Le MFA, c'est quoi ?

MFA = Multi-Factor Authentication. En français : double authentification, ou "le truc qui demande un code après le mot de passe".

Concrètement, pour te connecter, il te faut deux choses au lieu d'une :

• Quelque chose que tu sais (ton mot de passe).
• Quelque chose que tu as (ton téléphone, une clé physique, une app dédiée).

Si un attaquant a ton mot de passe, il lui manque le second facteur. C'est la différence entre porte fermée à clé, et porte fermée à clé + serrure de sécurité.

Pourquoi c'est non négociable

Plus de 95 % des attaques réussies sur des comptes M365 ou Google ont un point commun : le MFA n'était pas activé. Microsoft elle-même publie ce chiffre. Activer le MFA ne supprime pas tous les risques, mais il neutralise le scénario le plus courant : le vol de mot de passe.

Les types de MFA, du moins bon au meilleur

• SMS : un code arrive par texto. Mieux que rien, mais le SIM swap (l'attaquant fait transférer ton numéro) le rend contournable.
• App authenticator (Microsoft Authenticator, Google Authenticator, Authy) : un code à 6 chiffres généré toutes les 30 secondes. Solide, gratuit, recommandé.
• Notification push : ton app demande "c'est bien toi ?", tu approuves. Très bonne expérience.
• Clé physique FIDO2 (YubiKey) : un objet physique branché en USB ou NFC. Inviolable contre le phishing. Le top.

Activer le MFA en 5 minutes - Microsoft 365

1. Va sur https://aka.ms/mfasetup
2. Choisis "Microsoft Authenticator".
3. Installe l'app sur ton smartphone (App Store / Play Store).
4. Scanne le QR code que Microsoft te montre.
5. Valide une notification de test.
6. C'est fini.

Activer le MFA en 5 minutes - Google

1. Va sur https://myaccount.google.com/security
2. Active "Validation en deux étapes".
3. Suis les instructions (téléphone, app, ou clé).

Et si je perds mon téléphone ?

Au moment de l'activation, tu reçois ou tu génères des codes de récupération (8 à 10 codes à usage unique). Imprime-les, range-les dans ton coffre, ou colle-les dans un gestionnaire de mots de passe sécurisé. Si tu perds ton téléphone, ces codes te débloquent.

Le réflexe à graver

Sur tous les services qui tiennent un peu : MFA activé, sans exception. Mail pro, mail perso, banque, réseaux sociaux, outils SaaS. Ça te prend 2 minutes par service. C'est probablement le geste cyber au plus haut ROI que tu feras cette année.