La double authentification partout

1. Pourquoi un mot de passe ne suffit plus

Reprenons le Cabinet Verne, à Issoire. Sophie a fait le travail de la leçon précédente : des mots de passe longs, uniques, dans un gestionnaire. Excellent. Mais imaginons qu’un seul de ces mots de passe finisse malgré tout dans la nature — par une fuite chez un prestataire, un e-mail d’hameçonnage particulièrement réussi, ou un logiciel espion sur un ordinateur personnel. Avec un simple mot de passe, l’intrus se connecte, et c’est fini. La double authentification existe précisément pour ce scénario : elle ajoute une seconde serrure, d’une nature différente, de sorte que voler le mot de passe ne suffit plus à entrer.

L’idée est ancienne et vous la pratiquez déjà : votre carte bancaire (ce que vous possédez) ne fonctionne qu’avec votre code (ce que vous savez). Perdre l’un sans l’autre ne donne rien. La double authentification — on parle aussi d’authentification à deux facteurs (2FA) ou, plus largement, d’authentification multifacteur (MFA) — applique ce principe à vos comptes numériques.

Le schéma ci-dessous illustre l’écart de protection entre un compte à simple mot de passe et un compte protégé par une seconde serrure.

2. Les trois facteurs : ce que je sais, ce que je possède, ce que je suis

Pour prouver son identité, on peut apporter trois types de preuves, appelées facteurs. La double authentification consiste à en combiner deux de nature différente — c’est ce mélange qui fait sa force. Additionner deux preuves du même type (deux mots de passe, par exemple) n’apporterait presque rien.

2.1 Ce que je sais

C’est le facteur historique : un mot de passe, un code PIN, une réponse secrète. Son défaut, on l’a vu dans la leçon précédente, est qu’il peut être deviné, hameçonné, ou volé dans une fuite — sans que vous vous en rendiez compte, parfois à l’autre bout du monde.

2.2 Ce que je possède

C’est un objet physique en votre possession : votre smartphone (qui reçoit ou génère un code), ou une petite clé de sécurité que l’on branche ou approche. Pour l’utiliser, l’attaquant devrait vous le voler physiquement — un obstacle bien plus difficile à franchir à distance.

2.3 Ce que je suis

C’est la biométrie : empreinte digitale, reconnaissance du visage. Elle sert surtout à déverrouiller localement l’appareil ou l’application d’authentification, de façon confortable. Elle complète les deux autres facteurs plutôt qu’elle ne les remplace.

3. À la connexion : le déroulé et les méthodes

3.1 Ce qui se passe quand la 2FA est active

Concrètement, rien de compliqué. Vous saisissez votre identifiant et votre mot de passe comme d’habitude ; le service demande ensuite une seconde preuve — un code à six chiffres, une validation sur le téléphone, ou l’effleurement d’une clé. La connexion n’aboutit que si les deux étapes sont franchies. Le schéma ci-dessous montre ce parcours.

3.2 Les quatre grandes méthodes

Toutes les 2FA ne se valent pas. Le tableau ci-dessous les classe de la plus fragile à la plus robuste. La règle générale : préférez une application d’authentification ou une clé physique au SMS chaque fois que le service le permet.

Méthode	Principe	Solidité	Pour qui
Code par SMS	Un code reçu par texto	Correcte, mais faible	Mieux que rien, à défaut d’autre chose
Application d’authentification	Code à 6 chiffres généré localement	Bonne	Recommandé par défaut pour tous
Notification (push)	Un « Oui, c’est moi » à valider	Bonne (si vigilant)	Confortable au quotidien
Clé de sécurité physique	Objet FIDO2 branché ou approché	Excellente (anti-hameçonnage)	Comptes très sensibles, dirigeants

4. L’application d’authentification, la méthode par défaut

C’est le meilleur compromis pour la plupart des usages d’un cabinet : gratuite, simple, elle fonctionne même sans réseau et ne dépend pas de votre opérateur téléphonique. Une application d’authentification génère, sur votre téléphone, un code à six chiffres qui change toutes les 30 secondes. Ce code n’est envoyé nulle part : il est calculé localement à partir d’un secret partagé une seule fois avec le service, au moment de l’activation. Rien à intercepter sur le réseau.

