’acceptent pas les mêmes compromis.
« Le projet a mieux fonctionné quand nous avons simplifié l’enregistrement et préparé des solutions de secours. »
Julien R., administrateur système
Le dernier enjeu consiste alors à protéger le mot de passe lui-même, car la MFA n’efface pas la nécessité d’une bonne politique de conservation et de renouvellement.
Politiques de mots de passe et gestion des identités au quotidien
Une fois les facteurs bien choisis, le mot de passe reste souvent le premier rempart à renforcer. Dans une organisation, la gestion des identités dépend autant des règles de création que du stockage et du recouvrement.
Selon l’ANSSI, allonger un mot de passe vaut souvent mieux que le compliquer artificiellement. Cette approche réduit les comportements prévisibles, tout en facilitant une protection des comptes plus durable.
Règles utiles pour les mots de passe :
- Longueur minimale adaptée au niveau de risque
- Absence de données personnelles dans la composition
- Unicité par service et par usage
- Stockage haché avec sel long et aléatoire
- Renouvellement immédiat après compromission suspectée
Stockage sécurisé et recouvrement d’accès
Le stockage en clair reste inacceptable, car il transforme une fuite technique en incident direct. Les fonctions de dérivation robustes, comme Argon2 ou scrypt, réduisent la rentabilité des attaques hors ligne.
Selon l’ANSSI, le recouvrement doit éviter toute communication du mot de passe originel. Un lien temporaire, un support encadré ou un coffre-fort dédié répondent mieux aux besoins réels de sécurité internet.
Sensibilisation et discipline d’usage
La technique seule ne suffit pas, car beaucoup d’incidents naissent d’un geste banal. Un mot de passe noté sur un papier, un code transmis par courriel ou une clé partagée en urgence ouvrent des brèches évitables.
Selon l’ANSSI, la sensibilisation des utilisateurs fait partie intégrante de la défense. Elle soutient la prévention des intrusions, diminue l’exposition au phishing et renforce la sécurité des données sans alourdir inutilement les usages.
« Après la formation, les équipes ont cessé d’envoyer leurs secrets par messagerie, et les demandes de support sont devenues plus saines. »
Camille B., référente sécurité
Dans une organisation mature, cette discipline nourrit directement la résilience, car chaque bon réflexe réduit un peu plus l’espace offert aux attaquants.
Source : ANSSI, « Recommandations relatives à l’authentification multifacteur et aux mots de passe », ANSSI-PG-078, 2021 ; CNIL, « Recommandation relative à l’authentification multifacteur », CNIL, 2021 ; Microsoft, « Authentification multifacteur : ce que recommande la CNIL », Microsoft Security, 2021.
Moyen
Usage courant
Avantage
Limite
SMS
Code ponctuel
Facile à comprendre
Vulnérable au SIM swapping
Application OTP
Code temporisé
Meilleure maîtrise du canal
Dépend du téléphone
Clé FIDO2
Connexion forte
Très bon niveau de protection
Gestion du parc nécessaire
Biométrie
Déverrouillage pratique
Très fluide pour l’utilisateur
Révocation complexe
Pourquoi le SMS ne suffit pas
Le SMS reste séduisant parce qu’il est familier, mais cette familiarité masque des failles sérieuses. Les détournements de cartes SIM, l’interception de messages et la réutilisation de numéros fragilisent le contrôle d’accès.
Selon l’ANSSI, il faut donc éviter d’en faire un facteur d’authentification principal. Pour la cybersécurité, le gain réel vient plutôt des clés matérielles, des applications dédiées et des protocoles robustes.
« J’ai remplacé le SMS par une clé de sécurité, puis les tentatives frauduleuses ont cessé d’être exploitables. »
Claire T.
Ce choix technique n’a de valeur durable que si les équipes savent aussi gérer les inscriptions, les pertes et les révocations sans créer de rupture d’usage.
À retenir sur les facteurs robustes :
- Catégories distinctes pour chaque preuve
- Canaux sécurisés pour remise et usage
- Révocation rapide en cas de perte
- Durée de session strictement limitée
- Journalisation des événements d’accès
Le bon équilibre entre sécurité et usage
Un dispositif trop dur à utiliser pousse vite les équipes à le contourner. C’est un point souvent sous-estimé, alors qu’il détermine l’adhésion réelle des utilisateurs.
