Authentification multifacteur (MFA)

L'authentification multifacteur (MFA) est un mécanisme de sécurité qui exige qu'un utilisateur fournisse au moins deux preuves d'identité distinctes avant d'accéder à un système. Ces facteurs appartiennent à trois catégories : ce que l'on sait (mot de passe), ce que l'on possède (téléphone, clé matérielle) et ce que l'on est (biométrie). En combinant plusieurs facteurs, le MFA rend la compromission d'un compte nettement plus difficile.

Comment fonctionne le MFA

• L'utilisateur saisit son mot de passe (premier facteur).
• Un second facteur est requis : code OTP, notification push, clé FIDO2 ou données biométriques.
• L'accès n'est accordé qu'une fois les deux facteurs validés.
• Les facteurs adaptatifs évaluent le contexte (localisation, appareil) et n'activent le second facteur qu'en cas de risque détecté.

Méthodes MFA comparées

Exemples et cas d'usage

Une PME active le MFA sur son IdP : chaque connexion à une application SaaS exige un second facteur. Lors d'une tentative de phishing réussie, l'attaquant récupère le mot de passe mais ne peut pas dépasser le second facteur. La NIS2 et ISO/IEC 27001:2022 mentionnent explicitement le MFA parmi les mesures de sécurité attendues pour les entités de taille intermédiaire.

Concepts associés

• Single Sign-On (SSO) et Authentification sans mot de passe
• Passkey
• Article : SSO, SCIM et SAML : technologies clés pour le provisionnement automatisé
• Solution : Corma pour les équipes sécurité

FAQ

La MFA est-elle obligatoire pour la conformité ISO 27001 ?

‍ISO/IEC 27001:2022 et la directive NIS2 recommandent fortement le MFA comme mesure de contrôle des accès. Pour beaucoup d'auditeurs, son absence est un point d'attention majeur.

Quelle est la différence entre MFA et 2FA ?

‍L'authentification à deux facteurs (2FA) est un sous-ensemble du MFA : elle implique exactement deux facteurs. Le MFA en désigne deux ou plus.

Le MFA ralentit-il la productivité ?

‍Avec les méthodes modernes (push, passkey), l'impact est marginal. Les méthodes SMS sont plus contraignantes mais restent plus sûres qu'un mot de passe seul.

Corma gouverne les accès SaaS et assure la cohérence MFA sur l'ensemble de votre parc. Voir Corma pour les équipes sécurité ou demandez une démo.