4.1 Activer la 2FA par application, pas à pas

1. Installez une application d’authentification sur votre téléphone depuis la boutique officielle (plusieurs sont gratuites et reconnues).
2. Sur le service à protéger (messagerie, banque…), ouvrez les réglages de sécurité et cherchez « Authentification à deux facteurs » ou « Validation en deux étapes ».
3. Choisissez « Application d’authentification ». Le service affiche alors un QR code.
4. Scannez ce QR code avec l’application : le compte y apparaît et commence à générer des codes.
5. Confirmez en saisissant le code affiché. Le service valide et active la 2FA.
6. Notez et rangez les codes de secours proposés à cette étape (section 6) : ils sont indispensables si vous perdez le téléphone.

5. Les clés de sécurité physiques : le rempart anti-hameçonnage

Pour les comptes les plus critiques — la messagerie du dirigeant, l’accès administrateur, le gestionnaire de mots de passe — il existe une protection encore supérieure : la clé de sécurité physique. C’est un petit objet, de la taille d’une clé USB, que l’on branche ou que l’on approche du téléphone. On l’effleure pour valider la connexion. Ces clés reposent sur le standard ouvert FIDO2 / WebAuthn.

Leur grand atout : elles sont résistantes à l’hameçonnage. Contrairement à un code que vous pourriez saisir, de bonne foi, sur une fausse page, la clé vérifie cryptographiquement l’adresse réelle du site avant de répondre. Sur un site imité, elle refuse tout simplement de fonctionner. Le schéma ci-dessous illustre ce contrôle.

5.1 Bien utiliser une clé de sécurité

• Achetez-en toujours deux : une principale, une de secours rangée en lieu sûr. Si vous perdez l’unique clé sans solution de repli, vous risquez d’être bloqué.
• Enregistrez les deux sur chaque compte important, le même jour.
• Gardez aussi des codes de secours (section suivante) comme ultime filet.
• Réservez-les aux comptes critiques : c’est là que l’investissement de quelques dizaines d’euros se justifie pleinement.

6. Les codes de secours : le filet indispensable

Quelle que soit la méthode choisie, tous les services sérieux fournissent, au moment de l’activation, une liste de codes de secours (ou codes de récupération). Ce sont des codes à usage unique qui permettent de vous connecter si vous perdez votre second facteur — téléphone cassé, volé, réinitialisé. Ils sont votre roue de secours : sans eux, un téléphone perdu peut vous verrouiller définitivement hors de votre propre compte.

7. Où activer la 2FA en priorité

On n’active pas tout en un jour. Il faut un ordre, dicté par une logique simple : commencez par la messagerie. Pourquoi ? Parce que votre boîte e-mail est la clé de voûte de tous vos autres comptes : c’est par elle que passent les liens de réinitialisation de mot de passe. Qui contrôle votre messagerie peut, de proche en proche, reprendre la main sur presque tout le reste. La protéger en premier, c’est protéger la serrure maîtresse.

Vient ensuite tout ce qui touche à l’argent et aux données clients : banque, logiciel de paie, portail des impôts, échanges de données (EDI), puis le gestionnaire de mots de passe lui-même, et enfin les réseaux sociaux et les comptes secondaires. Le tableau ci-dessous propose un plan de déploiement pour un cabinet.

Priorité	Compte	Méthode conseillée	Pourquoi
1	Messagerie professionnelle	Application, idéalement clé physique	Clé de voûte : réinitialise tous les autres comptes
2	Banque en ligne	Application de la banque / validation	Accès direct à l’argent du cabinet
3	Paie, impôts, EDI	Application d’authentification	Données clients très sensibles, obligations RGPD
4	Gestionnaire de mots de passe	Application ou clé physique	Il contient tout le reste
5	Réseaux sociaux, comptes secondaires	Application (ou SMS à défaut)	Image du cabinet, usurpation d’identité

8. Idées reçues sur la double authentification

La 2FA souffre de plusieurs malentendus qui freinent son adoption dans les petites structures. Passons-les en revue, car la plupart des réticences tombent une fois les faits rétablis.

