Un seul mot de passe volé, et quelqu’un d’autre lit vos courriels. L’authentification à deux facteurs existe pour empêcher exactement ça, et c’est probablement la mesure de sécurité la plus rentable qu’une PME puisse activer cette année.
Imaginez un lundi matin dans une entreprise de paysagement. La comptable reçoit un courriel de son fournisseur habituel : nouvelles coordonnées bancaires, merci de les mettre à jour avant le prochain paiement. L’adresse est la bonne. La signature aussi. Le problème, c’est que quelqu’un d’autre lit et envoie les courriels de ce fournisseur depuis trois semaines.
Ce scénario, on le voit revenir sous toutes sortes de formes, et il ne demande aucun talent particulier. Un mot de passe réutilisé sur un vieux site qui s’est fait voler sa base de données, ou saisi sur une fausse page de connexion, et la porte est ouverte. La double authentification (ou 2FA) ferme cette porte : même avec le bon mot de passe, l’intrus reste dehors. Microsoft parle plutôt d’authentification multifacteur, mais l’idée est la même.
Comment fonctionne l’authentification à deux facteurs?
Le principe tient en une phrase. Pour ouvrir une session, il faut deux preuves de nature différente : quelque chose que vous savez, le mot de passe, et quelque chose que vous avez sur vous, comme votre cellulaire ou une clé physique.
Un fraudeur peut acheter votre mot de passe dans une liste qui circule en ligne. Il n’a pas votre téléphone.
En pratique, après le mot de passe, le service vous demande un code à six chiffres généré par une application, ou vous envoie une notification à approuver. Ça prend quelques secondes. La plupart des services permettent aussi de se souvenir de l’ordinateur du bureau, ce qui évite de taper un code à chaque connexion.
Texto, application ou clé physique : quelle méthode choisir?
Les méthodes ne se valent pas toutes. Notre recommandation est simple.
Prenez une application d’authentification. Microsoft Authenticator, Google Authenticator ou celle intégrée à votre gestionnaire de mots de passe font très bien l’affaire. C’est gratuit, ça fonctionne même sans réseau cellulaire, et ça couvre les besoins de la grande majorité des employés d’une PME.
Évitez le texto quand vous avez le choix. C’est mieux que rien, mais un fraudeur qui convainc un fournisseur de téléphonie de transférer votre numéro sur une nouvelle carte SIM reçoit vos codes à votre place. Cette arnaque vise surtout les gens dont le numéro est facile à trouver. Celui d’un propriétaire de PME est souvent affiché sur son propre site web.
Pour les comptes administrateurs, allez un cran plus loin avec une clé de sécurité physique de type FIDO2 ou une clé d’accès (passkey). Ces méthodes vérifient l’adresse réelle du site avant de répondre, si bien qu’une fausse page de connexion n’obtient rien du tout. Une clé physique coûte quelques dizaines de dollars. Achetez-en deux par administrateur : une sur le porte-clés, l’autre dans un tiroir barré au bureau.
Quels comptes protéger en premier?
Sécuriser ses comptes d’un seul coup, dans toute l’entreprise, c’est rarement réaliste. Si vous ne faites qu’une chose cette semaine, activez l’authentification à deux facteurs sur la messagerie. Votre boîte courriel reçoit les liens de réinitialisation de presque tous vos autres comptes. Quelqu’un qui contrôle votre courriel peut, en quelques clics, reprendre la banque en ligne, le logiciel comptable ou la page Facebook de l’entreprise.
Ensuite, dans cet ordre :
- la messagerie de chaque employé, pas seulement celle du patron;
- les comptes administrateurs : console Microsoft 365, registraire du nom de domaine, panneau de votre hébergeur;
- les services financiers : banque, comptabilité, paie;
- les comptes administrateur et éditeur de votre site WordPress;
- les pages de l’entreprise sur les réseaux sociaux.
Le registraire du nom de domaine est presque toujours oublié. Pourtant, une personne qui y entre peut rediriger votre domaine ailleurs, et votre site et vos courriels partent avec.
Activer la double authentification dans Microsoft 365
Dans un environnement Microsoft 365 de petite taille, deux approches existent. Elles ne se combinent pas : il faut choisir.
Les paramètres de sécurité par défaut
Ils sont gratuits et disponibles avec tous les abonnements. Une fois activés dans le centre d’administration Microsoft Entra, ils obligent chaque utilisateur à enregistrer Microsoft Authenticator et bloquent les anciens protocoles de connexion qui ne savent pas demander un deuxième facteur. Pour une entreprise de cinq à quinze personnes sous Business Basic ou Business Standard, c’est le bon choix, et il s’active en quelques minutes.
L’accès conditionnel avec Business Premium
Business Premium donne accès aux stratégies d’accès conditionnel, qui permettent des règles plus fines. Exiger une clé physique pour les administrateurs. Bloquer les connexions qui viennent de l’extérieur du Canada. Demander le deuxième facteur seulement sur les appareils que l’entreprise ne gère pas. Pour s’en servir, il faut désactiver les paramètres par défaut et rebâtir soi-même une protection au moins aussi solide. Mal fait, c’est un recul.
Un piège revient souvent : l’adresse info@ dont trois personnes partagent le mot de passe. Impossible d’y mettre une double authentification qui a du sens, puisque le code n’arriverait que sur un seul téléphone. Transformez-la en boîte aux lettres partagée. Chaque employé y accède avec son propre compte protégé, et une boîte partagée ne demande pas de licence supplémentaire.
C’est le genre de configuration que nous faisons dans le cadre de nos services Microsoft 365, en même temps que la vérification du domaine et des enregistrements SPF, DKIM et DMARC.
Et sur un site WordPress?
WordPress n’offre pas la double authentification de base. Il faut une extension. Two Factor, développée par des contributeurs du projet WordPress, fait le travail sans fioritures; plusieurs extensions de sécurité connues proposent aussi la fonction. Activez-la au minimum pour les rôles administrateur et éditeur.
Une précaution avant d’activer quoi que ce soit : imprimez les codes de secours et rangez-les ailleurs que dans la boîte courriel liée au même compte. Si votre cellulaire finit au fond du lac Saint-Joseph, ces codes vous éviteront une journée perdue.
Les sites que nous hébergeons sont aussi couverts par la protection OPShield, active jour et nuit. Elle travaille au niveau du serveur. La double authentification, elle, protège le compte. Les deux se complètent; l’une ne remplace pas l’autre.
L’erreur qui annule tout : approuver sans lire
Les fraudeurs se sont adaptés. Quand ils ont déjà votre mot de passe, ils déclenchent des dizaines de demandes de connexion, souvent la nuit, en espérant qu’une personne fatiguée finisse par toucher « Approuver » pour avoir la paix. Microsoft a réagi en obligeant l’utilisateur à taper dans l’application un nombre affiché à l’écran de connexion. Ça aide beaucoup. Ça ne règle pas tout.
La règle à transmettre à votre équipe est courte. Une demande de connexion que vous n’avez pas lancée, on la refuse, puis on change son mot de passe le jour même, parce que c’est la preuve qu’il circule déjà.
Pensez aussi aux départs. Quand un employé quitte l’entreprise, désactivez son compte et retirez ses méthodes d’authentification le dernier jour, pas trois mois plus tard au moment de renouveler les licences.
Vous voulez savoir où en sont les comptes de votre entreprise? Écrivez-nous : on regarde votre configuration Microsoft 365 et votre site, et on vous dit quoi activer en premier.