Un mot de passe solide ne suffit plus, à lui seul, à protéger l'accès admin d'un site. L'authentification à deux facteurs ajoute une seconde couche : un mot de passe volé ne suffit plus pour entrer, ce qui change complètement le calcul de risque pour quiconque vise des identifiants d'administrateur. Un facteur peut être compromis. Deux, c'est nettement plus difficile. Cet article explique comment fonctionne l'authentification à deux facteurs, quels sont les différents types de second facteur et comment l'activer sur votre site.
Les attaques sur les identifiants sont automatisées. Des outils conçus pour deviner des mots de passe par force brute ou tester des identifiants volés sur des pages de connexion tournent en continu sur des millions de sites. Le mot de passe n'est plus la dernière ligne de défense qu'il était : trop de mots de passe sont faibles, réutilisés ou exposés par des fuites de données d'autres services. L'authentification à deux facteurs ne corrige pas le mot de passe. Elle fait que le mot de passe seul ne suffit plus. Pour la vue d'ensemble de la protection de l'accès admin dans une stratégie de sécurité complète, consultez l'article sur comment protéger votre site web des pirates.
Qu'est-ce que l'authentification à deux facteurs ?
L'authentification à deux facteurs, souvent abrégée en 2FA, est un processus de connexion qui demande deux formes distinctes de vérification avant d'accorder l'accès. Le premier facteur est en général un mot de passe. Le second est autre chose, quelque chose auquel seul le titulaire du compte a accès au moment de la connexion.
Le principe est simple : même si un attaquant obtient votre mot de passe par une fuite de données, du hameçonnage ou de la force brute, il ne peut pas terminer la connexion sans contrôler aussi le second facteur. Dans la plupart des cas, le second facteur se trouve sur un appareil que le titulaire du compte possède physiquement : accéder au compte demande donc plus qu'un mot de passe volé.
Comment fonctionne l'authentification à deux facteurs ?
La séquence de connexion
- L'utilisateur saisit son nom d'utilisateur et son mot de passe sur la page de connexion, comme d'habitude
- Au lieu d'obtenir l'accès tout de suite, il est invité à passer une seconde étape de vérification
- L'utilisateur fournit le second facteur, que le système vérifie avant d'autoriser l'accès
- Si l'un des deux facteurs est incorrect, l'accès est refusé
Ce que cela arrête
- Un attaquant qui a obtenu le bon mot de passe est arrêté à la seconde étape, car il n'a pas accès au second facteur
- Les attaques par force brute qui trouvent un mot de passe ne peuvent toujours pas terminer la connexion sans le second facteur
- Les identifiants volés par hameçonnage ou par des fuites de données sur d'autres services ne suffisent plus à eux seuls
Quels sont les types de second facteur ?
Les applications d'authentification
- Une application d'authentification génère un code basé sur le temps, renouvelé toutes les 30 secondes. L'utilisateur ouvre l'application, lit le code actuel et le saisit à la connexion
- Le code est généré sur l'appareil et n'est pas transmis par le réseau, ce qui le rend résistant à l'interception
- C'est largement considéré comme l'option la plus pratique et la plus sûre pour la plupart des propriétaires de site
Les codes SMS
- Un code à usage unique est envoyé par SMS au numéro de téléphone enregistré de l'utilisateur pendant la connexion
- Les codes SMS sont plus simples à mettre en place qu'une application d'authentification, mais sont jugés moins sûrs, car les numéros de téléphone peuvent être détournés par échange de carte SIM et les SMS peuvent être interceptés
- Ils valent nettement mieux que l'absence de second facteur
Les clés de sécurité matérielles
- Une clé de sécurité matérielle est un appareil physique, en général une petite clé USB ou NFC, que l'utilisateur branche ou touche pendant la connexion pour vérifier son identité
- Les clés matérielles offrent la forme la plus forte d'authentification à deux facteurs et résistent au hameçonnage, car la vérification est liée au site précis auquel on accède
- Elles sont plus courantes dans les environnements très sécurisés et moins utilisées pour l'accès admin d'un site standard
Les codes par e-mail
- Un code à usage unique est envoyé à l'adresse e-mail enregistrée de l'utilisateur et doit être saisi pendant la connexion
- Les codes par e-mail sont le second facteur le plus faible, car ils dépendent de la sécurité du compte e-mail. Si le compte e-mail est compromis, le second facteur n'apporte aucune protection
- Ils valent mieux que l'absence de second facteur, mais une application d'authentification est un choix plus fiable
Pourquoi votre site web a-t-il besoin de l'authentification à deux facteurs ?
