Une migration passwordless est un projet de conduite du changement et d'inventaire, pas un projet technique. Les briques existent et s'intègrent bien ; ce qui fait dérailler les calendriers, ce sont les applications découvertes en cours de route, les populations sans solution prévue et un support saturé au pire moment. Voici une trame de projet et les pièges correspondants.
Phase 1 — L'inventaire, seul déterminant du calendrier
Le contenu de cette phase conditionne tout le reste. Quatre inventaires à produire :
- Les parcours d'authentification, pas les applications. Une même application peut avoir une connexion fédérée, une connexion locale de secours et une interface d'administration séparée : ce sont trois parcours.
- Les populations, avec leurs contraintes réelles : postes partagés, ateliers sans appareil personnel, sites sans réseau, prestataires, populations externes, comptes de direction.
- Les comptes non humains : services, tâches planifiées, intégrations, clés d'API. Ils ne migrent pas vers le passwordless ; ils relèvent d'un coffre à secrets et d'une rotation.
- Les parcours de secours existants : récupération de compte, reset au helpdesk, procédures d'urgence. C'est là que se situe le plancher de sécurité actuel.
Le livrable attendu tient en une ligne par parcours : méthode actuelle, méthode cible, repli existant, date de retrait du repli. Sans cette dernière colonne, le projet produira de l'adoption sans produire de sécurité.
Phase 2 — Le pilote qui apprend quelque chose
Un pilote mené sur des volontaires du service informatique ne révèle presque rien. Choisissez une population qui cumule un enjeu réel et des contraintes représentatives : les administrateurs pour l'exigence, une équipe métier pour l'ergonomie, éventuellement un site distant pour la logistique.
Ce que le pilote doit produire :
| Mesure | Pourquoi elle compte |
|---|---|
| Durée réelle d'un enrôlement accompagné | dimensionne les vagues suivantes |
| Volume de tickets pendant les deux premières semaines | dimensionne le renfort de support |
| Taux d'inscription d'un second facteur | prédit la charge future de récupération |
| Motifs d'échec rencontrés | révèle les populations non couvertes |
| Perception utilisateur en fin de pilote | anticipe les résistances à grande échelle |
Phase 3 — Les vagues
Le déploiement par vagues est préférable à la bascule générale pour une raison simple : il permet d'ajuster. Trois règles de conduite :
- Une vague par population homogène, jamais par ordre alphabétique ou par site pris au hasard.
- Renfort de support planifié sur les dix jours suivant chaque vague, avec des créneaux d'assistance à l'enrôlement plutôt qu'un simple numéro d'appel.
- Inscription de deux facteurs pendant la vague, au moment où l'utilisateur est accompagné. C'est le seul moment où cela ne coûte presque rien, et c'est ce qui évitera des mois d'appels au support.
Phase 4 et 5 — Retirer les replis, puis borner le résiduel
C'est la phase qu'on repousse, et c'est celle qui produit la sécurité. Tant que le mot de passe reste accepté, l'attaquant l'utilise ; le déploiement n'a acheté que du confort.
Ordre recommandé pour le retrait :
| Rang | Repli à retirer | Prérequis |
|---|---|---|
| 1 | mot de passe sur les comptes à privilèges | deux facteurs inscrits, procédure de bris de glace testée |
| 2 | OTP e-mail et SMS sur les parcours de récupération | second justificatif préinscrit, alternative documentée |
| 3 | mot de passe sur les accès distants exposés | couverture complète de la population concernée |
| 4 | mot de passe sur les applications fédérées | seuil d'adoption atteint, support stabilisé |
| 5 | dérogations temporaires accordées pendant les vagues | revue nominative, date d'expiration |
Le rang 5 mérite un mot : toute dérogation doit naître avec une date d'expiration. Les dérogations sans échéance sont le mécanisme par lequel les mots de passe reviennent silencieusement.
Le périmètre résiduel
Aucune organisation n'atteint zéro. Il restera des systèmes anciens, des équipements industriels, des comptes de dernier recours. Documentez-les dans un registre : système, raison du maintien, population concernée, mesures compensatoires, date de revue. C'est également ce qu'un auditeur attend, et cela vaut mieux qu'une déclaration générale invérifiable.
Les sept pièges les plus fréquents
- Découvrir les comptes de service en phase 3. Ils décalent tout le calendrier. Inventoriez-les en phase 1, avec un traitement distinct.
- Ne pas traiter la récupération de compte en premier. Elle définit le plancher : la renforcer tard revient à construire sur du sable.
- Sous-dimensionner le support. Un pic non absorbé produit des dérogations, et une dérogation est un mot de passe qui revient.
- Confondre passwordless et résistance au phishing. Un magic link ou un code à usage unique supprime le mot de passe tout en restant relayable par un proxy inverse. Le critère à viser est l'absence de valeur rejouable.
- Oublier les populations atypiques. Sans alternative prévue, elles produiront un contournement organisé.
- Négliger la communication. Les utilisateurs acceptent un changement expliqué ; ils résistent à un changement subi. Le coût de la communication est faible comparé au coût de la résistance.
- Ne pas mesurer avant de commencer. Sans photographie initiale de la volumétrie de support, aucun bénéfice ne pourra être démontré à la direction.
Réduire le coût de la migration
Deux leviers font baisser sensiblement l'effort d'intégration. Le premier consiste à agir au niveau du fournisseur d'identité plutôt qu'application par application : les parcours fédérés bénéficient alors du changement sans modification unitaire. Le second consiste à déployer le nouveau facteur en superposition de la MFA existante plutôt qu'en remplacement, ce qui permet de commencer par les parcours à plus fort enjeu sans attendre une refonte complète.
C'est la logique du continuum 2FA vers 4FA porté par l'authentification cognitive : conserver l'existant, ajouter une preuve d'intention humaine là où l'enjeu le justifie, puis étendre progressivement.
FAQ
Par où commencer si les ressources sont limitées ?
Par les comptes à privilèges et par le retrait des méthodes rejouables des parcours de récupération. Ce sont les deux actions au meilleur rapport entre effort consenti et risque retiré, et elles ne supposent pas de couvrir tout le parc.
Combien de temps dure une migration complète ?
Cela dépend du nombre de parcours et du nombre de populations atypiques, bien plus que de la taille de l'organisation. Une entreprise de taille moyenne avec un système d'information homogène ira plus vite qu'une structure plus petite mais très hétérogène.
Faut-il tout migrer d'un coup ou cohabiter ?
La cohabitation est inévitable, mais elle doit être bornée dans le temps et documentée. Une cohabitation sans date de fin devient un état permanent, avec le coût de deux dispositifs et la sécurité du plus faible.
Comment gérer les résistances des directions métier ?
En traitant leurs parcours en priorité et en mesurant l'impact sur leur activité. Une direction qui constate une réduction des interruptions liées aux accès devient un relais ; une direction à qui l'on impose une contrainte sans contrepartie visible devient un obstacle.
Aller plus loin : pilier : authentification cognitive · supprimer les mots de passe : dans quel ordre · l'approche overlay · panorama du passwordless