Un éditeur de logiciel en ligne occupe une position singulière : il est à la fois une entreprise à protéger et un maillon de la chaîne d'approvisionnement de ses clients. La compromission d'un compte d'administration chez lui ne produit pas un incident, elle en produit autant qu'il a de clients. C'est ce facteur de démultiplication, plus que la sensibilité intrinsèque des données, qui définit le niveau d'exigence attendu.
Ce qu'il faut réellement protéger
- Les consoles d'infrastructure cloud : un accès administrateur y équivaut à la maîtrise complète de la production.
- La chaîne de construction et de déploiement : dépôts de code, intégration continue, artefacts signés. Compromettre la chaîne revient à distribuer du code malveillant à tous les clients.
- Les secrets techniques : clés d'API, jetons de service, certificats, variables d'environnement — souvent nombreux, rarement soumis à rotation.
- Les accès du support aux données clients, notamment les fonctions permettant d'agir au nom d'un utilisateur.
- Les comptes d'administration côté client, qui gèrent les habilitations dans le produit.
- Les données personnelles traitées pour le compte des clients, avec la responsabilité de sous-traitant qui en découle.
Les contraintes qui font échouer les dispositifs génériques
La friction a un coût mesuré. Chaque étape ajoutée à une inscription ou à une connexion se lit directement dans les taux de conversion. Un dispositif uniforme est donc rejeté par les équipes produit — à raison.
Le travail est distribué. Équipes réparties, matériel varié, réseaux domestiques : il n'existe pas de périmètre réseau sur lequel s'appuyer.
Les identités non humaines sont majoritaires. Comptes de service, intégrations tierces, automatisations, agents logiciels : ils dépassent souvent en nombre les comptes humains, et leur cycle de vie est mal suivi.
Les clients imposent leurs exigences. Questionnaires de sécurité, obligation de proposer le SSO, exigences contractuelles sur la MFA. La sécurité devient un argument commercial et un préalable à la signature.
La croissance des équipes est rapide. Arrivées, départs, prestataires : la revue des habilitations est vite dépassée si elle n'est pas automatisée.
Le support est un vecteur privilégié. Une demande d'assistance urgente et bien construite est souvent plus efficace qu'une attaque technique, surtout lorsque le clonage vocal rend la vérification téléphonique peu fiable.
Le cadre réglementaire applicable
| Texte | Portée pour le secteur | Exigence en matière d'authentification |
|---|---|---|
| NIS2 — directive (UE) 2022/2555 | fournisseurs de services numériques, informatique en nuage | mesures de gestion des risques citant l'authentification multifacteur ou continue, sécurité de la chaîne d'approvisionnement |
| Cyber Resilience Act — règlement (UE) 2024/2847 | produits comportant des éléments numériques | sécurité dès la conception, pas de mot de passe par défaut ; obligations principales à horizon fin 2027 |
| RGPD | traitement pour le compte des clients | sécurité adaptée au risque, traçabilité des accès, encadrement de la sous-traitance |
| ISO/IEC 27001 | démarche volontaire, souvent exigée à l'achat | gestion des identités et des accès |
| NIST SP 800-63 | référentiel technique | niveaux d'assurance d'authentification ; l'OTP par SMS y est classé « restricted » |
Le Cyber Resilience Act change la nature de la conversation : la sécurité de l'authentification cesse d'être un choix produit pour devenir une obligation attachée au produit mis sur le marché. L'absence de mot de passe par défaut n'est qu'un exemple visible d'une exigence plus large de sécurité dès la conception.
Les parcours sensibles à traiter en priorité
- Connexion aux consoles d'infrastructure et élévation de privilèges, avec un facteur résistant à l'hameçonnage et une élévation temporaire et justifiée.
- Accès à la chaîne de construction et de déploiement, y compris les jetons utilisés par les automatisations.
- Accès du support aux données d'un client, en particulier les fonctions d'impersonation : elles doivent être limitées dans le temps, justifiées et notifiées au client.
- Récupération de compte administrateur client, presque toujours le maillon le plus faible d'un produit par ailleurs bien sécurisé.
- Invitation d'un nouvel administrateur dans un espace client, cible d'une escalade discrète.
- Rotation et révocation des clés d'API, à outiller sous peine de rester théoriques.
Pour les actions irréversibles — suppression d'environnement, changement de configuration de production, attribution de droits élevés — la question dépasse l'identité : il s'agit de prouver qu'un humain a décidé en conscience, et non qu'un jeton valide a été présenté. C'est la fonction du 4ᵉ facteur cognitif, déployable en overlay d'un fournisseur d'identité existant, sans refonte du parcours de connexion courant.
Menaces et conformité : les ressources du secteur
Menaces : hameçonnage ciblant les éditeurs · interception en temps réel (AiTM) · réutilisation d'identifiants · détournement de session · fatigue MFA · deepfake vocal
Conformité : NIS2 et services numériques · Cyber Resilience Act · ISO/IEC 27001 · RGPD
FAQ
Le SSO suffit-il pour les clients entreprise ?
Il centralise l'authentification, ce qui est utile, mais il concentre aussi le risque : un compte compromis chez le fournisseur d'identité ouvre l'ensemble des applications fédérées. Les actions sensibles justifient une vérification supplémentaire au moment de l'action.
Comment sécuriser l'accès du support aux données clients ?
Par un accès à la demande, limité dans le temps, justifié par un ticket, notifié au client et journalisé. La fonction d'impersonation doit être traitée comme un privilège d'administration, pas comme un outil de confort.
Faut-il imposer la MFA à tous les utilisateurs finaux ?
L'imposer partout dégrade la conversion. La démarche efficace consiste à la rendre obligatoire pour les rôles d'administration, et à la déclencher sur signal de risque pour les autres.
Que demandent concrètement les clients grands comptes ?
La capacité à prouver le contrôle : politique d'authentification documentée, journalisation exploitable, revue des habilitations, gestion des identités non humaines, et une position claire sur les évolutions réglementaires.
Aller plus loin : pilier : authentification cognitive · panorama NIS2, DORA, DSP3 et CRA · agents autonomes et identité machine · MFA résistante au phishing