Idée reçue	Réalité
« C’est réservé aux grandes entreprises »	Les TPE sont les plus visées, car les moins protégées. La 2FA est gratuite sur la plupart des services grand public et métier.
« C’est trop compliqué pour mon équipe »	Une activation guidée prend cinq minutes par compte. Au quotidien, c’est un effleurement ou un code de six chiffres.
« Mon mot de passe est solide, cela suffit »	Même parfait, un mot de passe peut fuir chez un tiers ou être hameçonné. La 2FA couvre justement ce cas.
« La 2FA va m’enfermer dehors »	Les codes de secours et une clé de repli garantissent un chemin de retour. Le blocage ne survient que sans préparation.
« Le SMS, c’est parfait »	Le SMS est mieux que rien, mais le plus fragile. Application ou clé physique dès que possible.
« Avec la 2FA je ne risque plus rien »	Elle neutralise l’essentiel des prises de contrôle, mais complète — sans remplacer — mots de passe uniques, sauvegardes et vigilance.
« Ça coûte cher »	L’application est gratuite. Seules les clés physiques ont un coût, modeste, réservé aux comptes les plus sensibles.

8.1 Le bon état d’esprit : la défense en profondeur

La double authentification n’est pas une baguette magique, mais une couche parmi d’autres. Les spécialistes parlent de défense en profondeur : on empile plusieurs protections indépendantes, de sorte que la défaillance de l’une soit rattrapée par les suivantes. Un mot de passe unique et long, puis une 2FA, puis des sauvegardes, puis des mises à jour régulières : chaque couche réduit le risque, et c’est leur cumul qui rend un cabinet réellement résilient. Aucune couche n’est parfaite seule ; ensemble, elles forment un obstacle que très peu d’attaques automatisées franchissent.

9. La 2FA au service de la conformité RGPD

Pour un cabinet comptable, la double authentification n’est pas qu’une bonne pratique : elle contribue directement à répondre aux obligations du RGPD. Le règlement impose au responsable de traitement des « mesures techniques et organisationnelles appropriées » pour protéger les données personnelles. La 2FA sur les comptes qui donnent accès aux données clients est l’une des plus visibles et des plus attendues de ces mesures — au même titre que le chiffrement des sauvegardes ou la gestion des accès.

9.1 Une preuve de diligence

En cas de contrôle de la CNIL ou, pire, d’incident à notifier, pouvoir démontrer que les accès sensibles étaient protégés par une seconde serrure change tout. Cela témoigne d’une démarche sérieuse et proportionnée. À l’inverse, un compte de messagerie contenant des liasses fiscales, protégé par un simple mot de passe réutilisé, serait difficile à défendre. La 2FA fait partie des éléments qui distinguent la négligence de la diligence raisonnable.

9.2 Une petite politique interne, écrite et simple

Formalisez en une page une règle d’équipe claire. Elle n’a pas besoin d’être technique ; elle doit être suivie. Voici une trame minimale :

• Comptes concernés obligatoirement : messagerie professionnelle, banque, paie, portail des impôts, EDI, gestionnaire de mots de passe.
• Méthode par défaut : application d’authentification ; clé physique pour les accès du dirigeant et les comptes administrateurs.
• Codes de secours : générés à l’activation, rangés dans le coffre partagé et au coffre physique ; jamais sur le téléphone porteur de la 2FA.
• Arrivée d’un collaborateur : activation de la 2FA le premier jour, dans le cadre de la remise des accès.
• Départ d’un collaborateur : révocation de ses appareils de confiance et de ses accès (voir la leçon sur les mots de passe).
• Tableau de suivi : pour chaque compte, méthode active et emplacement des codes de secours, tenu à jour.