Selon l’ANSSI, l’expérience utilisateur doit être évaluée avec le niveau de sensibilité des services. Une messagerie critique, un accès administrateur ou un environnement industriel n’acceptent pas les mêmes compromis.
« Le projet a mieux fonctionné quand nous avons simplifié l’enregistrement et préparé des solutions de secours. »
Julien R., administrateur système
Le dernier enjeu consiste alors à protéger le mot de passe lui-même, car la MFA n’efface pas la nécessité d’une bonne politique de conservation et de renouvellement.
Politiques de mots de passe et gestion des identités au quotidien
Une fois les facteurs bien choisis, le mot de passe reste souvent le premier rempart à renforcer. Dans une organisation, la gestion des identités dépend autant des règles de création que du stockage et du recouvrement.
Selon l’ANSSI, allonger un mot de passe vaut souvent mieux que le compliquer artificiellement. Cette approche réduit les comportements prévisibles, tout en facilitant une protection des comptes plus durable.
Règles utiles pour les mots de passe :
- Longueur minimale adaptée au niveau de risque
- Absence de données personnelles dans la composition
- Unicité par service et par usage
- Stockage haché avec sel long et aléatoire
- Renouvellement immédiat après compromission suspectée
Stockage sécurisé et recouvrement d’accès
Le stockage en clair reste inacceptable, car il transforme une fuite technique en incident direct. Les fonctions de dérivation robustes, comme Argon2 ou scrypt, réduisent la rentabilité des attaques hors ligne.
Selon l’ANSSI, le recouvrement doit éviter toute communication du mot de passe originel. Un lien temporaire, un support encadré ou un coffre-fort dédié répondent mieux aux besoins réels de sécurité internet.
Sensibilisation et discipline d’usage
La technique seule ne suffit pas, car beaucoup d’incidents naissent d’un geste banal. Un mot de passe noté sur un papier, un code transmis par courriel ou une clé partagée en urgence ouvrent des brèches évitables.
Selon l’ANSSI, la sensibilisation des utilisateurs fait partie intégrante de la défense. Elle soutient la prévention des intrusions, diminue l’exposition au phishing et renforce la sécurité des données sans alourdir inutilement les usages.
« Après la formation, les équipes ont cessé d’envoyer leurs secrets par messagerie, et les demandes de support sont devenues plus saines. »
Camille B., référente sécurité
Dans une organisation mature, cette discipline nourrit directement la résilience, car chaque bon réflexe réduit un peu plus l’espace offert aux attaquants.
Source : ANSSI, « Recommandations relatives à l’authentification multifacteur et aux mots de passe », ANSSI-PG-078, 2021 ; CNIL, « Recommandation relative à l’authentification multifacteur », CNIL, 2021 ; Microsoft, « Authentification multifacteur : ce que recommande la CNIL », Microsoft Security, 2021.
Comparatif des moyens courants :
Moyen
Usage courant
Avantage
Limite
SMS
Code ponctuel
Facile à comprendre
Vulnérable au SIM swapping
Application OTP
Code temporisé
Meilleure maîtrise du canal
Dépend du téléphone
Clé FIDO2
Connexion forte
Très bon niveau de protection
Gestion du parc nécessaire
Biométrie
Déverrouillage pratique
Très fluide pour l’utilisateur
Révocation complexe
Pourquoi le SMS ne suffit pas
Le SMS reste séduisant parce qu’il est familier, mais cette familiarité masque des failles sérieuses. Les détournements de cartes SIM, l’interception de messages et la réutilisation de numéros fragilisent le contrôle d’accès.
Selon l’ANSSI, il faut donc éviter d’en faire un facteur d’authentification principal. Pour la cybersécurité, le gain réel vient plutôt des clés matérielles, des applications dédiées et des protocoles robustes.
« J’ai remplacé le SMS par une clé de sécurité, puis les tentatives frauduleuses ont cessé d’être exploitables. »
Claire T.
Ce choix technique n’a de valeur durable que si les équipes savent aussi gérer les inscriptions, les pertes et les révocations sans créer de rupture d’usage.
