Le facteur cognitif est un facteur d'authentification qui vérifie un raisonnement appliqué à un challenge, et non la détention d'un secret. Il s'énonce « je sais faire » et s'ajoute aux trois familles classiques : « je connais » (mot de passe), « je possède » (clé, téléphone), « je suis » (biométrie). Son objet est de prouver qu'une personne réelle et consciente est à l'origine de l'action.
Ce qui le distingue des trois autres facteurs
Les trois facteurs classiques authentifient indirectement : un mot de passe prouve qu'un secret a été saisi, pas qui l'a saisi ; une clé prouve qu'un appareil est présent, pas son porteur ; une empreinte prouve une correspondance biométrique, pas une volonté libre.
Le facteur cognitif change l'objet de la preuve. Le challenge est différent à chaque tentative et l'utilisateur y applique une méthode de résolution personnelle, acquise lors d'un enrôlement hors ligne. Ce qui est vérifié, c'est la méthode — pas une réponse mémorisable, pas une donnée transmissible.
À ne pas confondre avec une question secrète
Une question secrète (« nom de votre premier animal ») reste un facteur de type « je connais » : la réponse est fixe, devinable, souvent publique et rejouable indéfiniment une fois divulguée. Un challenge cognitif n'a pas de réponse stable à voler.
Il ne s'agit pas non plus d'un CAPTCHA : celui-ci distingue un humain d'un robot, de façon anonyme, là où le facteur cognitif authentifie un utilisateur précis.
Aller plus loin : les 4 facteurs d'authentification · le challenge cognitif : comment on prouve un raisonnement · le pilier authentification cognitive