Applications d’authentification
Google Authenticator, Microsoft Authenticator, Authy ou 1Password : six chiffres qui changent toutes les trente secondes, calculés sur le mobile lui-même et sans besoin de réseau.
Authentification multifacteur
Un second facteur par le canal que chacun utilise déjà
Google Authenticator, Microsoft Authenticator, SMS, WhatsApp, Telegram, e-mail ou passkey. Il est exigé par profil, et non pour tous de la même manière, et chaque accès est enregistré avec le facteur utilisé.
Ce que résout le second facteur, et ce qu’il ne résout pas
Un mot de passe divulgué cesse d’être un problème grave dès qu’un second facteur se dresse devant lui. L’authentification multifacteur combine des preuves de catégories différentes — ce que l’on sait, ce que l’on possède et ce que l’on est — et Kimobox la met en œuvre par le canal que chacun utilise déjà : application de codes, SMS, WhatsApp, Telegram, e-mail ou passkey. Elle est exigée par profil, avec codes de récupération et trace de chaque accès, car l’imposer partout et à tous est le plus sûr moyen de voir quelqu’un noter le code sur un papier.
- Cadre légal
- Art. 32 du RGPD Impose des mesures techniques adaptées au risque ; il ne nomme pas la MFA, mais c’est la mesure de référence pour l’accès à distance aux données personnelles
- Secteur public
- Esquema Nacional de Seguridad Le RD 311/2022 renforce le mécanisme d’authentification selon la catégorie du système
- Norme de sécurité
- ISO/IEC 27001:2022, mesure 8.5 Authentification sécurisée, parmi les 93 mesures de l’Annexe A
- Codes temporaires
- RFC 6238 (TOTP) Six chiffres calculés sur l’appareil à partir de l’horloge ; ils fonctionnent hors connexion
- Codes par SMS
- Canal restreint Le NIST SP 800-63B le place en dessous des autres facteurs en raison du risque de duplication de SIM
- Passkeys
- WebAuthn (W3C) Clé cryptographique liée à l’appareil : aucun code à intercepter ni à réutiliser
- Les trois catégories
- Connaissance, possession et inhérence La même classification que celle du règlement délégué (UE) 2018/389 pour l’authentification forte du client
SMS, WhatsApp et Telegram
Code à usage unique par le canal que la personne a déjà ouvert. Utile pour le personnel de magasin, de chantier ou d’entrepôt sans e-mail professionnel.
Le facteur d’entrée le plus simple : un code envoyé à la boîte vérifiée, avec une courte durée de validité et une seule tentative par code.
Passkeys et clés FIDO2
Authentification WebAuthn par empreinte, visage ou clé physique. Aucun code à intercepter ni à saisir.
Politique par profil
Obligatoire pour l’administration et les données personnelles, facultatif pour la consultation. La politique se définit par rôle, pas personne par personne.
+ infoTrace de chaque accès
Qui s’est connecté, quand, d’où et avec quel facteur. Les tentatives échouées sont aussi conservées, et c’est là qu’apparaissent les problèmes.
+ infoOù il est exigé
Des actions qu’il vaut mieux protéger par un second facteur
- Accès au panneau d’administration et à la gestion des utilisateurs et des droits
- Consultation des bulletins de paie, contrats et données personnelles dans le portail salarié
- Signature de documents et validation de dépenses au-delà d’un certain montant
- Export ou téléchargement massif de documents
- Accès depuis un réseau, un appareil ou un pays inhabituels
- Récupération du mot de passe et changement de l’e-mail ou du téléphone de contact
Exemples réels
Trois situations où le second facteur fait la différence
Industrie · administration de la plateforme
Quatre personnes avec des droits d’administration
Avant Un seul compte administrateur partagé dans un gestionnaire de mots de passe. Quand un paramètre change, personne ne peut dire qui l’a modifié, et le départ de l’une de ces quatre personnes oblige à changer le mot de passe de tous.
Après Un utilisateur par personne avec second facteur obligatoire sur le profil d’administration. La trace conserve le nom, l’heure et le canal de vérification, et un départ se règle en désactivant un utilisateur.
Commerce · personnel sans e-mail professionnel
Vérifier ceux qui n’ont pas de boîte d’entreprise
Avant Le second facteur par e-mail n’atteint personne : le personnel des magasins n’a pas de compte d’entreprise et consulte le planning sur son téléphone personnel.