9.3 Sensibiliser sans dramatiser

La meilleure sécurité est celle que l’équipe comprend et adopte. Prenez dix minutes en réunion pour expliquer pourquoi : montrez la Fig. 1 (l’écart de protection), racontez un cas concret, et faites activer la 2FA de la messagerie ensemble. Une équipe convaincue applique naturellement les bons réflexes, alors qu’une consigne imposée sans explication est vite contournée (validations acceptées machinalement, codes de secours perdus). La pédagogie est, ici aussi, la meilleure des protections.

🧭 Erreurs fréquentes et dépannage

Symptôme	Cause probable	Solution
Le code SMS n’arrive pas	Réseau ou opérateur défaillant	Basculer vers une application d’authentification, indépendante du réseau
Nouveau téléphone, plus de codes	Application non sauvegardée	Se connecter avec un code de secours, puis ré-enrôler le nouvel appareil
Le code de l’application est toujours refusé	Horloge du téléphone décalée	Activer la mise à l’heure automatique du téléphone
Téléphone ET codes de secours perdus	Aucun filet conservé	Lancer la procédure de récupération du service (vérification d’identité, délai)
On me redemande le 2e facteur à chaque fois	Appareil non marqué « de confiance »	Cocher « se souvenir de cet appareil » uniquement sur un poste personnel sûr
Demandes de validation non sollicitées	Quelqu’un connaît votre mot de passe	REFUSER la demande, changer le mot de passe aussitôt, vérifier les accès
La clé physique n’est pas reconnue	Port, câble ou navigateur ancien	Essayer un autre port, mettre à jour le navigateur, utiliser la clé de secours

📋 Cas pratique 1 — Sophie verrouille la messagerie et la banque

Situation. Après un e-mail d’hameçonnage reçu par une consœur, Sophie décide d’activer la 2FA sur les deux comptes les plus critiques du Cabinet Verne : la messagerie professionnelle et la banque en ligne. Elle veut le faire proprement, sans risquer de se bloquer, et de façon reproductible pour ses collaborateurs.

Résolution guidée.

1. Messagerie d’abord. Sophie installe une application d’authentification, ouvre les réglages de sécurité de la messagerie, choisit « Application », scanne le QR code et confirme avec le code à six chiffres.
2. Codes de secours. Elle enregistre aussitôt les codes de secours dans le coffre partagé « Compta » du gestionnaire, et en imprime un exemplaire rangé au coffre physique.
3. Banque ensuite. Elle active la validation proposée par la banque (application dédiée), en s’assurant que le numéro et l’appareil enregistrés sont les bons.
4. Test immédiat. Elle se déconnecte et se reconnecte aux deux comptes pour vérifier que tout fonctionne, pendant qu’elle a encore tout sous la main.
5. Documentation. Elle consigne dans son tableau interne : compte, méthode, emplacement des codes de secours.

📋 Cas pratique 2 — Un téléphone perdu, sans panique

Situation. Un collaborateur du Cabinet Verne perd son téléphone lors d’un déplacement. Or ce téléphone portait l’application d’authentification de plusieurs comptes professionnels. Comment reprendre la main sans rester bloqué, et sans laisser une porte ouverte ?

Résolution guidée.

1. Garder son calme. Grâce aux codes de secours conservés au coffre, l’accès n’est jamais totalement perdu. C’est tout l’intérêt de les avoir préparés.
2. Se reconnecter avec un code de secours sur chaque compte concerné, depuis un poste sûr du cabinet.
3. Ré-enrôler un nouvel appareil : installer l’application sur le téléphone de remplacement et rescanner les QR codes, ou restaurer depuis la sauvegarde chiffrée de l’application.
4. Révoquer l’ancien appareil dans les réglages de sécurité de chaque service, pour que le téléphone perdu ne serve plus jamais de second facteur.
5. Régénérer de nouveaux codes de secours (les anciens ayant pu être partiellement utilisés) et les ranger de nouveau en lieu sûr.
6. Signaler et bloquer la carte SIM auprès de l’opérateur, et verrouiller / effacer le téléphone à distance s’il était configuré pour cela.