À retenir sur les facteurs robustes :
- Catégories distinctes pour chaque preuve
- Canaux sécurisés pour remise et usage
- Révocation rapide en cas de perte
- Durée de session strictement limitée
- Journalisation des événements d’accès
Le bon équilibre entre sécurité et usage
Un dispositif trop dur à utiliser pousse vite les équipes à le contourner. C’est un point souvent sous-estimé, alors qu’il détermine l’adhésion réelle des utilisateurs.
Selon l’ANSSI, l’expérience utilisateur doit être évaluée avec le niveau de sensibilité des services. Une messagerie critique, un accès administrateur ou un environnement industriel n’acceptent pas les mêmes compromis.
« Le projet a mieux fonctionné quand nous avons simplifié l’enregistrement et préparé des solutions de secours. »
Julien R., administrateur système
Le dernier enjeu consiste alors à protéger le mot de passe lui-même, car la MFA n’efface pas la nécessité d’une bonne politique de conservation et de renouvellement.
Politiques de mots de passe et gestion des identités au quotidien
Une fois les facteurs bien choisis, le mot de passe reste souvent le premier rempart à renforcer. Dans une organisation, la gestion des identités dépend autant des règles de création que du stockage et du recouvrement.
Selon l’ANSSI, allonger un mot de passe vaut souvent mieux que le compliquer artificiellement. Cette approche réduit les comportements prévisibles, tout en facilitant une protection des comptes plus durable.
Règles utiles pour les mots de passe :
- Longueur minimale adaptée au niveau de risque
- Absence de données personnelles dans la composition
- Unicité par service et par usage
- Stockage haché avec sel long et aléatoire
- Renouvellement immédiat après compromission suspectée
Stockage sécurisé et recouvrement d’accès
Le stockage en clair reste inacceptable, car il transforme une fuite technique en incident direct. Les fonctions de dérivation robustes, comme Argon2 ou scrypt, réduisent la rentabilité des attaques hors ligne.
Selon l’ANSSI, le recouvrement doit éviter toute communication du mot de passe originel. Un lien temporaire, un support encadré ou un coffre-fort dédié répondent mieux aux besoins réels de sécurité internet.
Sensibilisation et discipline d’usage
La technique seule ne suffit pas, car beaucoup d’incidents naissent d’un geste banal. Un mot de passe noté sur un papier, un code transmis par courriel ou une clé partagée en urgence ouvrent des brèches évitables.
Selon l’ANSSI, la sensibilisation des utilisateurs fait partie intégrante de la défense. Elle soutient la prévention des intrusions, diminue l’exposition au phishing et renforce la sécurité des données sans alourdir inutilement les usages.
« Après la formation, les équipes ont cessé d’envoyer leurs secrets par messagerie, et les demandes de support sont devenues plus saines. »
Camille B., référente sécurité
Dans une organisation mature, cette discipline nourrit directement la résilience, car chaque bon réflexe réduit un peu plus l’espace offert aux attaquants.
Source : ANSSI, « Recommandations relatives à l’authentification multifacteur et aux mots de passe », ANSSI-PG-078, 2021 ; CNIL, « Recommandation relative à l’authentification multifacteur », CNIL, 2021 ; Microsoft, « Authentification multifacteur : ce que recommande la CNIL », Microsoft Security, 2021.
Facteur
Exemple
Atout principal
Point de vigilance
Connaissance
Mot de passe
Simple à déployer
Vol et réutilisation fréquents
Possession
Token ou téléphone
Couche supplémentaire utile
Perte ou interception possibles
Inhérent
Biométrie
Confort d’usage
Révocation délicate
Mixte
Mot de passe et clé FIDO
Renforcement net du contrôle d’accès
Dépend du déploiement correct
Les attaques les plus courantes contre les mots de passe
Cette fragilité s’explique d’abord par la manière dont les attaquants travaillent aujourd’hui. Ils exploitent l’hameçonnage, le bourrage d’identifiants, les fuites de bases et les mots de passe réutilisés.
Selon Microsoft, les attaques liées aux identifiants restent massives, car un seul secret ouvre parfois plusieurs services. La même faiblesse alimente la prévention des intrusions : si le mot de passe tombe, le second facteur peut encore arrêter l’attaque.
« Nous pensions avoir un mot de passe solide, puis la connexion bloquée a révélé l’attaque. Le second facteur a évité l’incident majeur. »
Marc D.
