Quels comptes traiter en premier ?
Commencez par les comptes dont la perte aurait le plus d’effet : messagerie professionnelle, administration, accès distants, gestion du domaine et sauvegardes. La CNIL recommande notamment le MFA pour la messagerie professionnelle, l’administration et les accès externes au système de l’employeur, dans une approche adaptée au risque.
Activation, inscription et obligation : trois états différents
| État | Ce qu’il signifie |
|---|---|
| Fonction disponible | Le fournisseur propose du MFA ; cela ne prouve pas son utilisation. |
| Utilisateur inscrit | Une méthode est enregistrée ; des accès peuvent encore être exemptés. |
| Politique appliquée | Les connexions concernées exigent réellement les facteurs prévus. |
Demandez la liste des comptes couverts, les exceptions, les méthodes autorisées et une preuve de fonctionnement sur les accès critiques. Vérifiez aussi les comptes techniques et les anciens protocoles compatibles avec votre environnement.
Choisir une méthode et préparer le déploiement
Les méthodes ne présentent pas toutes la même résistance au phishing. Des mécanismes fondés sur FIDO2/WebAuthn peuvent apporter une résistance à l’hameçonnage lorsque l’application et le déploiement le permettent. Le choix doit tenir compte du matériel, des usages et de la récupération.
- Piloter sur quelques comptes représentatifs, avec une assistance disponible.
- Expliquer les demandes attendues et le refus des notifications non initiées.
- Prévoir une méthode de secours contrôlée, testée et conservée séparément.
- Déployer par groupe, puis vérifier la couverture et les exceptions.
Le scénario à tester : téléphone perdu
Une collaboratrice perd son téléphone avant une échéance client. Qui vérifie son identité ? Qui peut remplacer sa méthode ? Comment cette opération est-elle tracée ? Une procédure trop faible annule la protection ; une procédure inexistante bloque le travail. Testez ce scénario avant une généralisation.
Si un compte paraît compromis
Prévenez le responsable IT via un canal fiable. Faites examiner les sessions, les méthodes enregistrées, les transferts de messagerie et les droits. Un simple changement de mot de passe peut laisser subsister des sessions ou des autorisations déjà accordées.
Le MFA suffit-il contre une fraude au virement ?
Non. Il doit être complété par des droits limités et une confirmation indépendante des changements de coordonnées bancaires.
Sources et vérification
- CNIL — Recommandation relative à l’authentification multifacteur (2025)
- ANSSI — La cybersécurité pour les TPE/PME en 13 questions
Sources consultées le 5 novembre 2026. Les recommandations doivent être adaptées à votre environnement.