Un mot de passe seul ne suffit pas. Même un mot de passe solide peut être deviné, volé ou cassé par un pirate. Si quelqu'un connaît votre mot de passe, il peut accéder à votre compte. L'authentification à deux facteurs (2FA) est la couche de sécurité qui l'en empêche. Elle exige une seconde étape de vérification en plus du mot de passe, pour prouver que vous êtes bien la bonne personne, même si votre mot de passe est compromis.
Cet article explique comment fonctionne la 2FA, où l'utiliser sur vos formulaires, quelles méthodes sont les plus sûres et comment la mettre en place sans gêner les utilisateurs légitimes.
Ce que vous allez apprendre : ce qu'est l'authentification à deux facteurs et pourquoi elle compte, les différents types de 2FA, comment chaque méthode fonctionne, quels formulaires ont besoin de cette protection et comment choisir la bonne méthode selon votre cas.
Qu'est-ce que l'authentification à deux facteurs ?
L'authentification à deux facteurs demande deux preuves distinctes avant d'accorder l'accès. On classe généralement ces facteurs ainsi :
- Quelque chose que vous savez : un mot de passe ou un code PIN
- Quelque chose que vous possédez : un téléphone, une clé de sécurité ou une application d'authentification
- Quelque chose que vous êtes : une donnée biométrique comme une empreinte digitale ou un scan du visage
Une connexion avec 2FA se déroule en général ainsi :
- L'utilisateur saisit son identifiant et son mot de passe
- Le système vérifie que le mot de passe est correct
- Le système demande un second facteur (par exemple : « Saisissez le code reçu sur votre téléphone »)
- L'utilisateur fournit le second facteur (par exemple en saisissant « 123456 »)
- Le système vérifie le second facteur
- L'accès est accordé à l'utilisateur
Si quelqu'un vole le mot de passe, il ne peut toujours pas accéder au compte sans le second facteur. C'est ce qui rend la 2FA si efficace.
Pourquoi la 2FA est essentielle pour la sécurité des formulaires
Les mots de passe sont volés en permanence
Les fuites de données exposent des millions de mots de passe chaque année. Si votre mot de passe figurait dans une base piratée, des attaquants le possèdent. Un mot de passe solide aide, mais ce n'est toujours qu'un mot de passe.
Les attaques sur les mots de passe sont courantes
Les attaquants utilisent la force brute (essayer des millions de combinaisons), les attaques par dictionnaire (essayer les mots de passe courants) et le credential stuffing (réutiliser des mots de passe issus d'autres fuites). Ces attaques fonctionnent s'il n'y a rien d'autre que le mot de passe.
Le phishing vise les mots de passe
Des attaquants envoient de fausses pages de connexion qui ressemblent à votre site. Les utilisateurs y saisissent leurs identifiants. Si votre site n'exige qu'un mot de passe, l'attaquant obtient l'accès. Si la 2FA est obligatoire, il ne peut pas se servir du seul mot de passe.
Le piratage de compte coûte cher
Si quelqu'un accède au compte d'un client, il peut changer le mot de passe, réinitialiser le compte, faire des achats non autorisés ou voler des informations. Avec la 2FA, un accès non autorisé devient beaucoup plus difficile.
Les types d'authentification à deux facteurs
Codes par SMS
Comment ça marche : l'utilisateur saisit son identifiant et son mot de passe. Le système envoie un code à 6 chiffres par SMS sur son téléphone. L'utilisateur saisit le code reçu.
Avantages : simple pour les utilisateurs. Fonctionne sur tous les téléphones (aucune application nécessaire).
Inconvénients : un SMS peut être intercepté ou détourné. Ce n'est pas la méthode la plus sûre. L'envoi de SMS a un coût.
Idéal pour : les applications destinées aux clients, quand la facilité d'usage compte plus que la sécurité maximale.
