L’essentiel en bref
- Un mot de passe seul protège mal : il peut être dérobé par hameçonnage, deviné ou volé auprès d’un autre service.
- L’Office fédéral de la cybersécurité (OFCS) recommande d’activer l’authentification à deux facteurs partout où c’est possible – surtout pour le compte e-mail.
- Les passkeys sont liés au vrai site web et ne peuvent pas être utilisés sur une page contrefaite. Ils sont ainsi la connexion la plus sûre au quotidien.
- Prévois le cas d’urgence : configure un second passkey ou des codes de secours avant de perdre ton téléphone.
Pourquoi un mot de passe seul ne suffit pas
La plupart des attaques contre les petites entreprises ne sont pas des piratages sophistiqués, mais des données d’accès volées. Trois voies sont particulièrement fréquentes :
- Hameçonnage (phishing) : un e-mail d’apparence authentique mène à une fausse page de connexion. Qui y saisit son mot de passe le donne aux attaquants.
- Réutilisation : lorsqu’une boutique en ligne est piratée, les attaquants essaient automatiquement les combinaisons e-mail et mot de passe volées sur d’autres services. Qui a partout le même mot de passe perd ainsi plusieurs comptes d’un coup.
- Mots de passe faibles : des mots de passe courts ou évidents se devinent en peu de temps avec des programmes.
L’OFCS conseille donc un mot de passe distinct pour chaque service, d’au moins 12 caractères – et en plus un second facteur.
Le second facteur : appli plutôt que SMS
Avec l’authentification à deux facteurs, il te faut en plus du mot de passe quelque chose que toi seul possèdes – le plus souvent ton téléphone. Même si quelqu’un connaît ton mot de passe, il n’entre pas sans ce second facteur. Il existe plusieurs variantes :
| Méthode | Comment ça marche | Appréciation |
|---|---|---|
| Code SMS | Code par SMS sur le téléphone | Mieux que rien, mais le plus faible : les SMS peuvent être détournés, et le code peut être intercepté sur une page d’hameçonnage. |
| Appli d’authentification | L’appli affiche toutes les 30 secondes un nouveau code à six chiffres (p. ex. Microsoft Authenticator, Google Authenticator) | Bon et très répandu. Ce code aussi peut être saisi sur une fausse page et détourné. |
| Passkey | Connexion par empreinte digitale, visage ou code PIN de l’appareil | Le plus sûr : lié au vrai site web, rien à recopier ni à intercepter. |
Passkeys : plus sûrs et plus simples à la fois
Un passkey remplace le mot de passe par une paire de clés selon le standard FIDO2, ou WebAuthn (en anglais). La partie secrète reste sur ton appareil ou dans ton gestionnaire de mots de passe, le site web ne connaît que la partie publique. Tu confirmes la connexion comme tu déverrouilles ton appareil : avec Windows Hello, Face ID ou Touch ID, avec le code PIN de ton téléphone – ou avec une clé de sécurité sur le port USB.
Le grand avantage : un passkey est lié à l’adresse du vrai site web. Sur une page contrefaite, il ne fonctionne tout simplement pas, et il n’y a aucun secret que tu pourrais divulguer par inadvertance. La FIDO Alliance (en anglais), qui développe le standard, cite expressément la résistance à l’hameçonnage comme objectif central.
Les passkeys existent sous deux formes :
- Synchronisé : le passkey se trouve dans ton compte Apple, Google ou Microsoft ou dans le gestionnaire de mots de passe et est disponible sur tous tes appareils. Pratique – si un appareil est perdu, le passkey n’a pas disparu.
- Lié à l’appareil : le passkey ne quitte jamais un appareil précis, par exemple une clé de sécurité. Très sûr, mais il te faut une seconde clé en réserve.
Planifier le cas d’urgence à l’avance
Le second facteur te protège – mais il peut aussi te bloquer l’accès si ton téléphone est cassé ou perdu. Prévois donc dès le départ une réserve :
- Configure, si possible, deux facteurs, par exemple un passkey sur l’ordinateur portable et un sur le téléphone, ou passkey plus appli d’authentification.
- Conserve les codes de secours ou de récupération que beaucoup de services proposent hors ligne – imprimés dans un endroit sûr, pas en photo sur le téléphone.
- Protège particulièrement bien ton compte e-mail. Via « mot de passe oublié », il est la clé de presque tous les autres comptes.