Pourquoi la MFA change la logique de défense
La différence est simple à comprendre, mais décisive en pratique. Un pirate qui a récupéré un mot de passe doit encore franchir une vérification indépendante, ce qui augmente son coût et réduit sa vitesse d’action.
Selon l’ANSSI, cette logique n’a de sens que si les facteurs appartiennent à des catégories différentes. Un code PIN et un mot de passe ne suffisent pas, car la sécurité dépend alors d’une seule famille de secret.
« Après le déploiement de la MFA, nos alertes ont chuté sur les comptes sensibles, et les demandes d’assistance sont devenues plus ciblées. »
Sophie L., responsable SSI, média interne
Le passage vers la gestion concrète des facteurs demande toutefois des règles claires, car la robustesse d’ensemble dépend aussi de l’enregistrement et du renouvellement.
Choisir des facteurs fiables pour la sécurité des comptes
Après le constat sur les attaques, le vrai sujet devient le choix des moyens d’authentification. Un facteur mal choisi peut rassurer à tort, alors qu’un mécanisme solide protège vraiment les comptes critiques.
Selon l’ANSSI, les moyens forts reposent sur des mécanismes cryptographiques et sur une mise en œuvre cohérente. Cette exigence sert la stratégie de sécurité autant que la conformité, car elle limite les contournements trop faciles.
Comparatif des moyens courants :
Moyen
Usage courant
Avantage
Limite
SMS
Code ponctuel
Facile à comprendre
Vulnérable au SIM swapping
Application OTP
Code temporisé
Meilleure maîtrise du canal
Dépend du téléphone
Clé FIDO2
Connexion forte
Très bon niveau de protection
Gestion du parc nécessaire
Biométrie
Déverrouillage pratique
Très fluide pour l’utilisateur
Révocation complexe
Pourquoi le SMS ne suffit pas
Le SMS reste séduisant parce qu’il est familier, mais cette familiarité masque des failles sérieuses. Les détournements de cartes SIM, l’interception de messages et la réutilisation de numéros fragilisent le contrôle d’accès.
Selon l’ANSSI, il faut donc éviter d’en faire un facteur d’authentification principal. Pour la cybersécurité, le gain réel vient plutôt des clés matérielles, des applications dédiées et des protocoles robustes.
« J’ai remplacé le SMS par une clé de sécurité, puis les tentatives frauduleuses ont cessé d’être exploitables. »
Claire T.
Ce choix technique n’a de valeur durable que si les équipes savent aussi gérer les inscriptions, les pertes et les révocations sans créer de rupture d’usage.
À retenir sur les facteurs robustes :
- Catégories distinctes pour chaque preuve
- Canaux sécurisés pour remise et usage
- Révocation rapide en cas de perte
- Durée de session strictement limitée
- Journalisation des événements d’accès
Le bon équilibre entre sécurité et usage
Un dispositif trop dur à utiliser pousse vite les équipes à le contourner. C’est un point souvent sous-estimé, alors qu’il détermine l’adhésion réelle des utilisateurs.
Selon l’ANSSI, l’expérience utilisateur doit être évaluée avec le niveau de sensibilité des services. Une messagerie critique, un accès administrateur ou un environnement industriel n’acceptent pas les mêmes compromis.
« Le projet a mieux fonctionné quand nous avons simplifié l’enregistrement et préparé des solutions de secours. »
Julien R., administrateur système
Le dernier enjeu consiste alors à protéger le mot de passe lui-même, car la MFA n’efface pas la nécessité d’une bonne politique de conservation et de renouvellement.
Politiques de mots de passe et gestion des identités au quotidien
Une fois les facteurs bien choisis, le mot de passe reste souvent le premier rempart à renforcer. Dans une organisation, la gestion des identités dépend autant des règles de création que du stockage et du recouvrement.
Selon l’ANSSI, allonger un mot de passe vaut souvent mieux que le compliquer artificiellement. Cette approche réduit les comportements prévisibles, tout en facilitant une protection des comptes plus durable.