Les mots de passe sont régulièrement compromis
- Les fuites de données d'autres services exposent des identifiants qui sont ensuite testés sur les panneaux d'administration de sites. Un mot de passe réutilisé depuis un autre compte peut servir à accéder à votre site, même si votre site n'a jamais été visé directement
- Les attaques de hameçonnage qui capturent des mots de passe sont difficiles à empêcher entièrement. L'authentification à deux facteurs limite les dégâts quand un mot de passe est obtenu
Les attaques automatisées sur les identifiants sont constantes
- Les outils de force brute tournent en continu sur les sites, en testant les mots de passe courants, les mots du dictionnaire et les listes d'identifiants divulgués
- Avec l'authentification à deux facteurs, même un mot de passe découvert par force brute ne suffit pas pour terminer une connexion
L'accès admin est la cible la plus précieuse
- Un attaquant qui accède au panneau d'administration d'un site peut installer des logiciels malveillants, voler des données, créer des portes dérobées ou enfermer le propriétaire dehors
- Protéger l'accès admin par l'authentification à deux facteurs réduit directement les conséquences d'un mot de passe compromis, qui est la cible la plus courante des attaques sur les identifiants
Pour savoir ce que les attaquants peuvent faire une fois l'accès admin obtenu, consultez l'article sur ce que sont les logiciels malveillants d'un site web et leur effet sur votre site. Pour voir en détail pourquoi la sécurité d'un site compte au-delà du seul accès admin, consultez l'article sur pourquoi la sécurité d'un site web est importante.
Comment activer l'authentification à deux facteurs sur votre site web ?
Pour l'accès admin du site
- De nombreuses plateformes de sites web proposent l'authentification à deux facteurs comme option intégrée dans les réglages du compte. Vérifiez d'abord la section sécurité ou compte de votre plateforme
- Pour les plateformes qui ne l'incluent pas de série, des extensions ou des modules de sécurité existent pour ajouter la 2FA à la connexion
- Activez-la pour chaque compte admin, pas seulement le compte principal. Tout compte admin sans authentification à deux facteurs est une porte d'entrée possible
Pour les comptes d'hébergement et de domaine
- Le panneau de contrôle de l'hébergement et le compte du bureau d'enregistrement de domaine sont aussi importants à sécuriser que le site lui-même. Un attaquant qui accède au compte d'hébergement peut modifier les enregistrements DNS, accéder aux sauvegardes ou mettre le site hors ligne
- Activez l'authentification à deux facteurs sur le panneau d'hébergement et sur le compte du bureau d'enregistrement de domaine, pas seulement sur la connexion du site lui-même
Pour les comptes e-mail utilisés pour la récupération de compte
- Les parcours de réinitialisation de mot de passe envoient en général un lien à l'adresse e-mail enregistrée. Si ce compte e-mail est compromis, il peut servir à prendre le contrôle du compte du site
- Sécuriser par l'authentification à deux facteurs les comptes e-mail liés à l'accès admin du site ferme cette voie de récupération comme vecteur d'attaque
Pour voir comment les sauvegardes s'articulent avec l'authentification à deux facteurs dans une approche de sécurité complète, consultez l'article sur comment sauvegarder votre site web.
Comment WEMASY gère la sécurité de l'authentification
L'authentification à deux facteurs est disponible pour l'accès aux comptes WEMASY. Les propriétaires de site peuvent l'activer dans les réglages de sécurité de leur compte pour protéger l'accès au tableau de bord, à la configuration du site et aux informations de facturation. L'activer signifie qu'un mot de passe volé ne suffit pas à accéder au compte.
