Le deuxième facteur a lui aussi besoin d’une porte de sortie

Le mot de passe est réutilisé, hameçonné ou exposé dans une fuite. Un deuxième facteur demande une autre preuve : quelque chose que la personne possède ou est. Le mécanisme réduit le risque seulement si l’inscription, l’usage et la récupération résistent au même attaquant.

Avec un code à usage unique, l’utilisateur et le serveur partagent un secret. L’application combine ce secret avec le temps pour produire un code. Le serveur accepte une petite fenêtre afin de tolérer les horloges. Un code intercepté peut encore être relayé immédiatement; il reste meilleur qu’un mot de passe seul sans être magique.

Le cycle complet d’un facteur

Je définirais :

1. connexion initiale avec preuve déjà fiable;
2. génération et affichage unique du secret;
3. scan dans l’application d’authentification;
4. validation d’un premier code avant activation;
5. création de codes de récupération;
6. notification lorsqu’un facteur est ajouté;
7. révocation de l’ancien lors d’un remplacement;
8. audit de chaque changement.

Les codes de récupération sont à usage unique, hachés côté serveur et stockés hors du téléphone. Ils ne sont pas envoyés ensemble avec le mot de passe. L’ajout d’un facteur demande une réauthentification récente; une session volée ne devrait pas pouvoir s’approprier le compte.

Le SMS dépend du numéro, de l’opérateur et du réseau. Un transfert frauduleux de SIM ou un téléphone hors couverture bloque ou détourne le code. Pour un compte privilégié, je privilégierais une preuve plus forte disponible à l’époque, avec un jeton matériel ou certificat selon le contexte.

La récupération est une authentification

Au support, « j’ai perdu mon téléphone » ne suffit pas. Le processus utilise plusieurs signaux indépendants, évite les questions publiques faciles et impose un délai ou une revue pour les comptes sensibles. Chaque contournement est notifié sur un canal existant et journalisé. Les agents n’ont pas un bouton universel sans contrôle.

Une panne du service MFA peut fermer toute l’entreprise. Des comptes d’urgence très limités, protégés et surveillés donnent un chemin. Les sessions existantes ont une durée connue. Tester la panne évite de désactiver globalement MFA sous pression.

Lier la preuve à la transaction sensible

Une session ouverte avec MFA ce matin ne garantit pas qu’une modification d’administrateur à 16 h vient encore de la même personne. Pour ajouter un bénéficiaire ou changer un facteur, le service demande une preuve récente, valide le code, signe la requête et enregistre le résultat dans une transaction. Le client reçoit un reçu, tandis qu’un message de notification part sur un canal distinct. Si le réseau perd la réponse, une clé idempotente retrouve l’opération au lieu de recommencer. Ce flux combine explicitement client, serveur, validation, message, stockage et reprise. Il augmente la friction seulement au moment où l’autorité ou l’argent change.

Je lancerais d’abord sur les administrateurs, la messagerie et les accès distants, avec deux facteurs enregistrés lorsque possible. Je mesurerais échecs, récupérations, attaques bloquées et temps de support. Le deuxième facteur est une vraie amélioration quand son chemin de remplacement est au moins aussi solide que son usage normal.

Mise à jour de 2026

On distingue maintenant beaucoup mieux la résistance des facteurs. Les codes SMS et les mots de passe à usage unique améliorent encore un mot de passe seul, mais un faux site peut les relayer en temps réel. Pour un compte sensible, on privilégie des méthodes cryptographiques résistantes à l’hameçonnage, dont FIDO/WebAuthn et les passkeys.

Le NIST explique les limites du mot de passe, de l’OTP et du réseau téléphonique, et la CISA recommande FIDO/WebAuthn. Les facteurs ont progressé. Il faut toujours savoir récupérer et révoquer correctement un accès.