Règles utiles pour les mots de passe :
- Longueur minimale adaptée au niveau de risque
- Absence de données personnelles dans la composition
- Unicité par service et par usage
- Stockage haché avec sel long et aléatoire
- Renouvellement immédiat après compromission suspectée
Stockage sécurisé et recouvrement d’accès
Le stockage en clair reste inacceptable, car il transforme une fuite technique en incident direct. Les fonctions de dérivation robustes, comme Argon2 ou scrypt, réduisent la rentabilité des attaques hors ligne.
Selon l’ANSSI, le recouvrement doit éviter toute communication du mot de passe originel. Un lien temporaire, un support encadré ou un coffre-fort dédié répondent mieux aux besoins réels de sécurité internet.
Sensibilisation et discipline d’usage
La technique seule ne suffit pas, car beaucoup d’incidents naissent d’un geste banal. Un mot de passe noté sur un papier, un code transmis par courriel ou une clé partagée en urgence ouvrent des brèches évitables.
Selon l’ANSSI, la sensibilisation des utilisateurs fait partie intégrante de la défense. Elle soutient la prévention des intrusions, diminue l’exposition au phishing et renforce la sécurité des données sans alourdir inutilement les usages.
« Après la formation, les équipes ont cessé d’envoyer leurs secrets par messagerie, et les demandes de support sont devenues plus saines. »
Camille B., référente sécurité
Dans une organisation mature, cette discipline nourrit directement la résilience, car chaque bon réflexe réduit un peu plus l’espace offert aux attaquants.
Source : ANSSI, « Recommandations relatives à l’authentification multifacteur et aux mots de passe », ANSSI-PG-078, 2021 ; CNIL, « Recommandation relative à l’authentification multifacteur », CNIL, 2021 ; Microsoft, « Authentification multifacteur : ce que recommande la CNIL », Microsoft Security, 2021.
Comparaison des facteurs d’authentification :
Facteur
Exemple
Atout principal
Point de vigilance
Connaissance
Mot de passe
Simple à déployer
Vol et réutilisation fréquents
Possession
Token ou téléphone
Couche supplémentaire utile
Perte ou interception possibles
Inhérent
Biométrie
Confort d’usage
Révocation délicate
Mixte
Mot de passe et clé FIDO
Renforcement net du contrôle d’accès
Dépend du déploiement correct
Les attaques les plus courantes contre les mots de passe
Cette fragilité s’explique d’abord par la manière dont les attaquants travaillent aujourd’hui. Ils exploitent l’hameçonnage, le bourrage d’identifiants, les fuites de bases et les mots de passe réutilisés.
Selon Microsoft, les attaques liées aux identifiants restent massives, car un seul secret ouvre parfois plusieurs services. La même faiblesse alimente la prévention des intrusions : si le mot de passe tombe, le second facteur peut encore arrêter l’attaque.
« Nous pensions avoir un mot de passe solide, puis la connexion bloquée a révélé l’attaque. Le second facteur a évité l’incident majeur. »
Marc D.
Pourquoi la MFA change la logique de défense
La différence est simple à comprendre, mais décisive en pratique. Un pirate qui a récupéré un mot de passe doit encore franchir une vérification indépendante, ce qui augmente son coût et réduit sa vitesse d’action.
Selon l’ANSSI, cette logique n’a de sens que si les facteurs appartiennent à des catégories différentes. Un code PIN et un mot de passe ne suffisent pas, car la sécurité dépend alors d’une seule famille de secret.
« Après le déploiement de la MFA, nos alertes ont chuté sur les comptes sensibles, et les demandes d’assistance sont devenues plus ciblées. »
Sophie L., responsable SSI, média interne
Le passage vers la gestion concrète des facteurs demande toutefois des règles claires, car la robustesse d’ensemble dépend aussi de l’enregistrement et du renouvellement.
Choisir des facteurs fiables pour la sécurité des comptes
Après le constat sur les attaques, le vrai sujet devient le choix des moyens d’authentification. Un facteur mal choisi peut rassurer à tort, alors qu’un mécanisme solide protège vraiment les comptes critiques.
Selon l’ANSSI, les moyens forts reposent sur des mécanismes cryptographiques et sur une mise en œuvre cohérente. Cette exigence sert la stratégie de sécurité autant que la conformité, car elle limite les contournements trop faciles.
