L'authentification forte désigne une vérification d'identité qui repose sur au moins deux facteurs appartenant à des catégories différentes, choisis de telle sorte que la compromission de l'un ne facilite pas celle de l'autre. Ce n'est donc pas une affaire de nombre d'étapes : enchaîner un mot de passe et une question secrète ne produit pas une authentification forte, puisque les deux relèvent de la même catégorie — la connaissance.
Les catégories de facteurs
La classification traditionnelle distingue trois familles, auxquelles s'ajoute aujourd'hui une quatrième.
| Catégorie | Formule | Exemples | Ce qu'elle prouve réellement |
|---|---|---|---|
| Connaissance | « je connais » | mot de passe, code PIN, question secrète | qu'un secret a été saisi, pas qui l'a saisi |
| Possession | « je possède » | téléphone, clé physique, carte à puce, application TOTP | qu'un objet est présent, pas qui le manipule |
| Inhérence | « je suis » | empreinte, visage, voix | qu'un gabarit correspond, pas que la personne agit librement |
| Cognitif | « je sais faire » | résolution d'un challenge selon une méthode personnelle | qu'un raisonnement humain conscient a eu lieu |
Le point commun des trois premières familles est qu'elles authentifient indirectement. Elles vérifient un intermédiaire — un secret, un objet, une mesure — et en déduisent une identité. C'est cette déduction que les attaques modernes viennent contredire. Le quatrième facteur répond à une question différente : non pas « ce signal est-il valide ? », mais « une personne consciente a-t-elle voulu cette action ? ».
Quatre critères pour juger une authentification « forte »
Le mot « forte » n'a de sens que rapporté à un modèle de menace. Quatre critères permettent une évaluation utile.
1. Diversité des catégories. Les facteurs doivent relever de familles distinctes. Deux secrets mémorisés restent un seul type de vulnérabilité.
2. Indépendance. Un facteur reçu sur le même appareil que celui qui porte la session offre une protection réduite : la compromission du terminal les emporte tous les deux. C'est le cas typique d'un code reçu par SMS et lu sur le téléphone qui sert aussi à se connecter.
- Résistance au rejeu et au relais. Un facteur qui transmet une valeur — code à six chiffres, lien à usage unique, approbation par bouton — peut être intercepté et réutilisé dans la seconde par un attaquant placé en relais. Les méthodes liées à l'origine (FIDO2/WebAuthn) calculent au contraire une réponse valable uniquement pour un domaine précis : sur un faux site, elle ne sert à rien.
4. Liaison au contexte. Une authentification qui ouvre une session et ne dit plus rien ensuite laisse entière la question de ce qui sera fait avec cette session. Les cadres les plus exigeants demandent une liaison entre l'authentification et l'opération elle-même.
Ce que demandent les cadres réglementaires
Plusieurs textes européens emploient la notion sans toujours la définir de la même façon.
- DSP2 (directive (UE) 2015/2366) impose l'authentification forte du client (SCA) pour les paiements électroniques : deux éléments de catégories distinctes, plus un lien dynamique entre l'authentification, le montant et le bénéficiaire de l'opération. C'est la définition la plus exigeante en droit européen, car elle intègre le critère de liaison à l'action.
- NIS2 (directive (UE) 2022/2555) cite l'authentification multifacteur ou continue parmi les mesures de gestion des risques attendues des entités concernées.
- DORA (règlement (UE) 2022/2554), applicable depuis janvier 2025 dans le secteur financier, s'inscrit dans une logique de résilience opérationnelle démontrable, contrôles d'accès inclus.
- NIST SP 800-63B ne parle pas de « force » globale mais de niveaux d'assurance, et classe l'OTP transmis par SMS ou par appel vocal comme restricted : un usage déconseillé, à documenter et à faire évoluer.
Retenir la nuance : un dispositif peut être conforme à une exigence de multifacteur tout en restant vulnérable au phishing en temps réel. Conformité et robustesse ne sont pas synonymes.
Trois pièges fréquents
Confondre nombre d'étapes et force. Ajouter une question secrète après un mot de passe allonge le parcours sans changer la surface d'attaque. À l'inverse, une seule interaction bien conçue peut apporter davantage de garanties que trois étapes faibles.
Oublier les parcours de repli. Un dispositif robuste en connexion nominale s'effondre si la récupération de compte retombe sur un code envoyé par e-mail. Un attaquant vise toujours le chemin le moins protégé, et c'est presque toujours la réinitialisation.
Traiter la friction comme une preuve de sécurité. Multiplier les sollicitations crée un automatisme, et l'automatisme est précisément ce qu'exploitent les attaques par lassitude. Un facteur qui exige un raisonnement casse cet automatisme ; un bouton « Approuver » l'entretient.
Comment évaluer votre situation
Une revue utile tient en quatre questions, parcours par parcours :
- Quelles catégories de facteurs sont réellement mobilisées, et sont-elles indépendantes ?
- Que se passerait-il si un attaquant interceptait la totalité de l'échange en temps réel ?
- L'authentification est-elle liée à une session, ou à l'action réalisée ?
- Par où passe la récupération de compte, et quel est son niveau d'exigence ?
Ces quatre questions suffisent à séparer les dispositifs qui cochent une case de ceux qui résistent à un adversaire actif. Elles constituent aussi le point de départ d'une grille de choix argumentée.
FAQ
Authentification forte et MFA, est-ce la même chose ?
Pas exactement. La MFA décrit un mécanisme — plusieurs facteurs. L'authentification forte est une appréciation qualitative : catégories distinctes, indépendance, résistance au rejeu. Une MFA peut exister sans être forte au sens du modèle de menace actuel.
Un mot de passe très long suffit-il ?
Non. La longueur augmente la résistance au calcul, mais elle ne change rien au phishing, au credential stuffing ni à l'interception : un secret réutilisable reste réutilisable, quelle que soit sa taille.
La biométrie constitue-t-elle à elle seule une authentification forte ?
Non, elle constitue un facteur d'inhérence. Elle doit être combinée à une autre catégorie, et son niveau réel dépend de la détection du vivant, du seuil de décision et du lieu de traitement des gabarits.
Faut-il le même niveau partout ?
Non, et c'est même contre-productif. L'usage courant privilégie une exigence modérée ; les actions sensibles justifient une élévation ciblée du niveau, au moment précis où le risque apparaît.
Aller plus loin : le principe de l'authentification cognitive · 2FA ou MFA, quelle différence · pourquoi la plupart des MFA sont contournées · obligations NIS2, DORA, DSP2 et CRA