Activer la double authentification sur vos outils

Un mot de passe seul ne suffit plus à protéger un outil de travail. La double authentification ajoute une seconde preuve à la connexion : un code sur votre téléphone, une validation dans une application ou une clé de sécurité. Ce guide vous aide à l'activer là où elle compte le plus, puis à l'étendre à votre équipe.

Pourquoi un mot de passe ne suffit pas

Un mot de passe peut fuiter sans que vous ayez rien fait de mal : un site piraté où vous l'aviez réutilisé, un faux e-mail qui imite une page de connexion, un mot de passe trop simple. Avec le mot de passe seul, la personne qui l'a récupéré entre comme vous.

Avec la double authentification, ce mot de passe ne suffit plus. Il faut aussi votre téléphone ou votre clé, que cette personne n'a pas. C'est l'une des protections les plus simples à mettre en place, et l'une des plus utiles.

Par quels outils commencer

Commencez par les outils où une intrusion ferait le plus de dégâts, dans cet ordre :

• Votre messagerie d'abord. C'est elle qui reçoit les liens « mot de passe oublié » de vos autres outils : qui contrôle votre boîte mail peut réinitialiser la plupart de vos mots de passe.
• Votre banque, pour l'accès à vos comptes et aux paiements.
• Votre facturation et votre comptabilité, qui contiennent vos clients, vos montants et vos coordonnées bancaires.
• Votre stockage de fichiers, comme Google Drive, Dropbox ou OneDrive, où se trouvent souvent vos contrats et vos documents sensibles.
• Votre CRM et les autres outils qui contiennent des données de clients.

L'option ne porte pas le même nom partout. Cherchez « validation en deux étapes », « authentification à deux facteurs », « authentification multifacteur » ou « 2FA » dans les paramètres de sécurité de votre compte.

Quelle méthode choisir

La plupart des outils proposent plusieurs méthodes. Elles ne se valent pas :

• Une application d'authentification sur votre téléphone, qui affiche un code à usage unique renouvelé à intervalles réguliers. C'est le bon choix par défaut quand l'outil le propose.
• Le SMS, mieux que rien, mais moins sûr : un fraudeur peut parfois détourner votre numéro vers une autre carte SIM. Ne le gardez que si l'outil ne propose rien d'autre.
• Une clé de sécurité physique, à brancher ou à approcher du téléphone. C'est la protection la plus solide, à réserver aux comptes les plus exposés : l'administrateur principal, la banque, la personne qui paie les factures.

Gardez vos codes de secours en lieu sûr. À l'activation, la plupart des outils proposent des codes de secours à usage unique. Ils vous sauvent le jour où vous perdez votre téléphone. Imprimez-les ou rangez-les dans un gestionnaire de mots de passe, mais pas uniquement sur le téléphone qu'ils doivent remplacer.

Dernier réflexe : si une application vous demande d'approuver une connexion que vous n'avez pas lancée, refusez. Quelqu'un essaie peut-être d'entrer avec votre mot de passe.

L'étendre à toute l'équipe

Une seule boîte mail mal protégée suffit à ouvrir une porte. La double authentification doit donc concerner tout le monde, pas seulement le dirigeant. Dans Google Workspace comme dans Microsoft 365, un administrateur peut la rendre obligatoire pour toute l'organisation depuis la console d'administration. Cherchez-y les réglages de sécurité liés à la validation en deux étapes ou à l'authentification multifacteur. Pour que cela se passe bien :

• Prévenez l'équipe quelques jours avant, avec une date claire.
• Prévoyez un moment pour aider ceux qui bloquent.
• Décidez à l'avance qui aide une personne qui a perdu son téléphone, et comment vérifier que c'est bien elle.

Votre liste de contrôle

• La double authentification est active sur ma messagerie.
• Elle est active sur ma banque, ma facturation et ma comptabilité.
• Elle est active sur mon stockage de fichiers et mon CRM.
• J'utilise une application d'authentification plutôt que le SMS quand c'est possible.
• Mes codes de secours sont rangés en lieu sûr, pas seulement sur mon téléphone.
• La double authentification est obligatoire pour toute l'équipe.