Exemple : le téléphone tombe dans l’eau
Sandra dirige un bureau de graphisme avec deux collaborateurs. Son téléphone est inutilisable après une sortie au lac. Comme elle avait configuré en plus, pour la comptabilité, l’e-mail et l’e-banking, un passkey avec Windows Hello sur son ordinateur portable, elle travaille normalement le lendemain matin. Sur le nouveau téléphone, elle reconfigure ensuite l’appli d’authentification et supprime l’ancienne entrée.
Étapes pratiques pour ton équipe
- Comptes personnels : chaque personne a son propre login. Des accès partagés ne permettent pas de savoir qui a fait quoi et sont difficiles à bloquer proprement lors d’un départ.
- Introduire un gestionnaire de mots de passe : il génère et enregistre pour chaque service un mot de passe fort et distinct. Protège-le lui-même par un long mot de passe maître et un second facteur.
- Activer le double facteur partout : d’abord e-mail, e-banking, comptabilité et stockage cloud, puis tout le reste.
- Utiliser les passkeys là où ils sont proposés : de plus en plus de services les prennent en charge – Microsoft, Google, Apple et beaucoup d’applications professionnelles.
- Régler les départs : lors du départ d’une personne, bloquer les comptes immédiatement, changer les mots de passe des appareils partagés et récupérer les appareils de l’entreprise.
Comment faire dans Easly
Dans Easly se trouvent factures, justificatifs et données du personnel. C’est pourquoi un second facteur n’est pas une option chez Easly, mais une obligation :
- Premier accès sûr : après la commande, tu reçois un lien à usage unique par e-mail. Avec lui, tu définis ton mot de passe et configures tout de suite l’appli d’authentification comme second facteur ; tu ajoutes ensuite des passkeys sous « Paramètres » → « Sécurité ». Il n’y a pas de mot de passe par e-mail.
- Deux facteurs sont obligatoires : sans passkey ni appli d’authentification, tu n’avances que jusqu’à la page de configuration. Les mots de passe doivent comporter au moins 12 caractères.
- Se connecter avec un passkey : avec un passkey, tu te connectes entièrement sans mot de passe – par Windows Hello, Face ID, Touch ID ou clé de sécurité. Tu peux enregistrer plusieurs passkeys et en plus une appli d’authentification.
- Pas de verrouillage par inadvertance : tu ne peux pas supprimer le dernier second facteur restant.
- Protection contre les essais en série : après plusieurs tentatives infructueuses, Easly bloque temporairement la connexion.
- Téléphone perdu ? Contacte-nous. Après vérification, nous t’envoyons un nouveau lien à usage unique à l’adresse e-mail enregistrée, avec lequel tu reconfigures le second facteur. Le plus rapide reste toutefois de se passer de nous : avec un second passkey en réserve.
- Support uniquement avec ton code : si tu as besoin d’aide, tu crées un code d’autorisation, valable au plus 72 heures et révocable en tout temps. Sans ce code, le support n’accède pas à ton instance.
Questions fréquentes
Un code SMS est-il assez sûr comme second facteur ?
Un code SMS vaut nettement mieux que pas de second facteur du tout. Une appli d’authentification et surtout les passkeys sont toutefois plus sûrs, car les SMS peuvent être détournés et les codes interceptés sur de fausses pages.
Que devient mon passkey si je perds mon téléphone ?
Si le passkey est synchronisé dans ton compte Apple, Google ou Microsoft ou dans le gestionnaire de mots de passe, il reste disponible sur tes autres appareils. Les passkeys liés à l’appareil disparaissent avec lui – c’est pourquoi un second facteur de réserve doit toujours en faire partie.
Un passkey peut-il être volé ?
La partie secrète d’un passkey ne quitte pas ton appareil ou ton gestionnaire de mots de passe, et le site web n’enregistre que la partie publique. Si un service est piraté, il n’y a là aucun mot de passe à voler. Protège toutefois bien ton appareil et ton compte Apple, Google ou Microsoft, car c’est avec eux que tu déverrouilles les passkeys.
Ai-je vraiment besoin d’un gestionnaire de mots de passe en entreprise individuelle ?
Oui, justement dans ce cas. C’est la manière la plus simple d’avoir pour chaque service un mot de passe fort et distinct sans avoir rien à retenir. Beaucoup de gestionnaires de mots de passe enregistrent aussi des passkeys.
État des informations : voir ci-dessus. Bases : recommandations de l’Office fédéral de la cybersécurité (OFCS) sur les mots de passe et l’authentification à deux facteurs ainsi que la description des passkeys par la FIDO Alliance (en anglais). Cet article ne remplace pas un conseil de sécurité individuel.