Un mot de passe seul ne suffit plus toujours
Une bonne phrase de passe, unique par service, réduit fortement le risque qu’un compte soit compromis.
Elle ne l’élimine pas : une fuite de données chez un fournisseur, un hameçonnage réussi ou un logiciel malveillant peuvent exposer un mot de passe, aussi robuste soit-il.
La double authentification ajoute une seconde barrière, indépendante du mot de passe, avant d’autoriser l’accès à un compte.
Trois catégories de facteurs
La CNIL distingue, dans sa recommandation relative à l’authentification multifacteur, trois catégories de facteurs d’authentification :
- Un facteur de connaissance (ce que la personne sait) : un secret à mémoriser, comme un mot de passe, une phrase de passe ou un code confidentiel.
- Un facteur de possession (ce que la personne a) : un élément non mémorisable détenu physiquement, comme une clé cryptographique ou un dispositif matériel.
- Un facteur d’inhérence (ce que la personne est), parfois appelé par abus de langage facteur biométrique : une caractéristique physique propre à la personne, comme une empreinte digitale.
Une authentification multifacteur s’appuie sur au moins deux de ces catégories.
Un mot de passe associé à un code temporaire généré par une application dédiée, par exemple, combine un facteur de connaissance et un facteur de possession.
Parmi les propositions suivantes, laquelle correspond à un facteur de connaissance selon la CNIL ?
Voir la réponse
Réponse : C. Le facteur de connaissance correspond à ce que la personne sait : un secret à mémoriser, tel qu’un mot de passe, une phrase de passe ou un code confidentiel. Les deux autres catégories sont le facteur de possession (ce que la personne a) et le facteur d’inhérence (ce que la personne est).
Source : Recommandation relative à l’authentification multifacteur, CNIL, 2026.
Pourquoi un second facteur protège même si le mot de passe fuite
L’intérêt de la double authentification tient à l’indépendance des facteurs.
Un code à usage unique doit être renseigné en plus du mot de passe habituel de l’utilisateur ; s’il n’est pas correct, l’authentification échoue même si le mot de passe renseigné correspond bien à celui relié au compte.
Un attaquant qui obtient uniquement le mot de passe, par exemple à la suite d’une fuite de données ou d’un hameçonnage, ne peut donc pas se connecter sans disposer également du second facteur, qu’il ne détient pas.
Si un attaquant a obtenu votre mot de passe par une fuite de données, la double authentification suffit-elle à l'empêcher de se connecter ?
Voir la réponse
Réponse : B. Un code à usage unique doit être renseigné en plus du mot de passe. S’il est incorrect ou absent, l’authentification échoue même si le mot de passe correspond à celui du compte : l’attaquant qui ne détient que le mot de passe ne peut pas se connecter.
Source : Double authentification, Wikipédia, 2026.
Toutes les formes de second facteur ne se valent pas
Le second facteur prend des formes courantes variées :
- une application d’authentification générant un code temporaire ;
- une clé physique de sécurité ;
- ou un code reçu par SMS.
Ces formes n’offrent pas toutes le même niveau de robustesse.
L’ANSSI recommande de ne pas utiliser le SMS comme moyen de réception d’un facteur d’authentification.
Les messages SMS transitent par des protocoles de signalisation qui présentent des vulnérabilités connues et peuvent être interceptés ; un attaquant peut également chercher à détourner le numéro de téléphone de la victime auprès de son opérateur.
En l’absence d’alternative, un code reçu par SMS permet encore de limiter ou de détecter des tentatives d’authentification frauduleuses, mais l’agence recommande de ne pas en faire son moyen de réception.
Que recommande l'ANSSI au sujet de la réception d'un facteur d'authentification par SMS ?
Voir la réponse
Réponse : B. L’ANSSI recommande de ne pas utiliser le SMS comme moyen de réception d’un facteur d’authentification, en raison de vulnérabilités du canal de transmission qui permettent son interception ou le détournement du numéro de téléphone visé.
Source : Recommandations relatives à l’authentification multifacteur et aux mots de passe, ANSSI, 2026.
Où l’activer en priorité
L’ANSSI invite à adapter le niveau d’authentification à la sensibilité de ce qui est protégé : l’accès à un service anodin et l’accès à des données sensibles n’exposent pas aux mêmes conséquences en cas de compromission.
La CNIL recommande ainsi explicitement de mettre en œuvre l’authentification multifacteur :
- pour l’administration des systèmes et réseaux ;
- pour l’accès à distance au système d’information de l’employeur ;
- et pour l’accès à une messagerie électronique professionnelle.
En pratique, la double authentification mérite d’être activée en priorité partout où elle est proposée sur les comptes dont la compromission aurait les conséquences les plus lourdes : messagerie (souvent utilisée pour réinitialiser d’autres mots de passe), banque, comptes professionnels, réseaux sociaux.
Codes de secours : à conserver, mais pas n’importe où
De nombreux services proposent, au moment de l’activation de la double authentification, une liste de codes de secours à usage unique.
Ils permettent de retrouver l’accès au compte en cas de perte du second facteur, par exemple un téléphone égaré ou une application réinstallée.
Ces codes méritent d’être conservés en lieu sûr, séparément de l’appareil ou du gestionnaire de mots de passe qu’ils sont censés secourir : les stocker au même endroit que le mot de passe du compte annule une bonne partie de leur intérêt.
Mots de passe et second facteur protègent l’accès à vos comptes. Ils ne suffisent pas si l’appareil lui-même est vulnérable : le chapitre suivant réunit les gestes d’hygiène qui complètent cette protection.
Ce cours existe aussi en atelier animé, sur site ou à distance.