Comparatif des moyens courants :
Moyen
Usage courant
Avantage
Limite
SMS
Code ponctuel
Facile à comprendre
Vulnérable au SIM swapping
Application OTP
Code temporisé
Meilleure maîtrise du canal
Dépend du téléphone
Clé FIDO2
Connexion forte
Très bon niveau de protection
Gestion du parc nécessaire
Biométrie
Déverrouillage pratique
Très fluide pour l’utilisateur
Révocation complexe
Pourquoi le SMS ne suffit pas
Le SMS reste séduisant parce qu’il est familier, mais cette familiarité masque des failles sérieuses. Les détournements de cartes SIM, l’interception de messages et la réutilisation de numéros fragilisent le contrôle d’accès.
Selon l’ANSSI, il faut donc éviter d’en faire un facteur d’authentification principal. Pour la cybersécurité, le gain réel vient plutôt des clés matérielles, des applications dédiées et des protocoles robustes.
« J’ai remplacé le SMS par une clé de sécurité, puis les tentatives frauduleuses ont cessé d’être exploitables. »
Claire T.
Ce choix technique n’a de valeur durable que si les équipes savent aussi gérer les inscriptions, les pertes et les révocations sans créer de rupture d’usage.
À retenir sur les facteurs robustes :
- Catégories distinctes pour chaque preuve
- Canaux sécurisés pour remise et usage
- Révocation rapide en cas de perte
- Durée de session strictement limitée
- Journalisation des événements d’accès
Le bon équilibre entre sécurité et usage
Un dispositif trop dur à utiliser pousse vite les équipes à le contourner. C’est un point souvent sous-estimé, alors qu’il détermine l’adhésion réelle des utilisateurs.
Selon l’ANSSI, l’expérience utilisateur doit être évaluée avec le niveau de sensibilité des services. Une messagerie critique, un accès administrateur ou un environnement industriel n’acceptent pas les mêmes compromis.
« Le projet a mieux fonctionné quand nous avons simplifié l’enregistrement et préparé des solutions de secours. »
Julien R., administrateur système
Le dernier enjeu consiste alors à protéger le mot de passe lui-même, car la MFA n’efface pas la nécessité d’une bonne politique de conservation et de renouvellement.
Politiques de mots de passe et gestion des identités au quotidien
Une fois les facteurs bien choisis, le mot de passe reste souvent le premier rempart à renforcer. Dans une organisation, la gestion des identités dépend autant des règles de création que du stockage et du recouvrement.
Selon l’ANSSI, allonger un mot de passe vaut souvent mieux que le compliquer artificiellement. Cette approche réduit les comportements prévisibles, tout en facilitant une protection des comptes plus durable.
Règles utiles pour les mots de passe :
- Longueur minimale adaptée au niveau de risque
- Absence de données personnelles dans la composition
- Unicité par service et par usage
- Stockage haché avec sel long et aléatoire
- Renouvellement immédiat après compromission suspectée
Stockage sécurisé et recouvrement d’accès
Le stockage en clair reste inacceptable, car il transforme une fuite technique en incident direct. Les fonctions de dérivation robustes, comme Argon2 ou scrypt, réduisent la rentabilité des attaques hors ligne.
Selon l’ANSSI, le recouvrement doit éviter toute communication du mot de passe originel. Un lien temporaire, un support encadré ou un coffre-fort dédié répondent mieux aux besoins réels de sécurité internet.
Sensibilisation et discipline d’usage
La technique seule ne suffit pas, car beaucoup d’incidents naissent d’un geste banal. Un mot de passe noté sur un papier, un code transmis par courriel ou une clé partagée en urgence ouvrent des brèches évitables.
Selon l’ANSSI, la sensibilisation des utilisateurs fait partie intégrante de la défense. Elle soutient la prévention des intrusions, diminue l’exposition au phishing et renforce la sécurité des données sans alourdir inutilement les usages.
« Après la formation, les équipes ont cessé d’envoyer leurs secrets par messagerie, et les demandes de support sont devenues plus saines. »
Camille B., référente sécurité
Dans une organisation mature, cette discipline nourrit directement la résilience, car chaque bon réflexe réduit un peu plus l’espace offert aux attaquants.
Source : ANSSI, « Recommandations relatives à l’authentification multifacteur et aux mots de passe », ANSSI-PG-078, 2021 ; CNIL, « Recommandation relative à l’authentification multifacteur », CNIL, 2021 ; Microsoft, « Authentification multifacteur : ce que recommande la CNIL », Microsoft Security, 2021.
