MFA en PME : déployer la double authentification pas à pas

Pour déployer le MFA en PME, commencez par les comptes qui ouvrent le plus de portes (administrateurs, messagerie, accès distants), puis étendez à tous les utilisateurs en choisissant des méthodes résistantes au phishing. Le plus difficile n’est pas la technique : c’est l’ordre des étapes, la gestion des exceptions et les comptes oubliés.

Ce tutoriel vous donne une séquence en six étapes, pensée pour une entreprise de 20 à 2 000 personnes sans équipe sécurité dédiée. Chaque étape se termine par un point de contrôle simple, pour savoir si vous pouvez passer à la suivante.

Pourquoi l’ordre de déploiement du MFA compte autant que l’outil

La double authentification protège un compte dont le mot de passe a fui. Mais un attaquant ne cherche pas le compte le mieux protégé : il cherche celui qui a été oublié. Un déploiement « tout le monde en même temps » crée des semaines de tickets au support, puis des exceptions accordées dans l’urgence, qui deviennent permanentes. Un déploiement par vagues, en partant des comptes les plus sensibles, réduit le risque dès la première semaine et laisse le temps d’absorber les difficultés.

L’ANSSI rappelle aussi que tous les facteurs ne se valent pas : un code reçu par SMS vaut mieux que rien, mais il ne résiste ni à l’échange de carte SIM ni aux pages de phishing qui relaient le code en temps réel.

Étape 1 : inventorier les comptes et les portes d’entrée

Listez tout ce qui accepte un identifiant et un mot de passe depuis Internet. En pratique, dans une PME, on retrouve presque toujours :

• la messagerie et la suite bureautique (Microsoft 365 ou Google Workspace) ;
• le VPN ou le portail d’accès distant, et les outils de prise en main à distance (RMM) ;
• les consoles d’administration : pare-feu, hyperviseur, sauvegarde, hébergement web, registrar du nom de domaine ;
• les applications métier en SaaS : comptabilité, paie, CRM, banque en ligne.

Ajoutez à cette liste les comptes de service et les boîtes partagées (compta@, contact@) : ce sont eux qui échappent le plus souvent au MFA.

Point de contrôle : vous avez un tableau avec chaque service, son propriétaire, le nombre de comptes et le type d’authentification actuel.

Étape 2 : protéger d’abord les comptes à privilèges

Activez le MFA sur tous les comptes administrateurs, sans exception, avant tout le reste. Un compte « admin global » Microsoft 365, un accès root à l’hyperviseur ou le compte du registrar permettent de prendre le contrôle de toute l’entreprise en quelques minutes.

• Séparez les usages : un compte nominatif pour le quotidien, un compte d’administration distinct, protégé par le facteur le plus robuste disponible.
• Créez deux comptes d’urgence (« bris de glace »), protégés par des clés physiques conservées au coffre, et surveillez chaque connexion à ces comptes.
• Supprimez les comptes administrateurs d’anciens prestataires ou salariés au passage.

Point de contrôle : aucun compte à privilèges ne peut se connecter avec un simple mot de passe.

Étape 3 : choisir les méthodes d’authentification par population

Toutes les méthodes ne conviennent pas à tous les profils. La règle simple : la méthode la plus résistante au phishing que vos utilisateurs accepteront vraiment.

• Clés de sécurité FIDO2 ou passkeys : résistantes au phishing, car liées au site légitime. À réserver en priorité aux administrateurs, à la direction et à la comptabilité. Microsoft détaille ces options dans sa documentation sur l’authentification sans mot de passe.
• Application d’authentification avec correspondance de nombre : le bon choix par défaut pour la majorité des salariés. La saisie d’un nombre affiché à l’écran limite les validations « par réflexe ».
• SMS ou appel vocal : solution de dernier recours pour les cas sans smartphone professionnel, à faire disparaître progressivement.

Le NIST (SP 800-63B) classe d’ailleurs les authentificateurs par niveau de garantie, ce qui aide à justifier ces choix auprès de la direction.

Point de contrôle : chaque population (admins, direction, finance, salariés, terrain) a une méthode cible écrite noir sur blanc.