🏋️ Exercices

Exercice 1 — Deux facteurs, vraiment ? Un service propose de valider la connexion par « mot de passe + réponse à une question secrète ». Est-ce une vraie double authentification ?

✅ Voir le corrigé

Non. Le mot de passe et la question secrète relèvent tous deux du même facteur : « ce que je sais ». On additionne deux preuves de même nature, toutes deux vulnérables au vol et à la recherche en ligne. Une vraie 2FA combine deux familles différentes, par exemple « ce que je sais » + « ce que je possède » (téléphone ou clé).

Exercice 2 — Choisir la méthode. Pour la messagerie du dirigeant, faut-il préférer le SMS ou une application d’authentification ? Et si le budget le permet ?

✅ Voir le corrigé

On préfère l’application d’authentification au SMS, car le SMS peut être détourné (logiciel espion, transfert frauduleux de numéro). Si le budget le permet, la meilleure option pour ce compte critique est une clé de sécurité physique (deux clés : une principale, une de secours), résistante à l’hameçonnage.

Exercice 3 — Une validation surgit sans raison. Le téléphone de Sophie affiche « Confirmez-vous la connexion ? » alors qu’elle n’essaie de se connecter à rien. Que signifie ce message et que doit-elle faire ?

✅ Voir le corrigé

Cela signifie que quelqu’un possède déjà son mot de passe et tente de se connecter : la 2FA vient de l’arrêter net. Sophie doit refuser la demande, puis changer immédiatement le mot de passe du compte concerné. Elle ne doit jamais valider « pour faire cesser » les notifications répétées : c’est justement le piège que cherchent les attaquants (le harcèlement de validations). La 2FA a fait son travail.

Exercice 4 — Dans quel ordre ? Sophie a une matinée pour activer la 2FA sur : réseaux sociaux du cabinet, messagerie professionnelle, portail des impôts, banque. Par quoi commence-t-elle ?

✅ Voir le corrigé

Ordre : 1) la messagerie (clé de voûte qui réinitialise tout le reste), 2) la banque (accès à l’argent), 3) le portail des impôts (données clients sensibles), 4) les réseaux sociaux (image, usurpation). On protège d’abord ce qui ouvre le plus de portes et ce qui coûte le plus cher.

Exercice 5 — Où ranger les codes de secours ? Proposez deux emplacements corrects et un emplacement à éviter.

✅ Voir le corrigé

Corrects : dans le gestionnaire de mots de passe (chiffré) ; sur papier rangé au coffre physique du cabinet. À éviter : dans une note en clair sur le téléphone qui porte justement la 2FA — si ce téléphone est perdu, on perd le compte et son filet de secours en même temps. L’idée est de séparer le second facteur de ses codes de secours.

Exercice 6 — Un outil métier sans 2FA. Un vieux logiciel utilisé par le cabinet ne propose aucune double authentification. Que faire ?

✅ Voir le corrigé

Plusieurs leviers : lui attribuer un mot de passe particulièrement long et unique via le gestionnaire ; restreindre son accès (postes et réseau autorisés) ; vérifier auprès de l’éditeur si une version plus récente propose la 2FA ; à terme, privilégier des outils qui la supportent. L’absence de 2FA sur un logiciel manipulant des données clients est un point à documenter et à faire évoluer.

Exercice 7 — Rassurer un client. Un client inquiet demande à Sophie comment le cabinet protège ses données fiscales contre le piratage. En une phrase simple, que peut-elle répondre au sujet de l’authentification ?

✅ Voir le corrigé

Par exemple : « Chaque accès à vos données est protégé par un mot de passe unique et par une double authentification : même si un mot de passe venait à être découvert, une seconde preuve, sur un appareil que nous seuls possédons, reste indispensable pour entrer. » C’est concret, rassurant, et vrai. On peut ajouter que les codes de secours et les sauvegardes complètent le dispositif.

