Technique & développement
MFA (authentification multifacteur)
Méthode d'authentification qui exige au moins deux preuves d'identité indépendantes pour accéder à une application, afin de renforcer la sécurité.
Qu'est-ce que la MFA ?
La MFA (Multi-Factor Authentication, ou authentification multifacteur) est une méthode de sécurité qui exige au moins deux preuves d'identité indépendantes pour accéder à une application. Au lieu de se reposer sur le seul mot de passe, elle ajoute un ou plusieurs facteurs supplémentaires.
L'idée est simple et redoutablement efficace : même si un mot de passe est volé, l'attaquant reste bloqué faute du second facteur. C'est aujourd'hui l'une des mesures de protection les plus rentables qu'un logiciel puisse mettre en place.
Les trois familles de facteurs
La MFA combine des preuves issues de catégories différentes :
| Catégorie | Principe | Exemples |
|---|---|---|
| Ce que je sais | Une connaissance | Mot de passe, code PIN |
| Ce que je possède | Un objet | Smartphone, application d'authentification, clé de sécurité |
| Ce que je suis | Une caractéristique | Empreinte, reconnaissance faciale |
La force de la MFA vient de cette indépendance : compromettre un mot de passe est une chose, voler en plus le téléphone de la victime en est une autre. L'attaque devient nettement plus difficile.
MFA ou 2FA : quelle différence ?
La 2FA (authentification à deux facteurs) est un cas particulier de la MFA : elle exige exactement deux facteurs. La MFA, plus large, en autorise deux ou davantage. En pratique, les termes sont souvent employés comme synonymes, car la grande majorité des déploiements se limitent à deux facteurs.
Quelles méthodes de second facteur ?
- Application d'authentification (TOTP) : génère un code à usage unique toutes les 30 secondes. Robuste et recommandé.
- Clé de sécurité (FIDO2 / passkey) : un dispositif physique, la méthode la plus résistante au phishing.
- Notification push : validation d'un appui sur le smartphone.
- Code par SMS ou e-mail : pratique mais le moins sûr, vulnérable à l'interception.
Le choix dépend du niveau de risque : pour des accès administrateurs ou des données sensibles, on privilégie les applications TOTP ou les clés physiques plutôt que le SMS.
MFA et le sur-mesure
Dans un logiciel sur-mesure, la MFA ne se conçoit pas en tout-ou-rien. On l'applique de façon ciblée : obligatoire pour les rôles sensibles (administrateurs, accès financiers, données de santé ou apprenants), optionnelle ou contextuelle pour les autres. On peut aussi la déclencher uniquement lors d'événements à risque — connexion depuis un nouvel appareil, par exemple.
Elle s'articule naturellement avec le reste du dispositif d'authentification : couplée à un SSO, elle verrouille le point d'entrée unique de l'entreprise ; intégrée à un flux OAuth, elle renforce les connexions déléguées. C'est aussi une brique de conformité : le RGPD impose des mesures de sécurité « appropriées », et la MFA est devenue une attente standard dès qu'on manipule des données personnelles.
Questions fréquentes
La MFA est-elle obligatoire ? Aucune loi générale ne l'impose nommément, mais elle découle des obligations de sécurité du RGPD et de nombreux référentiels (cyber-assurances, certifications). Pour les accès sensibles, elle est de fait incontournable.
Le SMS est-il un bon second facteur ? C'est mieux que rien, mais c'est la méthode la plus faible : un code SMS peut être intercepté (SIM swapping, phishing). Pour les accès critiques, on lui préfère une application TOTP ou une clé de sécurité.
La MFA dégrade-t-elle l'expérience utilisateur ? Modérément, et c'est gérable. Avec des sessions de confiance, des appareils mémorisés et des facteurs fluides (push, biométrie), la friction reste minime au regard du gain de sécurité.
