La double authentification protège vos comptes, mais le code par SMS a des faiblesses. Pourquoi préférer une application ou une clé, et comment basculer.
La double authentification, ou authentification multifacteur, consiste à demander une seconde preuve d'identité en plus du mot de passe : un code à usage unique, une notification à valider sur son téléphone ou une clé de sécurité. Son intérêt est simple à comprendre : un mot de passe volé ou deviné ne suffit plus à entrer dans le compte. Pour une PME, l'activer sur la messagerie, les outils en ligne et les accès à distance est l'une des mesures de sécurité les plus efficaces et les moins coûteuses.
Encore faut-il choisir la bonne méthode. Beaucoup de services proposent par défaut un code envoyé par SMS, parce que c'est la solution la plus facile à mettre en place. Elle vaut bien mieux que rien, mais elle a des faiblesses connues : le SMS dépend du réseau mobile, il peut être intercepté ou détourné, et il ne protège pas contre les fausses pages de connexion qui demandent le code à l'utilisateur.
La bonne nouvelle, c'est que les alternatives sont gratuites ou peu coûteuses et simples à utiliser au quotidien. Voici pourquoi le SMS est le maillon faible, puis comment basculer vos comptes vers une méthode plus solide sans perturber vos équipes.
Avant de commencer, faites la liste des comptes qui comptent vraiment : messagerie, outils de gestion et de comptabilité, banque en ligne, hébergement du site, réseaux sociaux de l'entreprise, accès à distance. Pour chacun, notez la méthode de double authentification utilisée aujourd'hui et la personne qui en est responsable. Cette simple liste montre souvent que les comptes les plus sensibles sont aussi ceux qui reposent encore sur un code par SMS, voire sur un mot de passe seul.
Pourquoi le SMS est le maillon faible
Premier point faible : la disponibilité. Le code par SMS suppose que le téléphone capte le réseau mobile au moment de la connexion. En cas de panne de l'opérateur, en zone mal couverte ou à l'étranger, le collaborateur ne reçoit pas son code et reste bloqué à la porte de ses outils. Une application d'authentification, elle, génère ses codes sur le téléphone sans avoir besoin du réseau.
Deuxième point faible : le détournement de la ligne. Un fraudeur qui parvient à faire transférer le numéro de la victime sur une nouvelle carte SIM, en se faisant passer pour elle auprès de l'opérateur, reçoit ses codes à sa place. Cette attaque vise surtout les personnes exposées, comme les dirigeants ou les responsables financiers, précisément les comptes les plus sensibles d'une entreprise. Le jour où cela arrive, la victime perd soudain tout réseau sur son téléphone, sans comprendre pourquoi.
Troisième point faible : l'hameçonnage. Une fausse page de connexion peut demander à l'utilisateur son mot de passe, puis le code reçu par SMS, et les transmettre aussitôt au véritable service. Le code par application est exposé au même piège ; seules les clés de sécurité et les méthodes dites résistantes à l'hameçonnage, liées au vrai site, le déjouent. C'est pourquoi la sensibilisation des équipes reste indispensable, quelle que soit la méthode choisie. Retenez une règle simple : un code ne se donne jamais à une personne qui le demande, que ce soit par téléphone, par e-mail ou par messagerie, même si elle se présente comme le support informatique.
Basculer vers une méthode plus solide
Pour la plupart des comptes, une application d'authentification installée sur le téléphone professionnel suffit : elle affiche un code qui change toutes les trente secondes, ou une notification à approuver. Pour les comptes les plus sensibles, comptes administrateurs, direction, accès bancaires, une clé de sécurité physique ou une méthode résistante à l'hameçonnage apporte le niveau de protection le plus élevé.
Procédez par étapes : commencez par les comptes administrateurs et la messagerie, puis étendez à tous les collaborateurs. Pour chaque compte, enregistrez au moins deux méthodes (par exemple l'application et une clé, ou l'application et des codes de secours imprimés et rangés en lieu sûr), afin qu'un téléphone perdu ne bloque personne. Une fois la bascule faite, retirez le SMS des méthodes autorisées lorsque le service le permet. Pensez aussi aux comptes partagés : ils doivent avoir un responsable désigné et une méthode de secours connue de deux personnes.
Accompagnez le changement d'une courte démonstration : cinq minutes suffisent pour installer l'application et comprendre les bons réflexes, comme ne jamais valider une notification que l'on n'a pas soi-même demandée. Prévoyez aussi la procédure en cas de perte ou de changement de téléphone : qui réinitialise la méthode, avec quelle vérification d'identité, et dans quel délai. Sans cette règle, le support finit par contourner la sécurité pour dépanner un collaborateur pressé.
TICLIC aide les PME à déployer la double authentification sur la messagerie et les outils métiers, à sécuriser les comptes administrateurs et à former les équipes. Découvrez nos services de cybersécurité et faites le point sur la protection de vos comptes.