Exercice 8 — La clé refuse de fonctionner. Sophie tente de se connecter à sa messagerie depuis un lien reçu par e-mail ; sa clé de sécurité, elle, refuse de valider. Que doit-elle en déduire ?

✅ Voir le corrigé

Que la page n’est très probablement pas la vraie. La clé vérifie l’adresse réelle du site : si elle refuse, c’est que le domaine ne correspond pas au compte enregistré — signature d’une fausse page d’hameçonnage. Sophie ne force rien, ferme l’onglet et se rend elle-même sur le site officiel. Le refus de la clé vient de lui éviter un vol d’identifiants : c’est exactement son rôle.

Check-list d’auto-évaluation du cabinet

Cochez mentalement chaque point. Chaque « non » est une action à planifier cette semaine.

• La messagerie professionnelle est-elle protégée par une 2FA (application ou clé) ?
• La banque en ligne et les outils métier (paie, impôts, EDI) le sont-ils aussi ?
• Le gestionnaire de mots de passe a-t-il sa propre double authentification ?
• Les codes de secours de chaque compte sont-ils conservés, séparément du téléphone ?
• Le dirigeant dispose-t-il de deux clés physiques (principale et secours) ?
• Existe-t-il un tableau de suivi des méthodes 2FA et des emplacements de codes ?
• La procédure de départ d’un collaborateur inclut-elle la révocation des appareils de confiance ?
• L’équipe sait-elle qu’une validation non sollicitée doit être refusée, puis suivie d’un changement de mot de passe ?

🚀 Aller plus loin

Où trouver le réglage ?

Le chemin est presque toujours le même d’un service à l’autre : le menu de votre compte, puis « Sécurité », puis « Authentification à deux facteurs » (ou « Validation en deux étapes »). La maquette ci-dessous montre ce parcours type.

La suite : les clés d’accès (passkeys)

La double authentification prépare le terrain d’une évolution majeure : les clés d’accès. Elles remplacent le couple « mot de passe + second facteur » par une preuve unique portée par votre appareil (empreinte, visage), résistante à l’hameçonnage par conception. Là où un service propose une clé d’accès, c’est aujourd’hui l’option la plus sûre et la plus simple. Les gestionnaires de mots de passe savent déjà les stocker et les synchroniser.

Trois passerelles

• La 2FA complète, sans le remplacer, le travail sur les mots de passe : un mot de passe unique et long reste le premier facteur.
• Elle ne dispense pas de sauvegarder : en cas d’incident majeur, voir la leçon « Sauvegardes : la règle 3-2-1 ».
• Elle neutralise l’essentiel des tentatives d’hameçonnage visant vos comptes — surtout avec une clé physique.

🔑 L’essentiel à retenir

• La double authentification ajoute une seconde serrure : voler le mot de passe ne suffit plus.
• Elle combine deux facteurs de nature différente : ce que je sais, ce que je possède, ce que je suis.
• Activée, elle bloque la quasi-totalité des attaques automatisées de prise de contrôle de compte.
• Préférez l’application d’authentification ou la clé physique au SMS, plus fragile.
• La clé de sécurité physique est le meilleur rempart anti-hameçonnage pour les comptes critiques.
• Conservez toujours vos codes de secours, rangés séparément du téléphone.
• Commencez par la messagerie (clé de voûte), puis banque, outils métier, gestionnaire, réseaux sociaux.
• Une validation non sollicitée signifie que votre mot de passe circule : refusez et changez-le.
• Prévoyez deux clés (principale + secours) et un plan de récupération avant d’en avoir besoin.
• ANSSI et cybermalveillance.gouv.fr recommandent la 2FA comme mesure prioritaire.

