La plupart des comptes piratés ne le sont pas par des génies de l'informatique, mais avec un mot de passe volé, deviné ou réutilisé. La double authentification (aussi appelée 2FA, validation en deux étapes ou authentification à deux facteurs) bloque l'essentiel de ces attaques : même avec votre mot de passe, le pirate ne peut pas entrer. Voici comment elle fonctionne, quelle méthode choisir et par quels comptes commencer dans votre entreprise.
Le principe : deux preuves au lieu d'une
Pour se connecter, il faut fournir deux éléments de nature différente :
- Ce que vous savez : le mot de passe.
- Ce que vous possédez : votre téléphone, une clé de sécurité.
- Parfois ce que vous êtes : empreinte digitale ou visage, qui déverrouillent l'appareil.
Un mot de passe volé lors d'une fuite de données, ou saisi sur une fausse page, ne suffit plus : il manque le deuxième élément.
Les méthodes, de la plus faible à la plus solide
| Méthode | Comment ça marche | Avis |
|---|---|---|
| Code par SMS | Un code arrive par SMS à chaque connexion | Bien mieux que rien, mais vulnérable à la duplication de carte SIM et aux fausses pages qui demandent le code |
| Application d'authentification | Une application (Google Authenticator, Microsoft Authenticator, etc.) génère un code à 6 chiffres qui change toutes les 30 secondes | Le bon choix par défaut : fonctionne sans réseau ni crédit, pas de SIM à pirater |
| Notification de validation | Le téléphone affiche « Est-ce bien vous ? » avec un bouton | Pratique ; refusez toujours une demande que vous n'avez pas déclenchée |
| Clé d'accès (passkey) ou clé de sécurité physique | La connexion est validée par l'empreinte ou le visage sur votre appareil, ou par une petite clé USB/NFC | La plus solide : elle ne fonctionne que sur le vrai site, donc les fausses pages ne peuvent rien en tirer |
Par quels comptes commencer
Commencez par les comptes qui donnent accès à tous les autres, ou à l'argent :
- La messagerie e-mail : c'est elle qui reçoit les liens de « mot de passe oublié » de tous vos autres comptes. Voir créer une adresse e-mail professionnelle.
- La banque en ligne et les comptes de paiement, y compris les espaces marchands de mobile money.
- Le nom de domaine et l'hébergement : un pirate qui les contrôle peut détourner votre site et vos e-mails.
- WhatsApp Business et les réseaux sociaux de l'entreprise : voir protéger votre compte WhatsApp Business.
- Les outils de gestion : comptabilité, CRM, ERP, fiche Google Business, administration du site web.
Mettre en place la double authentification, pas à pas
- Installez une application d'authentification sur le téléphone de la personne responsable du compte.
- Dans les paramètres de sécurité du compte, cherchez « Validation en deux étapes », « Double authentification » ou « 2FA » et choisissez l'application.
- Scannez le QR code affiché à l'écran avec l'application, puis saisissez le code généré pour confirmer.
- Enregistrez les codes de secours que le service vous donne : ils permettent de rentrer si le téléphone est perdu. Imprimez-les et rangez-les dans un endroit sûr, ou dans un gestionnaire de mots de passe.
- Si le service le propose, ajoutez une clé d'accès (passkey) en plus.
Les pièges à éviter
- Le téléphone perdu sans codes de secours : c'est la première cause de blocage. Gardez les codes de secours et, pour les comptes critiques, une deuxième méthode (une autre personne, un deuxième appareil, une clé physique).
- Le compte partagé sur le téléphone personnel d'un employé : le jour où il part, l'entreprise perd l'accès. Les comptes critiques doivent être rattachés à l'entreprise et à au moins deux responsables.
- Donner le code à quelqu'un : aucun service sérieux ne vous demandera jamais de lui transmettre un code de connexion. Celui qui le demande est un escroc.
- Valider une notification par réflexe : certains pirates envoient des dizaines de demandes en espérant un clic par lassitude. Refusez, puis changez votre mot de passe.
- Croire que la 2FA rend le mot de passe inutile : gardez des mots de passe longs et uniques pour chaque compte. Un gestionnaire de mots de passe vous aide à les retenir.
Pour votre site web et votre application
Si vos clients ou vos équipes se connectent à votre site, votre boutique ou votre application, proposez-leur aussi la double authentification, au minimum pour les comptes administrateurs. Les clés d'accès offrent une connexion à la fois plus simple et plus sûre que les mots de passe. Pour les codes envoyés par SMS, voir API SMS : envoyer codes, alertes et rappels, et pour les autres protections, sécuriser son site web.
Questions fréquentes
La double authentification rend-elle un compte impossible à pirater ?
Non, mais elle bloque la grande majorité des attaques courantes, qui reposent sur un mot de passe volé. Les clés d'accès résistent en plus aux fausses pages de connexion. Pour les autres menaces, voir les 5 menaces 2026 pour les PME.
Que faire si je change de téléphone ?
Avant de vous séparer de l'ancien, transférez l'application d'authentification (la plupart proposent un transfert ou une sauvegarde), ou désactivez puis réactivez la 2FA avec le nouveau téléphone. Gardez vos codes de secours à portée de main.
Le SMS est-il vraiment risqué ?
Il reste bien plus sûr qu'un mot de passe seul. Mais une carte SIM dupliquée ou une fausse page qui demande le code peuvent le contourner : pour les comptes critiques, préférez une application d'authentification ou une clé d'accès.
Faut-il l'imposer à toute l'équipe ?
Oui pour tous les comptes professionnels. La plupart des suites bureautiques et des outils en ligne permettent à l'administrateur de la rendre obligatoire pour tous les utilisateurs.
Être accompagné
NEWTIV sécurise les accès de votre entreprise : inventaire des comptes critiques, mise en place de la double authentification et des clés d'accès, sensibilisation des équipes, et intégration de la 2FA dans vos sites et applications. Demandez un devis, nous vous répondons sous 48 heures ouvrées.
Réagissez
Commentaires