La double authentification, c'est une deuxième preuve demandée après le mot de passe pour se connecter à un compte : un code affiché par une application, une notification à valider sur son téléphone ou une petite clé USB. Même si quelqu'un vole votre mot de passe, il reste bloqué devant cette deuxième porte.
La double authentification, c’est une deuxième preuve demandée après le mot de passe pour se connecter à un compte : un code affiché par une application, une notification à valider sur son téléphone ou une petite clé USB. Même si quelqu’un vole votre mot de passe, il reste bloqué devant cette deuxième porte.
On l’appelle aussi « vérification en deux étapes », « 2FA » (pour two-factor authentication) ou « MFA » (authentification multifacteur). Les noms changent selon les services, le principe reste le même. Voici comment ça marche, quelle méthode choisir et sur quels comptes l’activer en premier dans une petite entreprise.
Un exemple concret : la boutique en ligne d’une fleuriste montpelliéraine
Prenons un cas imaginaire, mais très courant. Une fleuriste de Montpellier vend ses bouquets sur un site WordPress avec WooCommerce. Pour se connecter à l’administration du site, elle utilise le même mot de passe que sur un ancien site de fournitures, piraté il y a deux ans. Ce mot de passe circule dans des listes que les pirates testent automatiquement.
Sans double authentification, un robot essaie l’adresse e-mail et le mot de passe sur la page de connexion de la boutique. Ça marche. Il peut installer une extension malveillante, modifier la page de paiement pour récupérer les numéros de carte des clients, ou vider la base de commandes. La CNIL décrit exactement ce scénario dans ses règles de sécurité pour les petites structures : le parcours de paiement d’un site marchand modifié par un tiers, avec, parmi les bonnes pratiques, l’activation de la double authentification sur le compte administrateur.
Avec la double authentification, le robot entre le bon mot de passe, puis le site lui demande le code à six chiffres affiché dans l’application de la fleuriste. Il ne l’a pas. La tentative s’arrête là.
C’est tout l’intérêt : la double authentification ne rend pas le mot de passe plus solide, elle rend le mot de passe volé inutile à lui seul. Pour vérifier si l’un des vôtres a déjà fuité, voyez notre article comment savoir si son mot de passe a été piraté.
Comment ça marche : les trois familles de preuves
Pour prouver qui l’on est, il existe trois types de « facteurs » :
- Ce que vous savez : un mot de passe, une phrase de passe, un code PIN.
- Ce que vous possédez : votre téléphone, une clé de sécurité physique, une carte à puce.
- Ce que vous êtes : votre empreinte digitale ou votre visage.
La double authentification combine deux familles différentes, le plus souvent un mot de passe et un téléphone. Deux mots de passe à la suite ne comptent pas : qui a volé l’un a pu voler l’autre.
Quelle méthode choisir
Du moins solide au plus solide :
| Méthode | Comment ça se passe | Point faible |
|---|---|---|
| Code par SMS | Un code arrive par texto à chaque connexion | Peut être intercepté ou détourné (vol de la ligne par « SIM swapping ») |
| Code par e-mail | Un code arrive dans la boîte mail | Si la boîte mail est piratée, le pirate reçoit aussi le code |
| Application d’authentification | Une appli (Google Authenticator, Microsoft Authenticator…) affiche un code qui change toutes les 30 secondes | Il faut sauvegarder les codes de secours au cas où le téléphone est perdu |
| Notification à valider | Le téléphone affiche « Est-ce bien vous ? », on valide d’un geste | Un pirate peut envoyer des demandes en boucle en espérant un clic par lassitude |
| Clé de sécurité ou clé d’accès (passkey) | On branche une petite clé USB ou on valide avec l’empreinte du téléphone | Un peu plus de mise en place, et prévoir une deuxième clé de secours |
Pour une petite entreprise, notre conseil est simple : une application d’authentification partout où c’est possible, et une clé de sécurité pour les deux ou trois comptes les plus critiques (la messagerie de l’entreprise, l’hébergement du site, la banque si elle le propose). Le SMS reste mieux que rien : dans une étude de 2019, Google a mesuré qu’un code SMS bloquait 100 % des robots, 96 % de l’hameçonnage de masse et 76 % des attaques ciblées sur les comptes testés, contre 100 %, 99 % et 90 % pour une validation sur le téléphone.
Une précision honnête : la double authentification n’arrête pas tout. Certaines attaques volent la session une fois la connexion faite, sans passer par le code. C’est ce qui s’est produit en 2026 sur des comptes Microsoft 365, comme on l’explique dans l’attaque par vol de jeton qui contourne le MFA. Les clés de sécurité y résistent mieux, car elles refusent de répondre à un faux site.
Ce que ça change pour votre site
Sur un site d’entreprise, la double authentification protège surtout les comptes qui ont le pouvoir de tout modifier. Voici où l’activer, dans cet ordre :
- La messagerie de l’entreprise. C’est la clé de tout le reste : la plupart des services permettent de réinitialiser un mot de passe par e-mail. Une boîte piratée ouvre donc les autres comptes. La CNIL cite d’ailleurs en premier les boîtes de courriels, les comptes administrateurs et les services en ligne.
- L’hébergement et le nom de domaine. Celui qui y accède peut faire pointer votre adresse vers un autre site ou couper vos e-mails.