Après Un code par WhatsApp au numéro qui reçoit déjà le planning, sans installer de nouvelle application ni créer une boîte qu’il faudrait ensuite maintenir.
Services · identifiants divulgués
Un mot de passe réutilisé apparaît dans une fuite extérieure
Avant Quelqu’un se connecte avec le bon mot de passe depuis un pays où l’entreprise n’opère pas. L’accès semble légitime et n’est détecté que des semaines plus tard, lors de l’examen d’un téléchargement massif de documents.
Après La tentative est stoppée par le second facteur, déclenche une alerte au titulaire du compte et à l’administrateur, et reste dans le registre des tentatives échouées avec son adresse d’origine.
Vocabulaire
Les termes que l’on confond en parlant de MFA
- Facteur de connaissance
- Ce que la personne sait : le mot de passe ou un code PIN. C’est le facteur le plus facile à voler, car on peut le copier à l’insu de son titulaire.
- Facteur de possession
- Ce que la personne possède : le mobile avec l’application de codes, la carte SIM qui reçoit le SMS ou une clé de sécurité physique.
- Facteur d’inhérence
- Ce que la personne est : empreinte digitale ou reconnaissance faciale. Avec les passkeys, il sert à déverrouiller la clé de l’appareil sans que la donnée biométrique n’en sorte.
- TOTP
- Mot de passe à usage unique basé sur le temps, défini dans le RFC 6238. L’appareil et le serveur partagent une clé et calculent le même code à partir de l’horloge, sans rien échanger.
- OTP
- Code à usage unique. Il vaut pour une authentification et expire en quelques minutes, qu’il soit envoyé par SMS, WhatsApp, Telegram ou e-mail.
- Passkey
- Identifiant cryptographique qui remplace le mot de passe. La clé privée ne quitte pas l’appareil et le service ne conserve que la clé publique : une fuite côté serveur n’expose donc rien de réutilisable.
- Duplication frauduleuse de SIM
- Technique par laquelle un attaquant obtient un duplicata de la carte SIM de la victime et reçoit ses SMS. C’est la raison pour laquelle le code par message est considéré comme le plus faible des facteurs disponibles.
- Codes de récupération
- Liste de codes à usage unique remise à l’activation du second facteur. C’est l’issue prévue en cas de perte de l’appareil, et mieux vaut la conserver ailleurs que sur celui-ci.
- Authentification unique (SSO)
- Mécanisme par lequel une seule identité d’entreprise donne accès à plusieurs applications. Il est compatible avec la MFA : le second facteur est demandé une fois, auprès du fournisseur d’identité.
- NIS 2
- Directive (UE) 2022/2555 sur la cybersécurité, qui remplace la directive NIS de 2016 et classe les entités assujetties en entités essentielles et importantes. Parmi les mesures de gestion des risques qu’elle impose figure le recours à l’authentification multifacteur ou continue (art. 21.2.j), et les incidents importants sont signalés par une alerte précoce sous vingt-quatre heures puis une notification sous soixante-douze heures (art. 23.4).
Questions fréquentes
Ce que l’on nous demande avant de commencer
Qu’est-ce que l’authentification multifacteur ?
C’est exiger deux preuves d’identité ou plus, de catégories différentes : ce que l’on sait (mot de passe), ce que l’on possède (mobile, clé) et ce que l’on est (empreinte, visage). Deux mots de passe à la suite ne constituent pas une authentification multifacteur, car ils relèvent de la même catégorie.
Quels canaux Kimobox prend-il en charge ?
Les applications TOTP comme Google Authenticator ou Microsoft Authenticator, le code par SMS, WhatsApp, Telegram ou e-mail, ainsi que les passkeys ou clés FIDO2 via WebAuthn. Chaque personne peut enregistrer plusieurs méthodes et en choisir une de secours.
La loi impose-t-elle la MFA ?
Aucun texte ne l’impose sous ce nom à toutes les entreprises. L’art. 32 du RGPD exige des mesures techniques adaptées au risque, et pour l’accès à distance aux données personnelles, le second facteur est aujourd’hui la mesure de référence. Dans le secteur public espagnol, l’Esquema Nacional de Seguridad renforce le mécanisme d’authentification selon la catégorie du système, et l’ISO/IEC 27001:2022 le prévoit dans sa mesure 8.5 d’authentification sécurisée.
