Le step-up authentication consiste à exiger une preuve d'identité supplémentaire ou plus robuste au moment où l'utilisateur tente une action sensible, plutôt qu'à l'ouverture de session. L'idée est simple : accepter une exigence modérée pour l'usage courant, et réserver la friction aux moments où elle a une valeur — virement, changement de coordonnées bancaires, création d'un compte à privilèges, export de données.
Pourquoi l'élévation ponctuelle est plus efficace qu'un durcissement global
Durcir uniformément l'entrée produit trois effets indésirables : les utilisateurs cherchent des contournements, le support absorbe le surcroît de demandes, et l'attention se dégrade — un geste répété devient un réflexe, et un réflexe se provoque.
L'élévation ponctuelle inverse la logique. Elle place l'exigence là où le risque se matérialise réellement, c'est-à-dire au moment de l'action, pas au moment de l'entrée. Elle apporte aussi quelque chose que l'authentification initiale ne peut structurellement pas fournir : une preuve fraîche, contemporaine de l'opération. Une session ouverte le matin ne dit rien de qui la manipule l'après-midi.
Où placer les déclencheurs
Trois familles de déclencheurs, à combiner.
Déclencheurs liés à l'action. Ce sont les plus lisibles et les plus faciles à justifier en comité. Ils portent sur la nature de l'opération, indépendamment de tout signal de risque.
Déclencheurs liés au contexte. Ils s'appuient sur un écart par rapport à l'habituel : appareil inconnu, réseau inhabituel, horaire atypique, déplacement géographique incompatible avec la connexion précédente.
Déclencheurs liés à la session. Ils portent sur l'ancienneté de l'authentification : au-delà d'un certain délai, la preuve est considérée comme périmée pour les opérations sensibles.
| Événement | Élever ? | Facteur attendu | Justification |
|---|---|---|---|
| Consultation de documents courants | non | session en cours | risque faible, friction injustifiée |
| Modification du profil ou du mot de passe | oui | facteur non rejouable | prise de contrôle durable du compte |
| Ajout ou remplacement d'un moyen d'authentification | oui | facteur non rejouable | c'est l'étape que vise l'attaquant après intrusion |
| Virement ou changement d'IBAN | oui | preuve liée au montant et au bénéficiaire | exigence de lien dynamique (DSP2) |
| Export massif de données | oui | preuve d'intention explicite | exfiltration difficilement réversible |
| Élévation vers un compte d'administration | oui | facteur non rejouable, durée limitée | population la plus ciblée |
| Connexion depuis un appareil inconnu | oui | facteur non rejouable | signal classique de compromission |
| Session ouverte depuis plusieurs heures | selon la ressource | ré-authentification | fraîcheur de la preuve |
Les pièges qui vident le mécanisme de son sens
Élever avec un facteur plus faible que l'authentification initiale. C'est l'erreur la plus fréquente : une connexion réalisée avec une méthode robuste, puis une confirmation d'opération sensible par un code SMS. Le niveau global de la chaîne devient celui du maillon le plus faible, c'est-à-dire celui du step-up. Une élévation doit monter, jamais redescendre.
Ne pas lier la preuve à l'action. Demander « confirmez votre identité » sans afficher ce qui est confirmé permet à un attaquant en relais de faire valider une opération différente de celle que l'utilisateur croit approuver. La preuve doit porter sur des éléments de l'opération elle-même : le montant, le destinataire, la ressource concernée. C'est exactement le principe du lien dynamique imposé par la DSP2, et le sujet de l'authentification transactionnelle.
Rendre l'élévation trop fréquente. Un step-up déclenché à chaque page perd son caractère signalant. L'utilisateur cesse de lire, et le mécanisme rejoint les défauts de l'approbation réflexe.
Oublier la révocation. Une élévation doit avoir une portée limitée dans le temps et dans le périmètre. Une élévation qui persiste jusqu'à la fin de session revient à ouvrir un accès privilégié durable à partir d'une seule validation.
Mise en œuvre : ce que permettent les protocoles
Les protocoles d'authentification fédérée prévoient ce mécanisme. Avec OpenID Connect, l'application peut demander un niveau d'authentification particulier au fournisseur d'identité, ou exiger une authentification récente en fixant un âge maximal pour la preuve. Le fournisseur indique en retour le niveau atteint et les méthodes employées. L'application vérifie ces éléments avant d'autoriser l'opération.
Deux points de vigilance : la vérification doit être faite côté serveur, jamais dans l'interface seule ; et la décision doit être journalisée avec l'opération concernée, sans quoi aucune preuve ne pourra être produite ultérieurement.
L'articulation avec le facteur cognitif
Le step-up pose une question que les facteurs classiques traitent mal : comment obtenir une preuve qui ne soit ni relayable ni provocable au moment précis d'une action ? Un code reste relayable ; une notification reste approuvable sous influence.
L'approche du facteur cognitif apporte une réponse différente : le challenge est résolu au moment de l'action, dans un canal éphémère ouvert par un QR code dynamique à usage unique, et il exige un raisonnement appliqué selon une méthode personnelle. Il n'existe donc ni valeur à intercepter, ni geste réflexe à provoquer. Cette élévation s'inscrit dans un continuum 2FA → 4FA : exigence légère pour l'usage courant, exigence complète au moment sensible.
FAQ
Quelle différence entre step-up et authentification adaptative ?
L'authentification adaptative décide s'il faut élever, à partir de signaux de contexte. Le step-up exécute cette élévation. Ils sont complémentaires : l'un est le moteur de décision, l'autre le mécanisme d'exigence.
Le step-up est-il obligatoire réglementairement ?
Aucun texte n'emploie ce terme, mais la DSP2 impose une authentification forte assortie d'un lien dynamique pour les paiements, ce qui suppose en pratique une validation au niveau de l'opération. D'autres cadres, comme NIS2, orientent vers une exigence proportionnée au risque.
Combien de niveaux faut-il définir ?
Deux ou trois suffisent dans la plupart des organisations : usage courant, opération sensible, administration. Multiplier les niveaux complique la politique sans améliorer la protection, et rend les décisions plus difficiles à expliquer.
Comment éviter que le step-up devienne un irritant ?
En le réservant à des actions dont l'utilisateur comprend l'importance, et en affichant clairement ce qui est validé. Une friction expliquée et rare est acceptée ; une friction fréquente et opaque est contournée.
Aller plus loin : élever au niveau du 4ᵉ facteur · authentification adaptative · signer l'action sensible · Zero Trust : principes