C'est la mesure de sécurité au meilleur rapport coût/efficacité que vous puissiez mettre en place en entreprise aujourd'hui. Et pourtant, en 2026, nous voyons encore une TPE sur deux qui ne l'a pas activée sur ses comptes Microsoft 365 ou Google Workspace. Résultat : un simple mot de passe volé = un attaquant qui lit vos emails et vos documents, sans que personne ne s'en aperçoive.
Ce qu'est la 2FA (en une phrase)
L'authentification à deux facteurs, c'est exiger deux preuves d'identité pour se connecter :
- Ce que vous savez : votre mot de passe
- Ce que vous possédez : un code qui change à chaque connexion, généré par votre téléphone
Un attaquant qui a volé votre mot de passe ne peut rien faire sans votre téléphone physique. C'est aussi simple que ça.
Pourquoi c'est devenu non négociable en entreprise
Les mots de passe volés circulent par millions sur les forums frauduleux. Il suffit qu'un salarié ait utilisé le même mot de passe sur un site compromis (LinkedIn 2012, Dropbox 2016, Facebook 2019…) et sur son Microsoft 365, pour que son compte pro soit accessible à n'importe qui.
Microsoft publie régulièrement cette statistique : la 2FA bloque plus de 99 % des tentatives de compromission de compte. Il n'y a pas de meilleur ratio dans toute la cybersécurité.
Et depuis 2024-2025, les assureurs cyber refusent de couvrir les entreprises qui n'ont pas activé la 2FA sur leurs comptes administratifs. Ce n'est plus une bonne pratique, c'est une norme.
Les 3 types de 2FA (du moins bon au meilleur)
1. SMS (acceptable mais imparfait)
Un code à 6 chiffres arrive par SMS. Avantage : rien à installer. Inconvénient : vulnérable au SIM swapping (un attaquant qui convainc votre opérateur de porter votre numéro sur sa carte SIM).
Verdict : mieux que rien, mais à éviter pour les comptes sensibles (admin, direction, compta).
2. Application d'authentification (recommandé)
Une app sur le smartphone (Microsoft Authenticator, Google Authenticator, Authy, 1Password) génère un code à 6 chiffres qui change toutes les 30 secondes. Pas vulnérable au SIM swapping.
Verdict : c'est le standard entreprise. C'est ce qu'on déploie chez tous nos clients.
3. Clé physique de sécurité (le mieux)
Une petite clé USB (YubiKey, Feitian) à brancher ou à toucher pour valider. Impossible à hameçonner. Coût : 25 à 60 € par clé.
Verdict : indispensable pour les comptes administrateurs Microsoft 365 ou pour la direction d'une entreprise exposée. Pour les utilisateurs standards, l'application suffit.
Comment la déployer en TPE/PME
Étape 1 : prévenir les utilisateurs
Ne pas activer la 2FA du jour au lendemain sans préparation. Prévenez une semaine à l'avance, expliquez pourquoi (en 2 phrases), et prévenez qu'il faudra avoir leur téléphone pro à portée de main lors de la prochaine connexion.
Étape 2 : installer Microsoft Authenticator sur chaque téléphone
- Télécharger depuis l'App Store ou Google Play
- L'app est gratuite et ne demande aucun compte spécifique
Étape 3 : activer la 2FA côté admin
Dans Microsoft 365 → centre d'administration → Utilisateurs → Authentification multifacteur, vous pouvez :
- Activer poste par poste
- Ou activer d'un coup avec les politiques de sécurité par défaut (recommandé)
À la prochaine connexion, chaque utilisateur sera guidé pour scanner un QR code avec son app Authenticator. Prend 2 minutes par personne.
Étape 4 : prévoir le cas "téléphone perdu / changé"
C'est le vrai sujet. Si quelqu'un perd son téléphone, il ne peut plus se connecter. Il faut :
- Désigner un administrateur qui peut réinitialiser la 2FA d'un utilisateur en urgence
- Ou générer des codes de secours (10 codes à usage unique à imprimer et conserver en sécurité)
Les 3 pièges à éviter
Piège 1 : ne pas activer la 2FA sur les comptes administrateurs eux-mêmes
C'est le minimum. Un compte admin M365 compromis = toute l'entreprise compromise. Les administrateurs doivent impérativement avoir la 2FA, idéalement avec une clé physique.
Piège 2 : laisser des "comptes partagés" sans 2FA
Beaucoup d'entreprises ont un compte contact@votre-entreprise.fr partagé entre plusieurs personnes. Impossible d'activer la 2FA proprement dessus. Solution : passer ces adresses en boîte partagée (shared mailbox dans Microsoft 365, gratuit) rattachée aux comptes individuels — chacun y accède avec SA propre authentification.
Piège 3 : oublier la 2FA sur les services tiers
Microsoft 365 n'est pas le seul compte à protéger. Pensez à activer la 2FA sur :
- Votre banque en ligne
- Votre compte Stripe / PayPal si vous encaissez des paiements
- Votre hébergement web / nom de domaine (OVH, Gandi…)
- Votre CRM et outil de compta (s'il est en ligne)
- Vos réseaux sociaux pro (LinkedIn, Facebook Business)
Ce qu'on met en place en forfait d'infogérance
Chez Depass Info, l'activation et la supervision de la 2FA font partie du socle sécurité du forfait. Nous :
- Activons la 2FA sur tous les comptes M365 avec l'application Authenticator
- Fournissons une clé physique aux administrateurs et à la direction (en option)
- Documentons la procédure de récupération en cas de téléphone perdu
- Surveillons les tentatives de connexion suspectes (depuis l'étranger, à des heures inhabituelles, etc.)
Si la 2FA n'est pas encore active chez vous, l'audit gratuit permet de faire le point en 30 minutes sur ce qui est protégé et ce qui ne l'est pas.