Le code par SMS est-il sûr ?
Il vaut bien mieux que l’absence de second facteur, mais moins que les autres. Le guide NIST SP 800-63B classe le réseau téléphonique comme canal restreint en raison du risque de duplication frauduleuse de la carte SIM et d’interception. Il convient comme porte d’entrée ou méthode de secours ; pour les profils aux droits étendus, mieux vaut une application TOTP ou une passkey.
Que se passe-t-il si quelqu’un perd son mobile ?
À l’activation du second facteur, des codes de récupération à usage unique sont générés et conservés à part. S’ils ont aussi disparu, un administrateur peut réinitialiser le facteur, et cette réinitialisation est enregistrée avec son auteur et son motif, car c’est précisément par là qu’un attaquant tenterait d’entrer.
Fonctionne-t-il sans réseau ni données mobiles ?
Les applications TOTP, oui : le code est calculé sur l’appareil à partir d’une clé partagée et de l’horloge, selon le RFC 6238, sans aucune connexion. Le SMS, WhatsApp, Telegram et l’e-mail ont besoin du réseau.
Peut-on l’exiger uniquement pour certains profils ?
Oui, et c’est recommandé. Demander un second facteur à tout le monde pour consulter le planning des congés suscite du rejet et n’apporte pas grand-chose ; l’exiger de ceux qui administrent les utilisateurs ou téléchargent les bulletins de paie, si.
Que conserve-t-on du téléphone de la personne ?
Le numéro que la personne enregistre elle-même pour recevoir le code, à cette fin et à aucune autre. Il n’est utilisé ni pour des communications commerciales ni cédé, et il est supprimé quand cette méthode de vérification est retirée.
2FA et MFA, est-ce la même chose ?
La double authentification est le cas le plus courant d’authentification multifacteur : exactement deux facteurs. MFA est le terme générique, qui admet trois facteurs ou plus quand le risque le justifie.
Activez le second facteur pendant la démo et vérifiez par vous-même
Nous vous montrons le module en fonctionnement avec des données proches des vôtres.
Poursuivez la visite
Pages associées
Ce que votre responsable informatique va demander
Chiffrement en transit et au repos, droits par profil avec double authentification, journal d’audit…
Qui entre, où et quand, sans gardien à la porte
Autorisation d’accès par salarié avec badge, code PIN ou QR code, liée à l’état réel de sa formation, de son…
Nos propres serveurs en Europe
Infrastructure propre dans des centres de données de l’UE, sauvegardes quotidiennes à restauration testée…
ISO 27001 sans classeurs ni surprises
Inventaire des actifs, analyse des risques et mesures de l’Annexe A avec leur statut et leur responsable.
Sources
D’où vient chaque donnée
Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.
- Règlement (UE) 2016/679 (RGPD), art. 32 : sécurité du traitement EUR-Lex · 27 avril 2016
- RFC 6238 : TOTP, algorithme de mot de passe à usage unique basé sur le temps IETF · mai 2011
- NIST SP 800-63B, Digital Identity Guidelines : authentification et gestion du cycle de vie NIST · juin 2017
- Web Authentication (WebAuthn) Level 2, recommandation du W3C W3C · 8 avril 2021
- Règlement délégué (UE) 2018/389, authentification forte du client (art. 4) EUR-Lex · 13 mars 2018
- Real Decreto 311/2022, Esquema Nacional de Seguridad BOE-A-2022-7191 · 4 mai 2022
- Directive (UE) 2022/2555 (NIS 2), art. 21 et 23 EUR-Lex · 14 décembre 2022
Authentification multifacteur avec TOTP, SMS, WhatsApp, Telegram et passkeys
Kimobox intègre l’authentification multifacteur avec des applications de codes temporaires compatibles avec le standard TOTP — Google Authenticator, Microsoft Authenticator, Authy ou 1Password —, l’envoi de codes à usage unique par SMS, WhatsApp, Telegram et e-mail, et l’authentification sans mot de passe par passkeys et clés de sécurité FIDO2 conformes à WebAuthn.
La vérification en deux étapes se paramètre par profil d’utilisateur, avec codes de récupération, méthode de secours, réinitialisation auditée et enregistrement complet des accès et des tentatives échouées, conformément à l’art. 32 du règlement général sur la protection des données et à la mesure 8.5 de la norme ISO/IEC 27001:2022.