L'authentification multifacteurs exige plus d'une preuve d'identité avant d'accorder l'accès. Un mot de passe seul constitue un facteur. Un mot de passe et un code reçu sur votre téléphone en constituent deux. Le principe est simple : même si un pirate informatique vole votre mot de passe, il ne pourra pas accéder à votre compte. L'authentification multifacteurs bloque la grande majorité des attaques par vol d'identifiants, ce qui explique sa place de choix dans toutes les listes de contrôle de sécurité.

Les facteurs d'authentification se répartissent en trois grandes catégories : ce que vous savez (mot de passe, code PIN, question de sécurité), ce que vous possédez (téléphone, jeton matériel, carte à puce) et ce qui vous est propre (empreinte digitale, visage, voix). Une authentification multifacteur (AMF) robuste utilise au moins deux catégories différentes. Deux mots de passe ne constituent pas une AMF. Un mot de passe associé à une question de sécurité est une solution faible, car il s'agit de deux facteurs de connaissance susceptibles d'être devinés ou exploités par hameçonnage.

Méthodes MFA courantes

• Les codes SMS — pratiques, mais vulnérables au remplacement de la carte SIM
• Applications d'authentification — codes temporels, plus robustes que les SMS
• Clés matérielles — dispositifs physiques, résistants au phishing
• Notifications push — approuver ou refuser sur un téléphone
• Biométrie — empreinte digitale ou visage comme deuxième facteur

Tous les systèmes d'authentification multifacteur (MFA) ne se valent pas. Les attaques par saturation de requêtes, où un attaquant envoie des demandes d'approbation en masse jusqu'à ce que la victime clique sur « Accepter », ont permis de contourner les méthodes basées sur des applications. La correspondance de numéros et les clés matérielles comblent cette lacune. Choisissez la méthode la plus robuste prise en charge par vos systèmes et activez-la partout où elle est disponible.