Le MFA inclus dans une suite bureautique ou dans un fournisseur d'identité déjà payé couvre une part importante du besoin, et il faut commencer par l'activer partout. La question honnête n'est donc pas « faut-il payer pour du MFA ? » mais « quels risques restent ouverts une fois le MFA inclus activé, et lesquels justifient une dépense supplémentaire ? ». Cet article donne la cartographie.
Ce que le MFA inclus traite bien
Activé correctement, un MFA de suite élimine des classes entières d'attaques automatisées :
- Le credential stuffing et le password spraying. Un mot de passe fuité seul ne suffit plus. C'est le gain le plus massif en volume, et il est immédiat.
- La connexion depuis un contexte manifestement anormal, si les politiques conditionnelles sont configurées.
- La couverture du parc fédéré, sans effort d'intégration additionnel, puisque les applications sont déjà raccordées.
- La conformité de premier niveau, en apportant une réponse documentable à l'exigence d'authentification multifacteur citée par NIS2.
Une organisation qui n'a pas encore généralisé son MFA inclus n'a aucune raison d'étudier une solution complémentaire : le rapport entre gain et coût est sans commune mesure.
Où ça s'arrête, point par point
| Besoin | Couvert par le MFA inclus ? | Ce qui manque en pratique |
|---|---|---|
| Blocage des identifiants rejoués | oui | — |
| Politiques conditionnelles de base | souvent, selon le niveau de licence | les règles fines sont fréquemment dans une option payante |
| Méthodes résistantes au relais | possible (FIDO2 pris en charge) | mais SMS, e-mail et push restent souvent activés en parallèle |
| Récupération de compte robuste | rarement | le repli retombe sur un code e-mail ou SMS |
| Validation portant sur une action | non | la preuve porte sur la session, pas sur l'opération |
| Lien dynamique montant et bénéficiaire (DSP2) | non | hors du périmètre d'un MFA d'entreprise |
| Applications hors fédération | non | authentification locale non couverte |
| Détection du vol de jeton de session | partielle | dépend du niveau de licence et de l'outillage |
| Rétention longue des journaux | limitée | souvent une option payante, alors que NIS2 et DORA l'exigent |
| Souveraineté et juridiction applicable | selon l'éditeur | à instruire pour les secteurs sensibles |
| Résistance à la manipulation de l'utilisateur | non | aucun facteur d'intention |
Deux lignes structurent la décision. La ligne « méthodes résistantes au relais » d'abord : la plupart des MFA inclus prennent en charge FIDO2, mais laissent activées par défaut des méthodes relayables. Le niveau de sécurité réel est celui de la méthode la plus faible encore autorisée, pas celui de la meilleure méthode disponible. C'est un réglage, donc un gain gratuit — et pourtant rarement fait.
La ligne « récupération de compte » ensuite : c'est le chemin que prendra l'attaquant, et c'est rarement ce que le MFA inclus traite.
Les quatre réglages gratuits à faire avant toute dépense
- Désactiver les méthodes rejouables sur les populations sensibles : SMS d'abord, conformément à la position du NIST SP 800-63B qui classe l'OTP par SMS et par voix comme « restricted », puis e-mail, puis push simple.
- Activer la correspondance de nombre et l'affichage du contexte si le push reste en service.
- Retirer le mot de passe en repli sur les comptes à privilèges, une fois deux facteurs inscrits.
- Faire inscrire un second facteur à tout le monde. C'est le geste qui réduit le plus le recours au parcours de récupération, donc l'exposition à l'ingénierie sociale.
Ces quatre réglages ne coûtent que du temps d'exploitation et de la communication. Ils devraient être achevés avant toute consultation fournisseur, ne serait-ce que pour savoir ce qui reste réellement à couvrir.
Quand une brique complémentaire se justifie
Trois situations rendent la dépense défendable, et une seule d'entre elles suffit :
| Situation | Ce qui manque | Nature du complément |
|---|---|---|
| Opérations irréversibles (virement, IBAN, signature) | preuve portant sur l'action | validation transactionnelle |
| Exposition forte à la fraude par manipulation | preuve d'intention humaine | facteur cognitif |
| Exigence de souveraineté ou de juridiction | maîtrise de l'hébergement et des données | solution conçue et hébergée en Europe |
| Parcours de récupération critiques | facteur non transmissible en secours | preuve non rejouable, non délégable |
| Populations hors périmètre de la suite | couverture des accès non fédérés | dispositif indépendant de la suite |
La deuxième ligne est celle qui échappe structurellement à tout MFA d'entreprise. Quand un utilisateur légitime réalise lui-même une opération sous l'influence d'un tiers, aucun contrôle de session ne se déclenche : l'authentification est parfaite, la transaction est frauduleuse. Seule une preuve portant sur l'intention, comme celle recherchée par l'authentification cognitive, s'interpose à cet endroit précis.
Éviter le faux calcul
Deux erreurs symétriques se rencontrent en comité d'investissement.
« C'est gratuit, donc c'est suffisant. » Le MFA inclus supprime le volume, pas la classe d'attaques ciblées. Une organisation exposée à des attaques préparées — secteur régulé, données sensibles, opérations financières — se protège contre le bruit de fond, pas contre son adversaire réel.
« C'est gratuit, donc ça ne vaut rien. » Faux également : le gain sur les attaques automatisées est massif et immédiat. Une solution complémentaire se justifie par ce qu'elle ajoute, pas en disqualifiant l'existant.
La position tenable consiste à raisonner en superposition : conserver le MFA inclus pour le volume, ajouter une brique ciblée sur les parcours où l'enjeu le justifie. C'est le principe de l'approche overlay, qui évite de payer deux fois pour la même couverture.
FAQ
Le MFA inclus suffit-il pour NIS2 ?
La directive cite l'authentification multifacteur ou continue parmi les mesures de gestion des risques. Un MFA généralisé constitue une réponse recevable, mais l'exigence est de proportionnalité : sur des systèmes critiques, un facteur relayable et une récupération faible se défendent mal.
Faut-il payer l'option qui débloque les politiques conditionnelles ?
Le plus souvent oui, car ce sont ces règles qui permettent de différencier le niveau d'exigence selon le risque. Sans elles, on choisit entre une contrainte uniforme excessive et une protection uniforme insuffisante.
Peut-on utiliser des passkeys avec un MFA inclus ?
Généralement oui, la prise en charge de FIDO2 est répandue. Le point à vérifier n'est pas la prise en charge mais la possibilité d'interdire les autres méthodes sur les populations sensibles.
Comment justifier une dépense complémentaire alors qu'un MFA existe déjà ?
En désignant précisément le risque non couvert plutôt qu'en comparant des fonctionnalités. Un dossier qui identifie un scénario concret que l'existant ne traite pas est nettement plus solide qu'un tableau comparatif générique.
Aller plus loin : pilier : authentification cognitive · l'approche overlay · les postes de coût d'une solution MFA · MFA résistant au phishing