La MFA (multi-factor authentication, authentification multifacteur) exige au moins deux facteurs issus de catégories différentes pour valider un accès. Les catégories classiques sont « je connais » (mot de passe, code PIN), « je possède » (téléphone, clé de sécurité, carte à puce) et « je suis » (empreinte, visage). C'est la diversité des catégories qui fait la MFA, pas le nombre d'étapes affichées.
Toutes les MFA ne se valent pas
Le sigle recouvre des niveaux de résistance très différents :
- SMS-OTP : vulnérable au SIM swapping et au relais ; le NIST le classe « restricted » dans la SP 800-63B ;
- TOTP : plus robuste que le SMS, mais le code reste saisissable donc transmissible à un site d'hameçonnage ;
- Notification push : exposée à la MFA fatigue, sauf à imposer une correspondance de nombre ;
- FIDO2 / passkey : résistante au phishing grâce à la liaison à l'origine.
Exiger « une MFA » dans une politique de sécurité sans préciser laquelle revient donc à ne rien exiger de précis.
Ce que la MFA ne couvre pas
Une MFA valide authentifie l'ouverture de session, rarement l'action. Après authentification, un cookie ou un jeton volé permet de poursuivre sans repasser par aucun facteur. Le cas Uber de 2022 a montré une autre limite : l'utilisateur peut approuver lui-même, sous la pression de notifications répétées. Dans les deux cas, la question posée n'était pas la bonne — non pas « le facteur est-il valide ? », mais « cette action est-elle voulue ? ».
Aller plus loin : au-delà de la MFA · MFA résistant au phishing · définition du 2FA · l'authentification cognitive