NIST SP 800-63 est un référentiel fédéral américain. Il n'a aucune valeur contraignante en Europe : personne ne vous sanctionnera pour ne pas l'appliquer. Il s'est pourtant imposé comme la langue technique commune de l'authentification, au point d'apparaître dans les questionnaires de sécurité et les appels d'offres européens. Le lire comme une grille d'évaluation — et non comme une obligation — est la manière la plus rentable de s'en servir.
Cet article propose une lecture opérationnelle et ne constitue pas un avis juridique. Un référentiel non contraignant peut néanmoins devenir opposable dès qu'il est cité dans un contrat ou dans un cahier des charges.
Trois briques que le référentiel refuse de confondre
Sa contribution la plus utile est une séparation que beaucoup d'organisations ne font pas :
- la vérification de l'identité : établir, à l'enrôlement, que la personne est bien celle qu'elle prétend être ;
- l'authentification : vérifier, à chaque accès, que c'est bien la même personne qui revient ;
- la fédération : transporter cette assurance vers une application tierce.
Confondre les deux premières est une erreur fréquente et coûteuse. Une authentification excellente posée sur un enrôlement faible ne protège rien : elle certifie fidèlement le retour d'un compte ouvert par un inconnu. À l'inverse, un enrôlement rigoureux ne compense jamais une connexion contournable. La solidité de l'ensemble se lit sur le plus faible des deux maillons.
Chacune de ces briques est graduée. Pour l'authentification, on parle de niveaux d'assurance d'authentification (AAL) : du niveau de base, où un facteur unique peut suffire, jusqu'au niveau le plus élevé, qui impose un authentifiant matériel résistant au phishing.
Ce que « restricted » signifie concrètement
Le référentiel classe l'OTP transmis par SMS ou par appel vocal comme restricted — usage déconseillé, à n'employer qu'avec une justification explicite et une trajectoire de sortie. Le mot compte : ce n'est pas une interdiction, c'est un avertissement écrit à l'avance.
Pour un parc qui repose encore largement sur le SMS, la conséquence pratique tient en trois points.
D'abord, la charge de la justification bascule. Tant que le SMS était un standard implicite, personne ne demandait pourquoi. Dès qu'un référentiel le qualifie de déconseillé, c'est à vous d'expliquer pourquoi vous le maintenez.
Ensuite, le canal n'est pas maîtrisé. Le message transite par un opérateur, une passerelle et un terminal dont vous ne contrôlez ni l'attribution du numéro ni la sécurité de la carte SIM. Le détournement de carte SIM et l'interception par un site intermédiaire ne demandent aucune compétence rare.
Enfin, le code reste un secret transférable : il peut être lu à voix haute, saisi sur un faux site ou relayé en temps réel. Toute méthode produisant une valeur que l'utilisateur peut communiquer partage cette faiblesse — l'OTP par courriel et le code d'application n'y échappent pas totalement.
On n'authentifie pas un intranet comme une opération sensible
C'est le second apport du référentiel : un niveau d'assurance se choisit en fonction des conséquences d'une usurpation, pas de l'habitude. Un accès dont la compromission provoque une gêne ne se traite pas comme un accès dont la compromission cause un préjudice financier ou un dommage à des personnes.
| Nature de l'accès | Conséquence d'une usurpation | Assurance à viser | Méthodes cohérentes |
|---|---|---|---|
| Consultation d'un contenu interne peu sensible | Gêne limitée | Base | Facteur unique renforcé, fédération depuis l'annuaire |
| Accès applicatif métier standard | Perte de données, désorganisation | Intermédiaire | Deux facteurs indépendants, hors SMS et voix |
| Administration, production, données réglementées | Compromission étendue, atteinte à des tiers | Élevée | Authentifiant matériel ou cryptographique résistant au phishing |
| Validation d'une opération à effet irréversible | Préjudice direct, contentieux | Élevée, avec preuve d'intention | Signature liée à l'action et à son contexte |
La dernière ligne sort du cadre strict du référentiel mais en découle : authentifier une session et valider une action ne sont pas le même geste. C'est la zone que couvrent l'authentification transactionnelle et le facteur cognitif, qui visent à prouver une intention humaine au moment de l'opération.
