MFA résistant à l'hameçonnage : passer aux passkeys FIDO2

Activer la MFA reste l'une des mesures de sécurité les plus efficaces que vous puissiez déployer, mais toutes les méthodes ne se valent pas. Les codes reçus par SMS, par e-mail ou générés dans une application d'authentification peuvent être interceptés ou détournés par un site d'hameçonnage qui rejoue vos identifiants en temps réel. Les attaquants exploitent aussi la fatigue liée aux notifications push, en envoyant des demandes d'approbation à répétition jusqu'à ce qu'un utilisateur cède par lassitude. Le résultat est frustrant : vous pensez être protégé, alors qu'une brèche subsiste. Cet article explique pourquoi ces méthodes montrent leurs limites et comment les passkeys FIDO2 y répondent concrètement.

Pourquoi SMS et codes d'application ne suffisent plus

Le point commun de ces méthodes est qu'elles reposent sur un secret que l'utilisateur peut transmettre, volontairement ou non. Or un site de phishing bien conçu se place entre l'utilisateur et le service légitime, capture le code au moment où il est saisi, et le rejoue immédiatement. La MFA classique ralentit l'attaquant, mais ne l'arrête pas.

• SMS : vulnérable au SIM swapping et à l'interception réseau.
• Codes à usage unique (OTP) d'application : saisissables sur un faux site qui les relaie aussitôt.
• Notifications push simples : sensibles au harcèlement d'approbation (MFA fatigue).
• Aucune de ces méthodes ne vérifie l'adresse réelle du site auquel vous vous connectez.

L'attaque en temps réel, expliquée simplement

Imaginez un employé qui reçoit un e-mail imitant le portail de connexion de l'entreprise. Il clique, arrive sur une page identique à la vraie, saisit son mot de passe puis son code d'application. En coulisses, un serveur proxy contrôlé par l'attaquant transmet ces informations au vrai service au même instant, récupère le jeton de session et prend la main. L'employé n'a rien vu d'anormal : il a bien reçu son code, il l'a bien saisi. C'est précisément ce scénario, dit adversary-in-the-middle, que les passkeys rendent inopérant.

Ce que les passkeys FIDO2 changent

Une passkey repose sur la cryptographie à clé publique. La clé privée ne quitte jamais l'appareil ou la clé de sécurité, et l'authentification est liée au domaine légitime. Concrètement, une passkey refuse tout simplement de signer une demande provenant d'un faux domaine : le phishing en temps réel devient inopérant, puisqu'il n'y a plus aucun secret réutilisable à voler.

• Résistance à l'hameçonnage : la vérification du domaine est intégrée au protocole.
• Rien à recopier : aucun code à intercepter ou à saisir sur un faux site.
• Déblocage local par biométrie ou code PIN, jamais transmis au serveur.
• Formats variés : clés de sécurité physiques, Windows Hello, passkeys de plateforme.

Choisir le bon format selon les usages

Il n'existe pas de format unique idéal. Une clé de sécurité physique (par exemple une clé USB ou NFC certifiée FIDO2) convient parfaitement aux comptes à privilèges et aux postes partagés, car elle est indépendante de l'appareil. Windows Hello Entreprise s'appuie sur la biométrie ou un PIN et convient aux postes nominatifs. Les passkeys de plateforme, synchronisées via l'écosystème du terminal, facilitent l'adoption sur mobile. Beaucoup d'organisations combinent les trois selon les profils.

Comment l'imposer par étapes

Le passage aux passkeys ne se fait pas d'un bloc. On commence par les comptes les plus exposés, on teste, puis on généralise une fois les usages validés et les utilisateurs équipés. Une bascule brutale sur tout le tenant est le meilleur moyen de générer des blocages et de braquer les équipes.

1. 1Activez les méthodes résistantes à l'hameçonnage dans Microsoft Entra (passkeys FIDO2, Windows Hello Entreprise).
2. 2Enrôlez d'abord les comptes à privilèges (administrateurs), cibles prioritaires des attaquants.
3. 3Exigez une force d'authentification résistante à l'hameçonnage via une politique d'Accès conditionnel pour les rôles sensibles.
4. 4Testez la politique en mode rapport pour mesurer l'impact avant de l'appliquer.
5. 5Étendez progressivement aux utilisateurs standards après une phase de test et de communication.

