Déployer le MFA dans une PME : le guide en cinq étapes

L’authentification multifacteur (MFA) consiste à exiger, en plus du mot de passe, une seconde preuve : une validation sur le téléphone, un code temporaire ou une clé physique. C’est la mesure de sécurité au meilleur rapport effort/résultat qui existe : un mot de passe volé par hameçonnage ou réutilisé depuis une fuite ne suffit plus à entrer. C’est aussi celle que les entreprises repoussent le plus, par crainte de gêner les utilisateurs.

La réponse courte : protégez d’abord les comptes administrateurs le jour même, puis tous les accès distants, choisissez la méthode selon la population, déployez par vagues et contrôlez chaque mois. Voici comment nous le faisons chez nos clients, au Maroc comme ailleurs, sans friction et sans bloquer l’activité.

Pourquoi le mot de passe seul ne suffit plus

Les attaques que nous rencontrons dans les PME commencent rarement par une prouesse technique. Elles commencent par un identifiant : un faux écran de connexion Microsoft 365 reçu par e-mail, un mot de passe réutilisé sur un site piraté, un accès VPN deviné. Avec le seul mot de passe, l’attaquant lit la messagerie, prépare une fraude au virement ou dépose un rançongiciel. Nous détaillons ces scénarios dans notre article sur les arnaques par hameçonnage qui visent les PME marocaines.

Le MFA ne rend pas un compte invulnérable, mais un mot de passe volé ne suffit plus, à lui seul, à ouvrir le compte. C’est pourquoi nous le vérifions dès le premier jour de tout audit informatique.

1. Commencer par les comptes qui ouvrent toutes les portes

Administrateurs Microsoft 365 ou Google Workspace, administrateurs du domaine Active Directory, accès au pare-feu, au standard téléphonique, à la console de sauvegarde, au registrar du nom de domaine et aux comptes bancaires en ligne. Ces comptes passent en MFA le jour même, avec une application d’authentification ou une clé physique, jamais par SMS.

Deux précautions à cette étape :

• Séparer les comptes : l’administrateur utilise un compte d’administration distinct de son compte de messagerie quotidien.
• Prévoir un compte d’urgence : un ou deux comptes « bris de glace », avec un mot de passe long conservé sous enveloppe, exclus des règles qui pourraient vous enfermer dehors et surveillés à chaque connexion.

2. Protéger tous les accès distants

VPN, bureau à distance, webmail, portails de logiciels métier, accès à distance des prestataires. Un accès distant sans MFA est la porte d’entrée que les rançongiciels recherchent en priorité. Les pare-feu Fortinet et WatchGuard intègrent le MFA sur leurs VPN, et WatchGuard propose AuthPoint pour étendre la même application aux sessions Windows et aux applications web. Nous l’activons avant tout le reste.

Un bureau à distance publié directement sur internet doit disparaître : il passe derrière le VPN, lui-même protégé par MFA.

3. Choisir la bonne méthode pour chaque population

Toutes les méthodes ne se valent pas. Le tableau ci-dessous résume notre grille.

Méthode	Niveau de protection	Pour qui	Points d’attention
Clé physique ou clé d’accès (FIDO2)	Le plus élevé, résiste à l’hameçonnage	Administrateurs, dirigeants, finance	Prévoir une seconde clé de secours
Application avec validation et saisie du numéro affiché	Élevé	La majorité des utilisateurs	Refuser toute demande non sollicitée
Application avec code temporaire (TOTP)	Bon	Utilisateurs sans smartphone géré, comptes techniques	Code copiable sur une fausse page
SMS ou appel vocal	Faible	Dernier recours uniquement	Détournement de ligne, hameçonnage
Codes de secours	Dépannage	Tous, en cas d’urgence	Conservés hors ligne, usage unique

Les applications courantes sont Microsoft Authenticator, Google Authenticator et WatchGuard AuthPoint. Pour les téléphones personnels, l’application n’accède à aucune donnée privée : c’est un argument à expliquer d’emblée, car c’est la première objection des salariés.