📖 Glossaire

Terme	Définition
2FA	Authentification à deux facteurs : deux preuves d’identité de nature différente.
MFA	Authentification multifacteur : deux facteurs ou plus (terme générique).
Facteur	Type de preuve : ce que je sais, ce que je possède, ce que je suis.
Code temporaire (TOTP)	Code à 6 chiffres généré localement, valable ~30 secondes.
Application d’authentification	Appli qui génère les codes temporaires, sans réseau ni opérateur.
Code par SMS	Second facteur reçu par texto ; pratique mais le plus fragile.
Clé de sécurité	Objet physique FIDO2 que l’on branche ou approche pour valider.
FIDO2 / WebAuthn	Standards ouverts qui rendent la clé résistante à l’hameçonnage.
Code de secours	Code à usage unique pour se connecter en cas de perte du second facteur.
Notification (push)	Validation « Oui, c’est moi » envoyée à une application de confiance.
Biométrie	Empreinte ou visage ; facteur « ce que je suis ».
Appareil de confiance	Poste sûr sur lequel on peut mémoriser la validation quelque temps.
Échange de SIM	Fraude consistant à détourner votre numéro pour capter les codes SMS.
Clé d’accès (passkey)	Preuve portée par l’appareil, sans mot de passe, résistante à l’hameçonnage.

❓ Questions fréquentes

La 2FA va-t-elle me ralentir à chaque connexion ?

Non, dans la pratique. Sur vos appareils habituels, vous pouvez cocher « se souvenir de cet appareil » : la seconde preuve n’est alors demandée que ponctuellement, ou lors d’une connexion inhabituelle. Le surcoût quotidien est de quelques secondes, pour un gain de sécurité considérable.

Et si je perds mon téléphone ?

Vous vous reconnectez avec un code de secours, ré-enrôlez un nouvel appareil et révoquez l’ancien (cas pratique 2). D’où l’importance de conserver ces codes, et idéalement une clé de secours, dès l’activation.

Le SMS est-il vraiment à proscrire ?

Non : un SMS vaut infiniment mieux que pas de 2FA du tout. Mais il est le maillon faible (détournement de numéro, logiciel espion). Dès qu’une application ou une clé est proposée, préférez-la, surtout sur les comptes sensibles.

Puis-je gérer plusieurs comptes dans une seule application ?

Oui. Une application d’authentification héberge autant de comptes que vous voulez, chacun avec son propre code. Choisissez-en une qui propose une sauvegarde chiffrée, pour restaurer facilement en cas de changement de téléphone.

Dois-je l’imposer à mes collaborateurs ?

Sur les comptes professionnels manipulant des données clients, c’est fortement recommandé, voire attendu dans une logique RGPD. Accompagnez plutôt que d’imposer : une session commune d’activation lève la plupart des réticences.

Une clé physique, est-ce compliqué ?

Non : on l’enregistre une fois, puis on l’effleure pour valider. La seule discipline est d’en avoir deux (principale et secours) et de les enregistrer ensemble sur chaque compte important.

La 2FA me protège-t-elle de tout ?

Elle élimine l’essentiel des prises de contrôle de compte, mais ne remplace ni les mots de passe uniques, ni les sauvegardes, ni la vigilance face aux messages frauduleux. C’est une couche essentielle d’une défense en profondeur, pas une protection unique.

Combien cela coûte-t-il pour un cabinet de quatre personnes ?

L’essentiel est gratuit : les applications d’authentification et la 2FA des services (messagerie, banque, impôts) ne coûtent rien. Le seul budget optionnel concerne les clés de sécurité physiques, réservées aux comptes les plus sensibles : comptez l’équivalent de deux clés par personne exposée, un investissement ponctuel et modeste au regard d’un rançongiciel ou d’une usurpation. Rapporté au risque, le rapport coût-bénéfice est parmi les meilleurs de toute la cybersécurité.

Par où commencer concrètement demain matin ?

Trois gestes, dans l’ordre : (1) installez une application d’authentification sur votre téléphone ; (2) activez la 2FA sur votre messagerie professionnelle et conservez les codes de secours ; (3) faites de même sur la banque en ligne. Ces trois actions, réalisables en une demi-heure, couvrent déjà la plus grande partie du risque. Le reste — outils métier, gestionnaire, réseaux sociaux — suivra dans la semaine, au rythme du plan de déploiement (Tab. 2). L’important est de commencer, aujourd’hui, par la messagerie.