Le blocage du vol de mot de passe ne repose plus sur une simple discipline de mots de passe, mais sur une architecture de défense plus large. Dans une logique de sécurité internet, l’authentification multifacteur réduit l’efficacité des identifiants compromis, tout en renforçant la protection des comptes et la gestion des identités.
Selon l’ANSSI, la valeur d’un dispositif d’authentification dépend d’abord du contexte, du risque et des usages réellement exposés. C’est pourquoi la stratégie de sécurité la plus solide combine contrôle d’accès, supervision, sensibilisation et mesures de cybersécurité adaptées aux menaces qui visent les données sensibles.
A retenir :
- Réduction des accès frauduleux après compromission
- Facteurs distincts, risques mieux contenus
- SMS à éviter, canaux robustes à privilégier
- Mots de passe longs, uniques, protégés
- Journalisation utile pour détecter les anomalies
Authentification multifacteur et blocage du vol de mot de passe
Quand un mot de passe fuit, la question n’est pas seulement technique, elle devient opérationnelle. Une entreprise comme celle de Lina, responsable informatique d’une PME, découvre souvent le problème au moment où une connexion inhabituelle apparaît.
Selon l’ANSSI, l’authentification repose sur un prouveur et un vérifieur, avec des attaques possibles en ligne ou hors ligne. L’authentification multifacteur ajoute une barrière concrète, ce qui limite la portée d’un secret volé et améliore la sécurité des données.
Comparaison des facteurs d’authentification :
Facteur
Exemple
Atout principal
Point de vigilance
Connaissance
Mot de passe
Simple à déployer
Vol et réutilisation fréquents
Possession
Token ou téléphone
Couche supplémentaire utile
Perte ou interception possibles
Inhérent
Biométrie
Confort d’usage
Révocation délicate
Mixte
Mot de passe et clé FIDO
Renforcement net du contrôle d’accès
Dépend du déploiement correct
Les attaques les plus courantes contre les mots de passe
Cette fragilité s’explique d’abord par la manière dont les attaquants travaillent aujourd’hui. Ils exploitent l’hameçonnage, le bourrage d’identifiants, les fuites de bases et les mots de passe réutilisés.
Selon Microsoft, les attaques liées aux identifiants restent massives, car un seul secret ouvre parfois plusieurs services. La même faiblesse alimente la prévention des intrusions : si le mot de passe tombe, le second facteur peut encore arrêter l’attaque.
« Nous pensions avoir un mot de passe solide, puis la connexion bloquée a révélé l’attaque. Le second facteur a évité l’incident majeur. »
Marc D.
Pourquoi la MFA change la logique de défense
La différence est simple à comprendre, mais décisive en pratique. Un pirate qui a récupéré un mot de passe doit encore franchir une vérification indépendante, ce qui augmente son coût et réduit sa vitesse d’action.
Selon l’ANSSI, cette logique n’a de sens que si les facteurs appartiennent à des catégories différentes. Un code PIN et un mot de passe ne suffisent pas, car la sécurité dépend alors d’une seule famille de secret.
« Après le déploiement de la MFA, nos alertes ont chuté sur les comptes sensibles, et les demandes d’assistance sont devenues plus ciblées. »
Sophie L., responsable SSI, média interne
Le passage vers la gestion concrète des facteurs demande toutefois des règles claires, car la robustesse d’ensemble dépend aussi de l’enregistrement et du renouvellement.
Choisir des facteurs fiables pour la sécurité des comptes
Après le constat sur les attaques, le vrai sujet devient le choix des moyens d’authentification. Un facteur mal choisi peut rassurer à tort, alors qu’un mécanisme solide protège vraiment les comptes critiques.
Selon l’ANSSI, les moyens forts reposent sur des mécanismes cryptographiques et sur une mise en œuvre cohérente. Cette exigence sert la stratégie de sécurité autant que la conformité, car elle limite les contournements trop faciles.
