double authentification TPE : La double authentification ajoute une preuve au mot de passe. Elle doit être activée d’abord sur la messagerie, la banque, le stockage, les réseaux sociaux, l’administration du site et les comptes techniques.
Commencer par la messagerie
Elle permet souvent de réinitialiser tous les autres mots de passe. Protégez les comptes dirigeants, administrateurs et boîtes partagées, puis contrôlez régulièrement les règles de transfert.
Choisir un second facteur robuste
Une application d’authentification ou une clé physique est généralement préférable au SMS. Conservez des codes de récupération hors ligne et encadrez le changement de téléphone.
Couvrir les comptes partagés
Remplacez autant que possible les identifiants communs par des comptes nominatifs. Les outils d’entreprise doivent permettre de retirer une personne sans changer les accès de toute l’équipe.
Prévenir la fatigue de validation
Un attaquant peut multiplier les demandes de confirmation jusqu’à obtenir un clic. Toute sollicitation inattendue doit être refusée et signalée ; le mot de passe doit ensuite être changé.
Suivre le taux de couverture
Tenez une liste des comptes critiques, de leur propriétaire et du type de double authentification. L’objectif est une couverture complète, pas une activation ponctuelle.
Votre plan d’action
Utilisez cette grille pour préparer votre prochain point d’équipe. Pour chaque action, inscrivez une personne responsable, une date et une preuve de réalisation.
| Action | Responsable | Échéance | Preuve de réalisation |
|---|---|---|---|
| Lister les comptes critiques | À désigner | À fixer | À définir |
| Protéger la messagerie en premier | À désigner | À fixer | À définir |
| Préparer les codes de secours | À désigner | À fixer | À définir |
| Contrôler chaque trimestre | À désigner | À fixer | À définir |
Source de référence : ANSSI — mesures cyber prioritaires.
Questions fréquentes
Le SMS est-il inutile ?
Il reste préférable à l’absence de second facteur, même si d’autres méthodes sont plus robustes.
Que faire si le téléphone est perdu ?
Révoquer l’appareil, utiliser les codes de secours et vérifier les sessions actives.
Peut-on partager un code ?
Évitez les comptes partagés ; utilisez des droits nominatifs lorsque le service le permet.
Besoin de passer du conseil à la décision ?
Appliquons cette méthode à votre entreprise.
Un échange court permet de cadrer le problème, d’identifier le premier levier utile et d’éviter un chantier surdimensionné.
Échanger avec Loïc Roy →