Commencer par les comptes à privilèges

Un compte administrateur compromis, c'est potentiellement tout le tenant qui bascule. C'est pourquoi les administrateurs doivent être les premiers protégés par une authentification résistante à l'hameçonnage. L'enjeu est faible en volume (quelques comptes), l'impact en sécurité est maximal, et cela vous permet de roder la procédure d'enrôlement avant de l'étendre à des centaines d'utilisateurs.

Anticiper les objections des utilisateurs

Tout changement d'authentification suscite des questions. Les passkeys sont pourtant plus simples à l'usage qu'un code à recopier : un regard ou une empreinte suffisent. Pour réussir la transition, préparez une communication claire, prévoyez une méthode de secours en cas de perte de l'appareil, et accompagnez les premiers utilisateurs.

• Expliquez le gain concret : moins de codes à saisir, plus de sécurité.
• Prévoyez au moins deux méthodes enregistrées par utilisateur pour éviter le blocage.
• Documentez la procédure de réenrôlement en cas de perte ou de vol.
• Suivez le taux d'adoption et relancez les retardataires.

Prévoir une méthode de secours fiable

La crainte la plus fréquente est simple : que se passe-t-il si je perds ma clé ou mon téléphone ? Sans réponse claire, l'adoption patine. Prévoyez donc au moins une seconde méthode résistante à l'hameçonnage par utilisateur et une procédure d'assistance rapide pour réenrôler un appareil perdu. Évitez de retomber sur le SMS comme secours, sous peine de rouvrir exactement la faille que vous cherchiez à fermer.

Les erreurs classiques à éviter

• Laisser le SMS actif comme méthode de repli, ce qui annule le bénéfice des passkeys.
• Exclure durablement les administrateurs de la politique « pour ne pas se bloquer », puis oublier de retirer l'exclusion.
• Activer la contrainte sans phase de test ni communication, et provoquer une vague de tickets.
• N'enregistrer qu'une seule méthode par utilisateur, garantissant un blocage à la première perte d'appareil.
• Ne jamais vérifier, après coup, que la politique s'applique réellement au périmètre visé.

Comment AuPoint vous aide

AuPoint aide à déployer ces politiques d'Accès conditionnel en langage clair, sans PowerShell, avec un aperçu de l'impact avant activation pour éviter tout auto-verrouillage. Vous visualisez quels comptes seraient concernés avant d'appuyer sur le bouton, ce qui supprime la principale source d'angoisse lors d'un durcissement de l'authentification. La plateforme relie ensuite cette mesure aux référentiels concernés et calcule un score de couverture.

Questions fréquentes

Une passkey remplace-t-elle totalement le mot de passe ?

Elle peut le remplacer dans les scénarios sans mot de passe, ou s'y ajouter comme second facteur résistant à l'hameçonnage. Beaucoup d'organisations démarrent avec la passkey comme facteur fort, puis évoluent vers une connexion réellement sans mot de passe une fois les usages stabilisés.

Faut-il obligatoirement acheter des clés physiques ?

Non. Windows Hello Entreprise et les passkeys de plateforme ne nécessitent aucun achat de matériel supplémentaire. Les clés physiques restent recommandées pour les comptes à privilèges et les postes partagés, où l'indépendance vis-à-vis de l'appareil est un atout.

Les passkeys fonctionnent-elles sur mobile ?

Oui. Les principaux systèmes mobiles prennent en charge les passkeys, avec déblocage par biométrie. C'est souvent le format le plus fluide pour les utilisateurs nomades, à condition de prévoir une méthode de secours en cas de changement de terminal.

En résumé, les passkeys FIDO2 ferment une brèche que la MFA classique laisse ouverte, et leur déploiement se maîtrise en procédant par étapes. Avec AuPoint, vous déployez ces politiques d'Accès conditionnel en langage clair, vous prévisualisez leur impact, et vous générez un rapport de conformité daté et exportable en PDF, avec un score de couverture par référentiel (ISO 27001, NIS2, RGPD). Vous prouvez ainsi que votre authentification forte est réellement en place, et pas seulement annoncée.