Applications d'authentification
Comment ça marche : l'utilisateur installe une application comme Google Authenticator, Microsoft Authenticator ou Authy. À la connexion, l'application génère un code temporaire (en général 6 chiffres qui changent toutes les 30 secondes). L'utilisateur saisit ce code.
Avantages : très sûr. Ne peut pas être intercepté. Gratuit pour les utilisateurs.
Inconvénients : oblige les utilisateurs à installer une application. S'ils perdent leur téléphone, ils perdent l'accès, sauf s'ils ont des codes de secours.
Idéal pour : les applications très sensibles (espaces d'administration, comptes financiers, données sensibles), où l'on accepte plus de contraintes.
Clés de sécurité matérielles
Comment ça marche : l'utilisateur possède une clé physique (comme une clé USB). À la connexion, le système demande la clé. L'utilisateur la branche ou l'approche de son appareil. La clé prouve qu'il en est le propriétaire.
Avantages : extrêmement sûr. Impossible à pirater à distance. Fonctionne sur de nombreux sites.
Inconvénients : les utilisateurs doivent acheter les clés (30 à 50 dollars). Elles peuvent être perdues ou oubliées. Pas encore largement prises en charge.
Idéal pour : les situations de sécurité maximale (administration, défense, comptes de grande valeur). Utilisé par des utilisateurs à l'aise avec la technique.
Notifications push
Comment ça marche : l'utilisateur tente de se connecter. Le système envoie une notification push sur son téléphone : « Voulez-vous approuver cette connexion ? » L'utilisateur touche « Approuver » dans la notification.
Avantages : très pratique. Aucun code à saisir. Résiste au phishing (l'utilisateur voit d'où vient la connexion).
Inconvénients : nécessite une application ou un système précis. Inutilisable si le téléphone n'est pas à portée.
Idéal pour : les applications pensées d'abord pour le mobile et les applications grand public où l'expérience utilisateur est cruciale.
Codes par e-mail
Comment ça marche : l'utilisateur saisit son identifiant et son mot de passe. Le système envoie un code à son adresse e-mail. L'utilisateur saisit le code reçu.
Avantages : fonctionne sans téléphone. Accessible à tous les utilisateurs.
Inconvénients : une boîte e-mail peut être piratée. L'utilisateur doit consulter sa messagerie, ce qui est plus lent que les autres méthodes. Moins sûr qu'une application d'authentification.
Idéal pour : les applications à faible enjeu de sécurité, ou comme solution de repli quand les autres méthodes sont indisponibles.
Biométrie (empreinte, visage)
Comment ça marche : l'appareil de l'utilisateur (téléphone ou ordinateur) utilise ses capteurs biométriques intégrés. L'utilisateur scanne son empreinte ou son visage pour approuver la connexion ou l'action.
Avantages : très pratique. Très sûr. Propre à chaque personne.
Inconvénients : nécessite un appareil doté d'un capteur biométrique. Le stockage des données biométriques soulève des questions de confidentialité.
Idéal pour : les applications mobiles et les appareils récents. De plus en plus courant à mesure que le matériel biométrique se généralise.
Quels formulaires ont besoin de la 2FA ?
Formulaires à forte valeur (2FA indispensable)
- Formulaires de connexion (espace d'administration, compte client, messagerie)
- Formulaires de réinitialisation du mot de passe
- Modifications des paramètres du compte (surtout l'e-mail ou le mot de passe)
- Formulaires de paiement ou financiers
- Suppression de données ou opérations sensibles
Formulaires à valeur moyenne (2FA recommandée)
- Création de compte (pour éviter le piratage dès le départ)
- Formulaires qui modifient les données ou les préférences de l'utilisateur
- Formulaires réservés aux administrateurs
Formulaires à faible valeur (2FA facultative)
- Formulaires de contact (qui ne collectent que des informations publiques)
- Inscription à une newsletter (formulaire sans compte)
- Formulaires d'enquête
La règle : si le formulaire peut modifier le compte de l'utilisateur, donner accès à des données sensibles ou déclencher des actions irréversibles, utilisez la 2FA.