Étape 4 : activer le MFA pour tous, par vagues

Sur Microsoft 365, si vous n’avez pas de licence permettant l’accès conditionnel, les paramètres de sécurité par défaut imposent l’enregistrement MFA à tous les utilisateurs et bloquent les protocoles d’authentification hérités. Avec l’accès conditionnel, vous gagnez en finesse (lieux, appareils, niveaux de risque).

1. Commencez par un groupe pilote de cinq à dix personnes volontaires, dont au moins une personne peu à l’aise avec l’informatique.
2. Annoncez chaque vague une semaine avant, avec un guide d’enrôlement d’une page et un créneau d’assistance.
3. Déployez par service, en finissant par les équipes terrain et les postes partagés, qui posent le plus de questions.
4. Bloquez l’authentification héritée (IMAP, POP, SMTP authentifié, anciens clients) : sans cela, un attaquant contourne le MFA en passant par ces protocoles.

Point de contrôle : le rapport d’enregistrement montre que tous les utilisateurs actifs ont au moins une méthode MFA enregistrée.

Étape 5 : traiter les exceptions sans créer de trous

Chaque déploiement bute sur les mêmes cas : le photocopieur qui envoie des courriels, le logiciel métier qui se connecte avec un compte partagé, le dirigeant qui refuse l’application. Les exceptions sont normales ; les exceptions sans date de fin sont le problème.

• Remplacez les comptes partagés par des boîtes partagées sans connexion directe, ou par des comptes de service limités à une adresse IP.
• Documentez chaque exception avec un propriétaire, une justification et une date de revue.
• Sécurisez la réinitialisation : un attaquant qui obtient un nouveau facteur par un simple appel au support a contourné tout le dispositif. Exigez une vérification d’identité hors bande (rappel sur un numéro connu, validation par le responsable).

Point de contrôle : la liste des exceptions tient sur une page, et chacune a une échéance.

Étape 6 : surveiller ce que le MFA ne bloque pas

Le MFA ne met pas fin aux compromissions de comptes : il déplace les attaques. Les techniques courantes aujourd’hui visent précisément les entreprises qui l’ont déployé :

• le harcèlement de notifications, où l’attaquant envoie des dizaines de demandes jusqu’à ce qu’un utilisateur valide ; nous détaillons la parade dans notre article sur la fatigue MFA ;
• le vol de jeton de session par une page de phishing intermédiaire, qui rejoue la session déjà authentifiée ;
• l’ajout discret d’une nouvelle méthode d’authentification, qui survit à la réinitialisation du mot de passe, comme l’illustre le cas du phishing de passkey.

Mettez en place des alertes sur trois événements au minimum : l’enregistrement d’une nouvelle méthode MFA, une série de refus MFA sur un même compte, et une connexion réussie depuis un pays ou un appareil inhabituel.

Ces signaux n’ont de valeur que si quelqu’un les regarde, y compris la nuit et le week-end : c’est précisément le rôle de notre SOC managé 24/7 pour PME et ETI, qui corrèle les connexions suspectes et réagit avant la prise de contrôle du compte.

Les pièges les plus fréquents lors d’un déploiement MFA

• Oublier les protocoles hérités : le MFA est actif, mais un ancien client de messagerie continue de se connecter avec le seul mot de passe.
• Laisser le SMS comme méthode par défaut pour tout le monde, y compris pour les administrateurs.
• Exempter la direction par confort, alors que ses comptes sont les plus ciblés par la fraude au président.
• Négliger les départs : un smartphone personnel qui garde l’application d’authentification d’un ancien salarié reste une clé valide tant que la méthode n’est pas supprimée.

Ce qu’il faut retenir

• Commencez par les comptes administrateurs, la messagerie et les accès distants.
• Choisissez la méthode la plus résistante au phishing acceptable par chaque population.
• Bloquez l’authentification héritée, sinon le MFA se contourne.
• Limitez les exceptions dans le temps et sécurisez la procédure de réinitialisation.
• Surveillez l’ajout de méthodes et les refus répétés : le MFA déplace les attaques.

Sources

• ANSSI — Recommandations relatives à l’authentification multifacteur et aux mots de passe
• Microsoft — Paramètres de sécurité par défaut dans Microsoft Entra ID
• Microsoft — Options d’authentification sans mot de passe
• NIST — SP 800-63B, Authentication and Authenticator Management
• CISA — More than a Password (MFA)