Protéger la messagerie et le cloud
Bloquer la prise de contrôle de boîtes qui servent ensuite à frauder clients et fournisseurs.
Qu'est-ce que la MFA ? Définition, facteurs et bonnes pratiques
La MFA (Multi-Factor Authentication), ou authentification multifacteur, exige qu'un utilisateur prouve son identité avec au moins deux facteurs de natures différentes — typiquement quelque chose qu'il sait (mot de passe), quelque chose qu'il possède (téléphone, clé matérielle) ou quelque chose qu'il est (biométrie). Elle réduit fortement le risque qu'un mot de passe volé ou deviné suffise à ouvrir un compte. Les lignes directrices NIST SP 800-63B encadrent les types d'authentificateurs et les niveaux d'assurance.
En une phrase
La MFA empêche qu'un seul mot de passe compromis ouvre l'accès à vos systèmes.
À retenir
- Deux facteurs de catégories différentes valent mieux qu'un second « secret » faible.
- Les applications d'authentification et clés FIDO2/passkeys résistent mieux au phishing que les SMS.
- La MFA doit couvrir messagerie, VPN, admin cloud et comptes à privilèges — pas seulement le portail RH.
- NIST SP 800-63B définit des niveaux d'assurance (AAL) selon la sensibilité du service.
Fiche du terme
- MFA
- Authentification multifacteur · Multi-Factor Authentication · 2FA · Authentification à deux facteurs
- Terme anglais
- Multi-Factor Authentication
- Domaine
- Cybersécurité / identité
- Catégorie
- Contrôle d'accès
- Niveau
- Débutant à intermédiaire
Que signifie concrètement « authentification multifacteur » ?
Un facteur unique — presque toujours le mot de passe — reste la cause la plus fréquente de compromission de comptes professionnels. La MFA ajoute une deuxième preuve au moment de la connexion ou pour les actions sensibles. Sans elle, une fuite de credential (phishing, base revendue, credential stuffing) suffit souvent à entrer.
Tous les seconds facteurs ne se valent pas. Un code SMS peut être intercepté (SIM swap, interception). Une application TOTP ou une notification push améliore déjà la situation. Les authentificateurs cryptographiques (clés de sécurité, passkeys) offrent une résistance au phishing nettement supérieure, conforme aux attentes des niveaux d'assurance élevés décrits par le NIST.
Déployer la MFA n'est pas seulement « cocher une case IdP ». Il faut prévoir l'enrôlement des utilisateurs, les appareils perdus, les comptes de service (qui ne peuvent pas recevoir de push) et les exceptions documentées. Au Québec, protéger l'accès aux systèmes qui traitent des renseignements personnels fait partie des mesures de sécurité raisonnables attendues en pratique.
Comment met-on en place la MFA efficacement ?
- 01
Cartographier les accès critiques
Messagerie, Microsoft 365 / Google Workspace, VPN, consoles cloud, ERP, outils admin : ce sont les premières cibles — avant les applications secondaires.
- 02
Choisir des méthodes adaptées au risque
Privilégier apps d'authentification, push ou clés matérielles / passkeys ; réserver le SMS aux cas où aucune alternative n'est possible, avec conscience des limites.
- 03
Enrôler et former les utilisateurs
Campagne d'activation progressive, guides courts, procédure de récupération (appareil perdu) et tests pour les comptes privilégiés.
- 04
Surveiller et durcir
Alerter sur les échecs répétés, désactiver les contournements durables, et étendre la MFA aux nouveaux SaaS via SSO.
Exemple concret de MFA
Un cabinet comptable montréalais active la MFA sur Microsoft 365 après une vague de phishing. Un associé clique encore sur un faux lien et saisit son mot de passe — mais l'attaquant n'a pas le second facteur de l'application d'authentification. La connexion échoue ; le SI réinitialise le mot de passe et forme l'équipe. Sans MFA, les boîtes mail et les dossiers clients auraient pu être exfiltrés le même jour.
À quoi sert la MFA ?
Sécuriser l'accès distant (VPN / RDP)
Empêcher qu'un mot de passe volé ouvre le réseau interne depuis Internet.
Durcir les comptes administrateurs
Exiger un second facteur fort avant toute action à privilèges sur serveurs ou tenants cloud.
Répondre aux exigences clients et assureurs
La MFA figure souvent dans les questionnaires de cybersécurité et les conditions de couverture.
Avantages et limites de la MFA
- Réduit drastiquement les compromissions par mot de passe seul
- Relativement rapide à activer sur les suites cloud modernes
- Améliore la posture perçue par clients et assureurs
- S'aligne sur les recommandations NIST d'authentification
- Friction utilisateur si le déploiement est mal préparé
- SMS et certains canaux hors bande restent phishables
- Comptes de service et apps legacy demandent des exceptions
- Fatigue de notifications push si trop d'apps hors SSO
Quelle différence entre MFA et 2FA ?
| MFA | 2FA (authentification à deux facteurs) | |
|---|---|---|
| Nombre de facteurs | Au moins deux ; peut en exiger davantage | Exactement deux facteurs |
| Usage courant | Terme privilégié dans les normes (NIST) | Terme grand public, souvent synonyme |
| Qualité des facteurs | Insiste sur des catégories distinctes (savoir / posséder / être) | Parfois mal appliqué (deux mots de passe ≠ 2FA) |
| En pratique PME | Même projet : activer un second facteur fort partout | Souvent le libellé marketing du même contrôle |
Pourquoi la MFA compte pour une PME québécoise
La plupart des incidents coûteux chez les PME commencent par un compte messagerie ou VPN compromis. La MFA est l'un des contrôles au meilleur rapport effort/protection : elle freine ransomware, fraude au président et exfiltration de dossiers clients. C'est aussi une exigence fréquente dans les appels d'offres et les polices cyber — la reporter, c'est accepter un risque disproportionné.
Questions fréquentes
Le SMS est-il une MFA acceptable ?
C'est mieux que rien, mais moins robuste que TOTP, push ou clé matérielle. NIST et la pratique actuelle poussent à migrer hors SMS dès que possible.
La MFA remplace-t-elle un bon mot de passe ?
Non. Elle complète le mot de passe (ou un autre facteur). Un gestionnaire de mots de passe reste recommandé.
Que faire si un employé perd son téléphone ?
Prévoir des codes de secours à usage unique, une procédure de réenrôlement via le service TI, et idéalement un second authentificateur de secours.
Faut-il la MFA sur tous les outils ?
Priorisez d'abord messagerie, identité centrale (SSO), VPN et consoles admin ; étendez ensuite via SSO pour éviter la fatigue multi-apps.
Termes associés
Sources et références
Vous voulez activer la MFA sur vos accès critiques sans bloquer vos équipes ?
Parler de votre authentification