Mettre en place la 2FA sans trop de friction
Rendez la 2FA facultative au départ, puis obligatoire pour les actions sensibles
Laissez les utilisateurs s'inscrire sans 2FA. Mais exigez-la quand ils veulent accéder à des zones sensibles, modifier leurs informations de paiement ou changer leur mot de passe.
Proposez plusieurs méthodes de 2FA
Certains utilisateurs ont un téléphone, d'autres non. Certains préfèrent une application d'authentification, d'autres une clé matérielle. Proposer plusieurs méthodes permet à chacun d'utiliser la 2FA.
Fournissez des codes de secours
Si la 2FA est obligatoire et que des utilisateurs perdent leur téléphone ou leur application, ils ne peuvent plus accéder à leur compte. Fournissez des codes de secours (des codes à usage unique générés lors de la configuration) pour qu'ils puissent se connecter s'ils perdent leur méthode principale.
Mémorisez les appareils de confiance
Une fois que l'utilisateur a validé la 2FA sur un appareil, vous pouvez proposer de « mémoriser » cet appareil pour qu'il n'ait pas à la refaire à chaque fois. Cela réduit la friction tout en gardant la sécurité pour les connexions suspectes depuis des appareils inconnus.
Utilisez une 2FA basée sur le risque
Si un utilisateur se connecte depuis son lieu habituel, à son heure habituelle et avec son appareil habituel, la 2FA n'est peut-être pas nécessaire. S'il se connecte depuis un autre pays à 3 h du matin avec un nouvel appareil, exigez-la. Cela équilibre sécurité et confort d'usage.
Récupération et plans de secours
Les utilisateurs perdront leur téléphone, oublieront des applications et se retrouveront bloqués. Prévoyez un plan :
- Codes de secours : générez 10 codes à usage unique lors de la configuration de la 2FA, utilisables si la méthode principale est indisponible
- Récupération de compte : permettez aux utilisateurs de prouver leur identité avec des questions de sécurité ou par e-mail pour retrouver l'accès
- Processus de support : formez votre équipe de support à vérifier l'identité et à aider les utilisateurs bloqués
Attaques contre la 2FA et comment les éviter
Le SIM swapping
Un attaquant convainc un opérateur de transférer le numéro de téléphone de la victime vers une nouvelle carte SIM. Il reçoit alors sur son propre téléphone les codes 2FA envoyés par SMS.
Prévention : utilisez des applications d'authentification ou des clés matérielles plutôt que le SMS. Le SMS est vulnérable au SIM swapping.
Le phishing des codes 2FA
Un attaquant crée une fausse page de connexion qui demande un code 2FA. L'utilisateur saisit le code. L'attaquant l'utilise aussitôt pour se connecter au vrai compte.
Prévention : utilisez des méthodes qui montrent le contexte (les notifications push affichent « connexion sur www.example.com ») ou des clés matérielles (qui vérifient le domaine du site). Les méthodes à code y sont vulnérables.
Appareils perdus ou volés
Si l'appareil qui contient l'application de 2FA est perdu ou volé, un attaquant peut peut-être s'en servir pour accéder aux comptes.
Prévention : exigez un code PIN ou la biométrie pour déverrouiller l'appareil. Exigez un code PIN pour ouvrir l'application d'authentification. Utilisez des codes de secours et des options de récupération de compte.
Ce que WEMASY propose pour la 2FA
WEMASY prend en charge plusieurs méthodes de 2FA pour les comptes administrateurs et les comptes clients. Vous pouvez exiger la 2FA pour la connexion, les réinitialisations de mot de passe et les actions sensibles. WEMASY propose l'intégration d'applications d'authentification, les codes par SMS et les codes par e-mail. Les utilisateurs peuvent activer des codes de secours pour la récupération. Vous pouvez aussi mémoriser les appareils de confiance pour équilibrer sécurité et friction.
Découvrez les options de sécurité et de 2FA dans les paramètres de votre compte ou sur la page des tarifs.