La résistance au phishing : ce qu'elle couvre, ce qu'elle ne couvre pas
Au niveau d'assurance le plus élevé, le référentiel exige un authentifiant résistant au phishing. Le terme sert souvent de label marketing ; il désigne pourtant un mécanisme précis.
La liaison à l'origine
Avec FIDO2/WebAuthn, la clé cryptographique créée pour un site n'est utilisable que par ce site : c'est le navigateur, non l'utilisateur, qui vérifie l'origine avant de signer. Un faux domaine, même visuellement parfait, n'obtient rien — la clé refuse de répondre. Le jugement humain, maillon qu'attaque le phishing, sort de la boucle. C'est ce qui distingue structurellement une passkey d'un code à usage unique.
Les deux angles morts qui subsistent
L'utilisateur légitime manipulé. La liaison à l'origine établit que vous vous authentifiez sur le bon site. Elle ne dit rien de ce que vous y faites. Un utilisateur convaincu par téléphone d'ajouter un bénéficiaire ou de modifier des coordonnées bancaires réalisera l'opération sur le site authentique, avec un authentifiant irréprochable : la preuve sera parfaite, et l'opération frauduleuse.
Le vol de session après authentification. Une fois la connexion réussie, un jeton de session est émis. S'il est dérobé sur le poste, il permet d'agir sans repasser par l'authentification. La résistance au phishing protège la porte d'entrée, pas la durée du séjour. D'où l'articulation avec NIST SP 800-207 et son principe Zero Trust : « ne jamais faire confiance, toujours vérifier », y compris après la connexion.
Utiliser ce référentiel en Europe
- Classer les parcours par conséquence d'usurpation, avant toute discussion d'outil.
- Recenser les usages d'OTP par SMS ou par voix et les rattacher chacun à un parcours classé.
- Aligner le parcours de récupération de compte sur le niveau visé : c'est le point où l'assurance se perd le plus souvent.
- Introduire la résistance au phishing d'abord sur les accès d'administration.
- Traiter la vie de la session : durée, réévaluation contextuelle, revérification avant action sensible.
- Réutiliser ce vocabulaire dans vos réponses aux questionnaires : il est compris partout.
FAQ
Sommes-nous obligés d'appliquer NIST SP 800-63 en Europe ?
Non. C'est un référentiel fédéral américain, sans portée juridique dans l'Union. Il devient toutefois opposable dès qu'un contrat, un cahier des charges ou un questionnaire client y renvoie, ce qui est de plus en plus fréquent.
Peut-on encore utiliser le SMS pour un second facteur ?
Techniquement oui, et beaucoup d'organisations le font. Le référentiel le classe comme déconseillé, ce qui vous impose de justifier son maintien et de prévoir une sortie. Sur les parcours à forte conséquence, cette justification devient très difficile à tenir.
Un mot de passe plus un code d'application atteint-il le niveau le plus élevé ?
Non. Deux facteurs suffisent à un niveau intermédiaire, mais le niveau le plus élevé requiert un authentifiant matériel résistant au phishing. Un code saisi par l'utilisateur reste relayable par un site intermédiaire.
Comment se situe ce référentiel par rapport aux textes européens ?
Il est technique là où les textes européens sont téléologiques. Les exigences de NIS2, DORA ou DSP2 décrivent des objectifs de robustesse ; NIST SP 800-63 fournit un vocabulaire pour démontrer qu'on les atteint.
Aller plus loin : pilier : authentification cognitive · lire NIST SP 800-207 · NIST SP 800-63 pour les éditeurs SaaS · MFA résistante au phishing