- L’administration du site. Sur WordPress, la fonction n’est pas incluse de base : il faut une extension. Celle qui s’appelle simplement « Two-Factor », maintenue par des contributeurs de WordPress et gratuite, gère les applications d’authentification, les codes par e-mail et les codes de secours. Activez-la au minimum pour tous les comptes administrateurs.
- Les outils qui touchent à l’argent ou aux clients : la plateforme de paiement, le compte publicitaire, la fiche Google de l’établissement, les réseaux sociaux de l’entreprise.
Côté clients, inutile d’imposer un code à chaque achat. Mais si votre site propose un espace client avec des documents sensibles (dossiers, factures), offrir la double authentification en option est un vrai plus.
Enfin, pensez aux comptes partagés. Une boutique où trois personnes utilisent le même identifiant administrateur ne peut pas activer proprement la double authentification : le code n’arrive que sur un seul téléphone. Il faut d’abord un compte par personne, ce qui permet aussi de couper l’accès d’un salarié qui part. C’est typiquement le genre de réglage qu’on fait lors de la maintenance d’un site WordPress.
Ce que ça coûte
Presque rien :
- Les applications d’authentification sont gratuites.
- L’extension WordPress Two-Factor est gratuite et open source.
- Microsoft 365 propose des « paramètres de sécurité par défaut » qui imposent la double authentification à tous les utilisateurs sans licence supplémentaire. Microsoft les active d’office sur les nouveaux comptes d’entreprise.
- Une clé de sécurité physique coûte quelques dizaines d’euros : la Security Key NFC de Yubico est vendue 34,80 € TTC sur la boutique du fabricant (prix relevé le 28 octobre 2026). Prévoyez-en deux par personne, dont une de secours.
Le vrai coût est le temps de l’activer et de ranger les codes de secours. À comparer avec un compte piraté : site à nettoyer, clients à prévenir, commandes perdues, parfois une déclaration à la CNIL si des données personnelles ont fuité.
Les erreurs fréquentes
- Ne pas garder les codes de secours. À l’activation, la plupart des services fournissent une liste de codes à usage unique. Sans eux, un téléphone perdu peut vous bloquer dehors pendant des jours. Rangez-les dans un gestionnaire de mots de passe ou sur papier en lieu sûr.
- Mettre le deuxième facteur sur la boîte mail qu’il protège. Un code reçu par e-mail pour sécuriser cette même boîte ne sert à rien.
- Lier tous les comptes au téléphone personnel d’un seul salarié. Le jour où il part ou change de numéro, l’entreprise perd l’accès. Prévoyez au moins deux personnes, ou deux appareils, capables de valider les comptes critiques.
- Valider une notification qu’on n’a pas demandée. Si votre téléphone vous demande de confirmer une connexion alors que vous n’êtes pas en train de vous connecter, c’est que quelqu’un a votre mot de passe. Refusez, puis changez-le.
Questions fréquentes
Que faire si je perds mon téléphone ?
Connectez-vous avec un code de secours, puis enregistrez votre nouveau téléphone dans les réglages de sécurité du compte et supprimez l’ancien. Sans code de secours, il faut passer par la procédure de récupération du service, souvent longue.
Le SMS est-il vraiment déconseillé ?
L’ANSSI recommande de ne pas utiliser le SMS pour recevoir un facteur d’authentification, car le message peut être intercepté. Mais elle reconnaît qu’en l’absence d’alternative, il aide à limiter les connexions frauduleuses. Si un service ne propose que le SMS, activez-le quand même.
Est-ce que ça rend la connexion pénible au quotidien ?
Beaucoup moins qu’on le croit. De nombreux services proposent de mémoriser un appareil de confiance : le code n’est alors demandé qu’à la première connexion depuis un nouvel ordinateur, ou de temps en temps. Avec une application, valider prend quelques secondes.
Les passkeys remplacent-elles la double authentification ?
En quelque sorte. Une passkey (clé d’accès) remplace le mot de passe par une clé enregistrée sur votre téléphone ou une clé physique, déverrouillée par votre empreinte ou votre code. Elle réunit déjà deux facteurs en un seul geste, et elle ne fonctionne pas sur un faux site. Quand un service la propose, c’est une très bonne option.
Voir aussi
- Vol de jeton : l’attaque qui vole la session après la connexion, et donc contourne le deuxième facteur.
- Gestionnaires de mots de passe : l’endroit où ranger mots de passe et codes de secours.
Besoin d’un coup de main pour sécuriser votre site ? On active la double authentification sur l’administration de votre site WordPress, on crée un compte par personne et on vérifie les accès à l’hébergement dans le cadre de notre offre d’hébergement et maintenance. Nos formules sont détaillées sur la page tarifs. Appelez-nous au 04 11 78 90 73 ou écrivez-nous via la page contact.
Sources
- CNIL, Sécurité des données : les règles essentielles pour protéger les données et votre activité (recommandation n° 3 et cas du site marchand piraté).
- ANSSI, Recommandations relatives à l’authentification multifacteur et aux mots de passe, guide ANSSI-PG-078, 8 octobre 2021 (recommandation R8 sur le SMS).
- Google Security Blog, New research: How effective is basic account hygiene at preventing hijacking, 17 mai 2019.
- Microsoft Learn, Configure security defaults for Microsoft Entra ID.
- WordPress.org, extension Two-Factor.
- Yubico, Security Key NFC, prix relevé le 28 octobre 2026.