L'activité de connexion est surveillée au niveau de la plateforme et les événements de sécurité sont consignés. La plateforme impose aussi des limites au nombre de tentatives de connexion pour réduire l'exposition aux attaques par force brute.
Découvrez ce qui est inclus dans le créateur de site web WEMASY, ou consultez les offres sur la page des tarifs.
Questions fréquentes
Qu'est-ce que l'authentification à deux facteurs ?
L'authentification à deux facteurs est un processus de connexion qui demande deux formes distinctes de vérification avant d'accorder l'accès. Le premier facteur est en général un mot de passe. Le second est quelque chose auquel seul le titulaire du compte a accès au moment de la connexion, comme un code d'une application d'authentification ou un SMS envoyé à un téléphone enregistré. Les deux doivent être fournis correctement pour terminer la connexion : un mot de passe volé ne suffit donc pas à un attaquant pour entrer. Avec le créateur de site web de WEMASY, vous pouvez mettre cela en place directement sur votre site.
Pourquoi utiliser l'authentification à deux facteurs sur mon site web ?
Les mots de passe sont régulièrement compromis par des fuites de données, des attaques de hameçonnage et des outils de force brute. Avec l'authentification à deux facteurs, même quand un attaquant obtient un mot de passe, il ne peut pas l'utiliser pour terminer une connexion sans le second facteur. Pour les comptes admin d'un site, où une connexion réussie peut entraîner l'installation de logiciels malveillants, le vol de données ou le verrouillage du site, l'authentification à deux facteurs est l'une des mesures de sécurité les plus efficaces.
Quel est le meilleur type de second facteur ?
Une application d'authentification est le second facteur recommandé pour la plupart des propriétaires de site. Elle génère un code basé sur le temps sur l'appareil lui-même, qui n'est pas transmis par le réseau et n'est donc pas vulnérable à l'interception comme le sont les codes SMS. Les clés de sécurité matérielles sont plus sûres mais moins pratiques au quotidien. Les codes SMS et les codes par e-mail valent mieux que l'absence de second facteur, mais une application d'authentification offre le bon équilibre entre sécurité et facilité d'usage.
Que se passe-t-il si je perds l'accès à mon second facteur ?
La plupart des plateformes qui prennent en charge l'authentification à deux facteurs fournissent aussi des codes de secours au moment de la configuration. Ces codes à usage unique permettent d'accéder au compte si le second facteur n'est pas disponible. Conservez-les dans un endroit sûr, séparé de l'appareil utilisé pour l'authentification. Si les codes de secours sont perdus et que le second facteur est indisponible, la récupération passe en général par une vérification d'identité dans le processus de récupération de compte de la plateforme, ce qui peut prendre du temps et demander des preuves de propriété.
L'authentification à deux facteurs protège-t-elle contre toutes les attaques de connexion ?
Elle protège contre la majorité des attaques sur les identifiants, dont la force brute, le bourrage d'identifiants et les attaques avec des mots de passe volés sur d'autres services. Elle ne protège pas contre les attaques qui contournent complètement la connexion, comme l'exploitation d'une faille dans le logiciel du site ou l'accès par une session compromise. L'authentification à deux facteurs est une couche essentielle pour protéger l'accès admin, mais elle fonctionne mieux dans une approche de sécurité plus large qui comprend les mises à jour logicielles, des mots de passe solides et des sauvegardes régulières.
Dois-je activer l'authentification à deux facteurs sur d'autres comptes que la connexion du site ?
Oui. Le panneau de contrôle de l'hébergement et le compte du bureau d'enregistrement de domaine doivent tous deux avoir l'authentification à deux facteurs activée. L'accès à l'un ou à l'autre peut servir à modifier la configuration du site, les enregistrements DNS ou les sauvegardes d'une façon qui contourne entièrement la connexion du site. Le compte e-mail utilisé pour la récupération de compte doit aussi être sécurisé par l'authentification à deux facteurs, car les parcours de réinitialisation de mot de passe envoient un lien à cette adresse et un compte e-mail compromis peut servir à prendre le contrôle du compte du site.