Une solution d'authentification ne se choisit pas par méthode (« il nous faut des passkeys ») mais par risque d'action : la même organisation peut légitimement utiliser trois dispositifs différents selon qu'il s'agit d'une connexion courante, d'un accès administrateur ou d'un virement. Voici une grille de décision et les critères sur lesquels comparer réellement les offres.
Étape 1 — Classer les parcours, pas les outils
Commencez par lister vos parcours d'authentification et attribuez à chacun un impact en cas de compromission :
| Niveau | Exemples de parcours | Exigence minimale raisonnable |
|---|---|---|
| 1 — Courant | consultation, connexion à un outil interne | méthode liée à l'origine (passkey), fluidité prioritaire |
| 2 — Sensible | accès à des données personnelles, export, modification de profil | méthode liée à l'origine + session courte |
| 3 — Critique | accès administrateur, PAM, production | liaison à l'origine obligatoire + traçabilité + réauthentification |
| 4 — Irréversible | virement, changement d'IBAN, signature d'engagement | validation de l'action avec contexte affiché |
| 5 — Périphérique | récupération de compte, enrôlement, reset helpdesk | jamais plus faible que le facteur principal |
Le niveau 5 est celui qu'on oublie systématiquement. Le niveau de sécurité réel d'un système est celui de son parcours de récupération le plus faible — un attaquant ne se bat pas contre votre meilleure défense, il cherche la plus mauvaise.
Étape 2 — Éliminer ce qui est rejouable
Le critère discriminant n'est pas « avons-nous plusieurs facteurs ? » mais « un attaquant qui intercepte tout peut-il rejouer quelque chose ? ».
- À écarter des niveaux 3, 4 et 5 : SMS-OTP, OTP e-mail, TOTP, notification push seule. Toutes transmettent une valeur relayable en temps réel par un proxy inverse.
- Acceptables en connexion : passkey/FIDO2 et clés physiques, grâce à la liaison à l'origine.
- Nécessaire au niveau 4 : une preuve portant sur l'action elle-même, pas seulement sur l'ouverture de session.
Étape 3 — Vérifier ce qui se passe après la connexion
Beaucoup d'évaluations s'arrêtent à l'authentification initiale. Trois questions à poser :
- Que vaut la session ? Durée de vie, révocabilité, détection d'usage anormal d'un jeton volé.
- Peut-on demander une validation en cours de session sur une action sensible (step-up) ?
- Que se passe-t-il si l'appareil est perdu ? Le parcours de secours définit le plancher.
Étape 4 — Comparer sur des critères vérifiables
Un tableau d'évaluation utile porte sur des éléments démontrables, pas sur des promesses :
| Critère | Question à poser | Pourquoi ça compte |
|---|---|---|
| Résistance au relais | La réponse est-elle liée à l'origine / non rejouable ? | Discrimine les méthodes réellement anti-phishing |
| Portée de la preuve | Authentifie-t-on la session ou l'action ? | Détermine la couverture des fraudes « autorisées » |
| Récupération | Quel est le parcours de secours, et son niveau ? | C'est le plancher de sécurité réel |
| Enrôlement | Comment l'identité initiale est-elle établie ? | Plafonne la valeur de tout le reste |
| Données détenues | Quelles données personnelles/biométriques, stockées où ? | RGPD, exposition en cas de fuite |
| Souveraineté | Quelle juridiction, quel hébergement, quelles dépendances ? | Analyse d'exposition extraterritoriale |
| Intégration | Overlay sur l'IdP existant, ou refonte ? | Détermine le coût et le délai réels |
| Traçabilité | Que peut-on produire six mois après, en cas de litige ? | Exigence NIS2/DORA, et opposabilité |
| Résilience future | Feuille de route post-quantique ? | Cycles de renouvellement longs (PKI, cartes) |
| UX | Combien d'actions pour l'utilisateur, sur les parcours fréquents ? | Conditionne l'adoption, donc la sécurité réelle |
Étape 5 — Chiffrer le coût complet
Le prix par utilisateur est la partie visible. Les postes qui font basculer un business case :
- Support : réinitialisations, appareils perdus, assistance à l'enrôlement.
- Intégration : nombre d'applications à raccorder, dette technique, systèmes historiques.
- Matériel : achat, distribution et remplacement des clés physiques le cas échéant.
- Conduite du changement : formation, documentation, population pilote.
- Coût évité : incidents, fraude, temps de helpdesk, pénalités réglementaires potentielles.
Un dispositif qui divise les tickets de réinitialisation peut s'autofinancer par le support seul, indépendamment du gain de sécurité.
Étape 6 — Piloter par le risque résiduel
Aucun dispositif ne couvre tout. La bonne conclusion d'une évaluation n'est pas « nous sommes protégés » mais « voici ce qui reste ouvert, et voici la contre-mesure ». Exemples de risques résiduels à documenter explicitement : vol de session, compromission de l'appareil, manipulation de l'utilisateur (fraude au faux conseiller), parcours de secours, dépendance fournisseur.
C'est sur le risque de manipulation que se situe l'apport spécifique du facteur cognitif : prouver qu'un humain conscient est à l'origine de l'action, là où les autres facteurs prouvent la présence d'un secret, d'un objet ou d'un gabarit.
FAQ
Faut-il une seule solution pour toute l'organisation ?
Rarement. L'homogénéité simplifie l'exploitation, mais imposer le dispositif du niveau 4 à tous les parcours crée de la friction inutile — et la friction inutile produit du contournement.
Comment comparer deux offres qui affirment toutes deux être « anti-phishing » ?
Posez une question factuelle : la réponse d'authentification est-elle liée au domaine et non rejouable ? Si une valeur peut être saisie sur une autre page et relayée, l'affirmation ne tient pas.
Quel poids donner à la souveraineté ?
Cela dépend de votre exposition réglementaire et de la sensibilité des données. Pour une entité NIS2 ou un acteur public, la juridiction applicable et la localisation des données sont des critères de décision, pas des préférences.
Par où commencer si le budget est contraint ?
Par les administrateurs (population la plus ciblée) et par le retrait du SMS-OTP des parcours sensibles. Ce sont les deux actions au meilleur rapport risque/coût.
Aller plus loin : pilier : authentification cognitive · MFA résistant au phishing · panorama du passwordless · ROI d'une authentification forte