Authentification multifacteur en PME au Québec : réussir votre contrôle MFA
Un de vos comptes courriel se fait pirater. Pas par une attaque sophistiquée : par un mot de passe réutilisé, retrouvé dans une fuite ailleurs et testé un dimanche soir. Pour une PME québécoise, c’est le scénario le plus banal — et l’un des plus évitables. C’est aussi l’un des plus coûteux quand il aboutit.
La réponse courte : activez l’authentification multifacteur (MFA) d’abord sur vos comptes les plus sensibles — courriel, accès administrateur, accès à distance — et privilégiez une méthode résistante à l’hameçonnage plutôt que le code reçu par message texte. Le reste peut suivre par vagues. Voici comment mettre en place un contrôle MFA — l’authentification multifacteur — dans une PME du Québec, sans transformer chaque connexion en corvée.
Ce que le MFA change vraiment
L’authentification multifacteur combine au moins deux preuves d’identité de nature différente : quelque chose que vous connaissez (un mot de passe), quelque chose que vous possédez (un téléphone, une clé physique) et quelque chose que vous êtes (une empreinte). Un attaquant qui devine ou vole votre mot de passe se heurte alors à un second obstacle qu’il n’a pas en main.
Le MFA ne rend aucun compte inviolable. Il retire simplement aux attaquants leur outil le plus courant : le mot de passe seul. Pour une petite organisation, c’est la mesure de sécurité au meilleur rapport effort-résultat.
Toutes les méthodes MFA ne se valent pas
La question qui tranche : la méthode résiste-t-elle à l’hameçonnage (phishing)? Un code lu dans une application ou reçu par message texte peut être soutiré par un faux site qui vous le redemande en temps réel. Une clé de sécurité FIDO2 — ou une « passkey » — est liée cryptographiquement au véritable site : elle refuse de s’authentifier sur un domaine frauduleux.
| Méthode | Résistance à l’hameçonnage | Remarque |
|---|---|---|
| Code par message texte (SMS) | Faible | Exposé à l’interception et au détournement de carte SIM |
| Application d’authentification (code TOTP) | Moyenne | Nettement mieux que le SMS; le code reste soutirable par un faux site |
| Notification poussée à valider | Moyenne | Gare à la « fatigue MFA » : l’usager approuve par réflexe |
| Clé de sécurité FIDO2 / passkey | Élevée | Liée au vrai domaine; l’étalon actuel de la résistance à l’hameçonnage |
Retenez la hiérarchie plutôt que le tableau : une application d’authentification vaut mieux que le SMS, et une clé FIDO2 vaut mieux qu’une application pour les accès qui comptent.
Par où commencer : prioriser les comptes
Un contrôle MFA imposé partout et du jour au lendemain provoque de la résistance interne et une vague d’appels au soutien. Déployé par vagues, en commençant par les comptes dont la compromission ferait le plus mal, il passe. L’ordre qui fonctionne :
- Les comptes d’administration : Microsoft 365, Google Workspace, votre hébergeur, votre pare-feu, vos outils de gestion.
- Les boîtes courriel de tout le monde — c’est la porte de réinitialisation de presque tous les autres mots de passe.
- Les accès à distance : réseau privé virtuel (VPN), bureau à distance.
- Les applications qui contiennent des renseignements personnels ou financiers.
Les pièges qui font échouer un déploiement
- La récupération oubliée. Prévoyez la marche à suivre quand un employé perd son téléphone. Sans procédure, vous rouvrez une faille par la porte du soutien technique — souvent la cible réelle des attaquants.
- Les comptes de service et partagés. Une adresse générique utilisée par cinq personnes se prête mal au MFA classique. Traitez-la à part : compte nominatif, coffre de mots de passe, ou clé dédiée.
- La fatigue MFA. Bombardé de demandes d’approbation, un usager finit par accepter la mauvaise. Préférez la validation par numéro à afficher, ou les clés FIDO2, sur les comptes à risque.
- Le SMS comme unique méthode. C’est mieux que rien, mais ne vous y arrêtez pas pour les comptes d’administration.
MFA et Loi 25
La Loi 25 demande aux organisations québécoises de protéger les renseignements personnels par des mesures de sécurité raisonnables. Pour une PME du Québec, l’authentification multifacteur fait partie des mesures que l’on attend aujourd’hui d’une organisation prudente. Elle ne vous rend pas « conforme » à elle seule — la conformité tient à vos processus, pas à un outil — mais elle soutient votre démarche et se documente aisément. Consignez son déploiement : c’est le genre de preuve utile le jour où vous alimentez votre registre des incidents de confidentialité. [À VÉRIFIER : disposition exacte de la Loi 25 sur les mesures de sécurité et son libellé — source primaire Légis Québec.]