Double authentification : 15 minutes pour protéger votre messagerie pro

De quoi parle-t-on ?

Selon les services, elle s'appelle double authentification, authentification à deux facteurs (2FA), vérification en deux étapes ou authentification forte. Le principe est toujours le même : pour vous connecter, il faut ce que vous savez (le mot de passe) et ce que vous avez (votre téléphone, une clé) ou ce que vous êtes (votre empreinte).

Vous l'utilisez déjà sans y penser : depuis la directive européenne DSP2, votre banque exige une confirmation sur votre téléphone pour accéder à vos comptes en ligne et pour la plupart des paiements sur Internet.

Pourquoi c'est si efficace

Les mots de passe fuient tous les jours : piratage d'un site, hameçonnage, logiciel espion. Si le même mot de passe sert ailleurs, l'escroc l'essaie partout. Avec la double authentification, ce mot de passe seul ne lui sert à rien : il lui manque le second facteur, qui reste dans votre poche.

C'est d'ailleurs l'une des premières mesures que recommande Cybermalveillance.gouv.fr après un piratage de compte. Autant l'activer avant.

Quelle méthode choisir ?

De la plus simple à la plus sûre :

• Code par SMS ou par e-mail. Simple et mieux que rien, mais un SMS peut être détourné (vol de ligne, hameçonnage du code).
• Application d'authentification (codes à 6 chiffres qui changent toutes les 30 secondes). Gratuite, ne dépend pas du réseau téléphonique : c'est le bon choix par défaut.
• Clé de sécurité physique ou clé d'accès (passkey) liée à votre appareil. La plus résistante à l'hameçonnage, car elle ne fonctionne que sur le vrai site.

Par quels comptes commencer

Dans l'ordre, pour une petite entreprise :

1. La messagerie professionnelle, de chaque personne. Elle permet de réinitialiser tous les autres mots de passe, et c'est d'un compte e-mail piraté que partent la plupart des fraudes au faux virement.
2. La banque et les outils de paiement.
3. La comptabilité, la paie et le stockage en ligne (vos documents et vos sauvegardes).
4. Le site Internet, le nom de domaine et les réseaux sociaux de l'entreprise : un compte détourné abîme votre image auprès des clients.
5. Les accès à distance : pour les organisations, Cybermalveillance.gouv.fr recommande de l'appliquer à tous les accès externes au réseau, télémaintenance comprise.

Les trois pièges à éviter

• Perdre l'accès. À l'activation, le service affiche des codes de secours : imprimez-les ou rangez-les dans votre gestionnaire de mots de passe. Sans eux, un téléphone perdu peut vous bloquer.
• Valider sans lire. Une demande de confirmation que vous n'avez pas déclenchée signifie que quelqu'un a votre mot de passe : refusez-la, puis changez ce mot de passe.
• L'oublier pour l'équipe. Un seul compte sans double authentification suffit. Faites-en une règle pour tous, et vérifiez-la à l'arrivée de chaque collaborateur.

Faire le point

Le bilan cyber gratuit d'Okyber vérifie où la double authentification est activée dans votre entreprise et vous indique par où commencer. Votre compte Okyber lui-même la propose, depuis « Mon profil ». Pour les autres règles d'accès, lisez aussi les règles de la CNIL sur les mots de passe.