Ce que vous allez apprendre
Objectifs d'apprentissage
- Distinguer des facteurs indépendants de deux mots de passe
- Reconnaître les demandes d’authentification inattendues
- Préparer une méthode de récupération sûre
Utilisez des facteurs indépendants
Un mot de passe et un code PIN sont tous deux des facteurs de connaissance. La MFA combine différents types de preuve, par exemple un mot de passe et un appareil enregistré. Certains produits utilisent la biométrie pour déverrouiller un identifiant stocké sur l’appareil ; c’est la mise en œuvre qui compte, plus que le nombre d’écrans visibles.
Privilégier les méthodes résistantes au phishing
Les codes d’authentificateur améliorent beaucoup de connexions protégées par un simple mot de passe, mais un attaquant peut encore amener un utilisateur à saisir un code sur un faux site. Les passkeys et les clés de sécurité peuvent lier l’authentification au service légitime. Utilisez les méthodes prises en charge adaptées à votre organisation et sachez quels chemins de récupération plus faibles restent disponibles.
Traiter les demandes inattendues comme des indices
N’approuvez pas une notification push que vous n’avez pas initiée. Des demandes répétées ne sont pas une raison d’en accepter une. Signalez l’heure et le compte concernés, puis examinez le compte via une adresse connue. Conservez les codes de récupération en lieu sûr, séparément de l’appareil que vous pourriez perdre.
Exemple appliqué
Mettre en contexte
Un employé reçoit des demandes de connexion répétées alors qu’il est loin de son ordinateur portable. Il les refuse et les signale. En approuver une pour faire cesser le bruit pourrait autoriser la session de quelqu’un d’autre.
Scénario illustratif à visée pédagogique, et non l'affirmation d'un incident réel vérifié chez un client.Erreurs fréquentes
- Compter un mot de passe et un code PIN comme des facteurs indépendants
- Communiquer des codes à usage unique au « support »
- Ignorer les paramètres de récupération
Votre liste de contrôle pratique
Les cases cochées de la liste sont temporaires et ne sont pas enregistrées comme progression du compte.
Récapitulatif
La MFA est plus solide lorsque la méthode résiste au phishing et que les utilisateurs comprennent le processus de récupération et d’approbation.