Le mot de passe ne suffit plus
La plupart des piratages de comptes ne sont pas des exploits sophistiqués. Ce sont des mots de passe réutilisés, devinés, ou récupérés dans une fuite de données ailleurs. Dès qu’un attaquant a votre mot de passe, il entre. L’authentification à deux facteurs, souvent appelée 2FA ou double authentification, casse ce scénario : même avec le bon mot de passe, il manque un second élément que l’attaquant n’a pas.
Comment ça marche, simplement
Le principe repose sur deux preuves de nature différente : quelque chose que vous savez (le mot de passe) et quelque chose que vous avez (votre téléphone). À la connexion, après le mot de passe, le service demande un code temporaire généré par une application, ou une validation sur votre téléphone. Sans ce second facteur, l’accès est refusé. Un mot de passe volé ne vaut alors plus grand-chose.
Tous les 2FA ne se valent pas
La validation par SMS vaut mieux que rien, mais elle est la moins sûre : les codes SMS peuvent être interceptés ou détournés. Les applications d’authentification, qui génèrent un code renouvelé toutes les trente secondes, sont nettement plus solides et gratuites. Pour les comptes les plus sensibles, une clé de sécurité physique offre le meilleur niveau. Pour la plupart des usages d’une PME, une application d’authentification est le bon compromis.
Par où commencer
Inutile de tout sécuriser d’un coup. Commencez par les comptes qui, s’ils tombaient, feraient le plus de dégâts : la messagerie professionnelle, l’hébergement du site, le nom de domaine, les accès bancaires et de paiement, l’administration du site. La boîte mail en particulier est une clé maîtresse : celui qui la contrôle peut réinitialiser presque tous vos autres mots de passe. Elle doit être protégée en priorité.
L’objection du confort
La résistance vient souvent de la crainte de compliquer le quotidien. En pratique, la gêne est minime : un code à saisir de temps en temps, souvent mémorisé sur les appareils de confiance. C’est un très petit effort au regard de ce qu’un compte piraté coûte en temps, en argent et en réputation. La sécurité ne tient pas qu’à la technique, elle tient aussi aux habitudes des équipes, un sujet que nous développons dans notre article sur la cybersécurité humaine et le phishing.
Une brique parmi d’autres
La double authentification ne remplace pas le reste : mots de passe uniques, mises à jour, sauvegardes, vigilance face aux emails piégés. Elle en est un maillon, particulièrement rentable. Les PME sont devenues des cibles justement parce qu’elles négligent ces bases, un constat que nous détaillons dans pourquoi les PME sont les nouvelles cibles, et que nous complétons côté site avec sécuriser un site WordPress. Si vous voulez faire le point sur vos accès et vos protections, c’est le genre d’audit que nous menons avec nos clients.