Comparatif des moyens courants :
Moyen
Usage courant
Avantage
Limite
SMS
Code ponctuel
Facile à comprendre
Vulnérable au SIM swapping
Application OTP
Code temporisé
Meilleure maîtrise du canal
Dépend du téléphone
Clé FIDO2
Connexion forte
Très bon niveau de protection
Gestion du parc nécessaire
Biométrie
Déverrouillage pratique
Très fluide pour l’utilisateur
Révocation complexe
Pourquoi le SMS ne suffit pas
Le SMS reste séduisant parce qu’il est familier, mais cette familiarité masque des failles sérieuses. Les détournements de cartes SIM, l’interception de messages et la réutilisation de numéros fragilisent le contrôle d’accès.
Selon l’ANSSI, il faut donc éviter d’en faire un facteur d’authentification principal. Pour la cybersécurité, le gain réel vient plutôt des clés matérielles, des applications dédiées et des protocoles robustes.
« J’ai remplacé le SMS par une clé de sécurité, puis les tentatives frauduleuses ont cessé d’être exploitables. »
Claire T.
Ce choix technique n’a de valeur durable que si les équipes savent aussi gérer les inscriptions, les pertes et les révocations sans créer de rupture d’usage.
À retenir sur les facteurs robustes :
- Catégories distinctes pour chaque preuve
- Canaux sécurisés pour remise et usage
- Révocation rapide en cas de perte
- Durée de session strictement limitée
- Journalisation des événements d’accès
Le bon équilibre entre sécurité et usage
Un dispositif trop dur à utiliser pousse vite les équipes à le contourner. C’est un point souvent sous-estimé, alors qu’il détermine l’adhésion réelle des utilisateurs.
Selon l’ANSSI, l’expérience utilisateur doit être évaluée avec le niveau de sensibilité des services. Une messagerie critique, un accès administrateur ou un environnement industriel n’acceptent pas les mêmes compromis.
« Le projet a mieux fonctionné quand nous avons simplifié l’enregistrement et préparé des solutions de secours. »
Julien R., administrateur système
Le dernier enjeu consiste alors à protéger le mot de passe lui-même, car la MFA n’efface pas la nécessité d’une bonne politique de conservation et de renouvellement.
Politiques de mots de passe et gestion des identités au quotidien
Une fois les facteurs bien choisis, le mot de passe reste souvent le premier rempart à renforcer. Dans une organisation, la gestion des identités dépend autant des règles de création que du stockage et du recouvrement.
Selon l’ANSSI, allonger un mot de passe vaut souvent mieux que le compliquer artificiellement. Cette approche réduit les comportements prévisibles, tout en facilitant une protection des comptes plus durable.
Règles utiles pour les mots de passe :
- Longueur minimale adaptée au niveau de risque
- Absence de données personnelles dans la composition
- Unicité par service et par usage
- Stockage haché avec sel long et aléatoire
- Renouvellement immédiat après compromission suspectée
Stockage sécurisé et recouvrement d’accès
Le stockage en clair reste inacceptable, car il transforme une fuite technique en incident direct. Les fonctions de dérivation robustes, comme Argon2 ou scrypt, réduisent la rentabilité des attaques hors ligne.
Selon l’ANSSI, le recouvrement doit éviter toute communication du mot de passe originel. Un lien temporaire, un support encadré ou un coffre-fort dédié répondent mieux aux besoins réels de sécurité internet.
Sensibilisation et discipline d’usage
La technique seule ne suffit pas, car beaucoup d’incidents naissent d’un geste banal. Un mot de passe noté sur un papier, un code transmis par courriel ou une clé partagée en urgence ouvrent des brèches évitables.
Selon l’ANSSI, la sensibilisation des utilisateurs fait partie intégrante de la défense. Elle soutient la prévention des intrusions, diminue l’exposition au phishing et renforce la sécurité des données sans alourdir inutilement les usages.
« Après la formation, les équipes ont cessé d’envoyer leurs secrets par messagerie, et les demandes de support sont devenues plus saines. »
Camille B., référente sécurité
Dans une organisation mature, cette discipline nourrit directement la résilience, car chaque bon réflexe réduit un peu plus l’espace offert aux attaquants.
Source : ANSSI, « Recommandations relatives à l’authentification multifacteur et aux mots de passe », ANSSI-PG-078, 2021 ; CNIL, « Recommandation relative à l’authentification multifacteur », CNIL, 2021 ; Microsoft, « Authentification multifacteur : ce que recommande la CNIL », Microsoft Security, 2021.
