Le back-office de votre site est la porte d'entrée de tout votre contenu, de vos clients et parfois de vos ventes. Or, la grande majorité des intrusions ne passent pas par une faille sophistiquée, mais simplement par un mot de passe deviné, réutilisé ou volé. L'authentification à deux facteurs est la parade la plus efficace contre ce type d'attaque, et elle est aujourd'hui simple à mettre en place.
Le principe de l'authentification à deux facteurs
Se connecter avec un mot de passe, c'est prouver que vous savez quelque chose. L'authentification à deux facteurs ajoute une seconde preuve d'une autre nature : quelque chose que vous possédez, généralement votre téléphone. Même si un pirate obtient votre mot de passe, il ne peut pas se connecter sans ce second élément.
Selon les études publiées par les grands fournisseurs de services en ligne, cette seconde étape bloque l'immense majorité des attaques automatisées sur les comptes.
Les différentes méthodes
Toutes les méthodes ne se valent pas :
- Le code par SMS : pratique et connu de tous, mais le moins sûr, car les SMS peuvent être interceptés ou détournés ;
- L'application d'authentification (Google Authenticator, Microsoft Authenticator, 1Password…) : elle génère un code à six chiffres qui change toutes les trente secondes, sans réseau. C'est le meilleur compromis entre sécurité et simplicité ;
- La clé de sécurité physique : une petite clé USB ou NFC, très sûre et résistante à l'hameçonnage ;
- Les passkeys : la connexion sans mot de passe par empreinte ou reconnaissance faciale, qui se généralise.
La mise en place sur votre site
Sur WordPress, plusieurs extensions ajoutent cette fonctionnalité, et elle peut aussi être intégrée directement dans le thème pour éviter une dépendance supplémentaire. Sur un site sur-mesure, les bibliothèques existantes permettent de l'ajouter en quelques heures de développement : le principe repose sur le standard TOTP, ouvert et documenté.
Pour l'utilisateur, l'activation se fait une seule fois : il scanne un code QR ou saisit une clé avec son application, confirme avec un premier code, et c'est terminé. Ensuite, chaque connexion demande simplement le code affiché sur son téléphone. On peut même limiter cette vérification aux comptes qui ont des droits élevés, comme les administrateurs et les éditeurs, pour ne pas alourdir l'expérience des autres utilisateurs.
Prévoir la perte du téléphone
C'est la question qui inquiète le plus : que se passe-t-il si l'on perd son téléphone ? Il faut prévoir une procédure de secours dès la mise en place : des codes de récupération à usage unique à conserver en lieu sûr, ou la possibilité pour un administrateur de désactiver temporairement la double authentification d'un autre compte. Sans cette précaution, une perte de téléphone peut bloquer l'accès au site.
Compléter avec d'autres protections
L'authentification à deux facteurs ne remplace pas les autres mesures, elle les complète :
- Des mots de passe uniques et longs, gérés par un gestionnaire de mots de passe ;
- La limitation des tentatives de connexion, pour freiner les attaques par force brute ;
- Des messages d'erreur neutres, qui ne révèlent pas si c'est l'identifiant ou le mot de passe qui est faux ;
- Des comptes nominatifs, un par personne, avec uniquement les droits nécessaires.
Mon conseil
Activez l'authentification à deux facteurs au minimum sur tous les comptes administrateurs de votre site, de votre hébergement et de votre nom de domaine. C'est cinq minutes de configuration pour une protection considérable. Et si votre site n'offre pas cette possibilité, demandez à votre prestataire de l'ajouter : c'est aujourd'hui un standard de sécurité, plus une option.
