La 2FA (authentification à deux facteurs) est un cas particulier de MFA (authentification multifacteur) : elle en fixe le nombre à exactement deux. Toute 2FA est donc une MFA, l'inverse n'est pas vrai. Mais la différence qui compte en pratique n'est pas arithmétique : deux facteurs bien choisis protègent mieux que trois facteurs faibles de la même famille.
Ce que recouvre exactement chaque terme
- 2FA : deux facteurs, et deux seulement. Le vocabulaire courant l'utilise souvent pour désigner la combinaison « mot de passe + code », qui reste la plus répandue.
- MFA : deux facteurs ou plus, sans limite haute. Le sigle ne dit rien de la qualité des facteurs retenus.
- Vérification en deux étapes : formulation commerciale, plus large. Elle inclut des parcours où les deux étapes relèvent de la même catégorie — un mot de passe suivi d'une question secrète — et qui ne sont donc pas des 2FA au sens strict.
Autrement dit, la 2FA est une quantité, la MFA une famille, et aucune des deux n'est un niveau de sécurité. Le niveau vient des catégories mobilisées et de la façon dont chaque facteur se comporte face à un attaquant actif.
La vraie variable : la catégorie, pas le compte
Les facteurs se répartissent en familles : ce que l'on connaît, ce que l'on possède, ce que l'on est, et — plus récemment — ce que l'on sait faire. Une authentification n'ajoute de la robustesse que si elle change de famille. Empiler deux secrets mémorisés revient à demander deux fois la même preuve.
| Combinaison | Nombre de facteurs | Catégories distinctes | Ce qu'elle arrête | Ce qu'elle n'arrête pas |
|---|---|---|---|---|
| Mot de passe + question secrète | 2 | Non (connaissance ×2) | rien de plus qu'un mot de passe | phishing, fuite de données, réutilisation |
| Mot de passe + SMS-OTP | 2 | Oui | réutilisation d'un mot de passe volé | relais en temps réel, SIM swapping |
| Mot de passe + TOTP | 2 | Oui | credential stuffing | relais en temps réel |
| Mot de passe + notification push | 2 | Oui | connexion silencieuse à distance | approbation par lassitude |
| Passkey (appareil + déverrouillage local) | 2 | Oui | phishing de connexion | vol de session après authentification |
| Facteur possession + facteur cognitif | 2 | Oui | relais, rejeu, approbation réflexe | nécessite un enrôlement préalable |
La lecture de ce tableau est plus instructive que le débat 2FA/MFA : deux lignes affichent le même nombre de facteurs et des propriétés de sécurité radicalement différentes.
Pourquoi ajouter un troisième facteur ne règle pas tout
L'intuition voudrait qu'un facteur supplémentaire améliore mécaniquement la situation. Elle est partiellement fausse, pour trois raisons.
Les facteurs faibles ne s'additionnent pas. Si deux facteurs sont relayables en temps réel, un attaquant placé en position d'intermédiaire les relaie tous les deux dans le même échange. Le coût de l'attaque n'augmente pas de façon significative.
La friction produit de l'automatisme. Plus une personne est sollicitée, moins elle examine ce qu'elle valide. La compromission d'Uber en 2022, obtenue par une salve de notifications jusqu'à approbation, illustre ce mécanisme : l'attaquant avait déjà des identifiants valides, il ne manquait qu'un geste réflexe.
Le maillon faible reste le repli. Une chaîne à trois facteurs dont la procédure de récupération repose sur un code envoyé par e-mail vaut, pour un attaquant, la sécurité de la boîte mail.
Le raisonnement utile consiste donc à évaluer chaque facteur selon une question unique : si l'attaquant observe et relaie l'intégralité de l'échange, que peut-il rejouer ? Un facteur dont la réponse est « rien » vaut plus que deux facteurs dont la réponse est « tout ».
Comment se situer dans le continuum
Il est utile de raisonner en continuum plutôt qu'en palier fixe, en calant l'exigence sur la criticité de l'action :
- Consultation courante — un facteur robuste et une session correctement encadrée suffisent généralement.
- Accès à des données sensibles — deux catégories distinctes, dont au moins une non rejouable.
- Action à impact financier, juridique ou administratif — validation liée à l'opération elle-même, et non seulement à l'ouverture de session : c'est la logique de la validation transactionnelle et du step-up.
Cette progression est la raison d'être du continuum 2FA → 4FA proposé par HIAsecure : un scan simple pour un usage courant, un challenge cognitif complet lorsque l'action l'exige. L'objectif n'est pas d'empiler des étapes, mais de placer la bonne exigence au bon endroit.
FAQ
La 2FA est-elle suffisante en 2026 ?
Cela dépend entièrement des deux facteurs retenus. Une 2FA reposant sur un mot de passe et un SMS-OTP laisse passer le phishing en temps réel. Une 2FA associant une possession liée à l'origine et une preuve d'intention offre un niveau très différent, avec le même nombre de facteurs.
Le SMS compte-t-il comme un vrai second facteur ?
Formellement oui : il relève de la possession. En pratique, le NIST SP 800-63B classe l'OTP par SMS ou par voix comme « restricted », en raison du risque de détournement de la ligne et de l'interception. Il vaut mieux que rien, mais il ne convient pas aux parcours sensibles.
Faut-il viser la MFA partout ?
La MFA sur l'ensemble du parc reste une base saine, à condition de ne pas s'y arrêter. La question suivante est toujours la même : laquelle, et sur quelles actions ? Une MFA uniforme et faible donne un sentiment de couverture trompeur.
Combien de facteurs faut-il au maximum ?
Il n'existe pas de nombre optimal. Au-delà de deux catégories bien choisies, le gain vient moins de la quantité que de la nature de la preuve : intention explicite, absence de secret rejouable, et liaison à l'action.
Aller plus loin : le 4ᵉ facteur cognitif · définition de l'authentification forte · TOTP ou SMS-OTP · MFA résistante au phishing