4. Déployer par vagues, avec un accompagnement

Un déploiement réussi est d’abord un projet de communication.

1. Préparer : inventaire des comptes, des applications et des protocoles utilisés, choix des méthodes, rédaction d’un guide d’une page avec captures d’écran.
2. Piloter : un service volontaire passe en premier, le temps de repérer les applications qui résistent (vieux logiciels de messagerie, imprimantes qui envoient des e-mails, scanners).
3. Annoncer : message de la direction expliquant pourquoi, quand et comment, avec la date de bascule de chaque service.
4. Enrôler : une permanence le premier jour, sur place ou à distance, pour que personne ne reste bloqué.
5. Généraliser : service par service, puis blocage des anciens protocoles qui ne savent pas demander de second facteur.

Dans Microsoft 365, les paramètres de sécurité par défaut imposent le MFA gratuitement. L’accès conditionnel, inclus dans Microsoft 365 Business Premium, permet d’aller plus loin : exiger le MFA hors du bureau, l’alléger sur les postes gérés, bloquer les connexions depuis des pays où vous n’avez aucune activité. Nous comparons les éditions dans notre article Microsoft 365 Business Basic, Standard ou Premium.

5. Vérifier et maintenir

Le MFA est un état à maintenir, pas un projet à clôturer. Chaque mois : rapport des comptes sans MFA, revue des méthodes enregistrées, contrôle des connexions refusées ou inhabituelles. À chaque départ : révocation immédiate du compte, des sessions ouvertes et des méthodes d’authentification. À chaque arrivée : enrôlement le premier jour, avant l’accès aux données.

Les cas particuliers à anticiper

Certains comptes et certaines situations ne rentrent pas dans le schéma général. Mieux vaut les traiter avant la bascule qu’au moment où quelqu’un est bloqué.

• Boîtes partagées (contact, comptabilité, commandes) : on n’y se connecte pas directement. Chaque utilisateur y accède avec son propre compte protégé, ce qui permet aussi de savoir qui a fait quoi.
• Comptes de service (copieurs, logiciels qui envoient des e-mails, synchronisations) : ils ne peuvent pas répondre à une demande de MFA. Ils reçoivent des droits minimaux, un mot de passe long, et ne sont autorisés que depuis le réseau de l’entreprise.
• Prestataires et sous-traitants : un compte nominatif par intervenant, protégé par MFA, avec une date de fin. Jamais de compte générique partagé entre plusieurs personnes.
• Salariés sans smartphone professionnel : une clé physique ou une application de codes temporaires sur le poste résout la question, sans imposer l’usage du téléphone personnel.
• Zones sans réseau mobile : les applications d’authentification génèrent des codes sans connexion, ce qui n’est pas le cas du SMS.

Les erreurs que nous corrigeons le plus

• Protéger la messagerie mais oublier le VPN, ou l’inverse : l’attaquant passe par la porte restée ouverte.
• Laisser actifs les anciens protocoles de messagerie qui contournent le MFA avec un simple mot de passe.
• Accepter les demandes en rafale : un utilisateur fatigué finit par valider une notification qu’il n’a pas déclenchée. La saisie du numéro affiché règle ce problème.
• Réinitialiser le MFA sur simple appel : c’est la technique préférée des fraudeurs qui se font passer pour un salarié.
• Exclure « temporairement » un dirigeant qui trouve la démarche contraignante : c’est précisément le compte le plus ciblé.
• Oublier les comptes partagés et les comptes de service, sans propriétaire ni contrôle.

Checklist de déploiement

• Comptes administrateurs séparés et protégés par clé physique ou application.
• Un ou deux comptes d’urgence documentés et surveillés.
• MFA actif sur le VPN, le webmail, le bureau à distance et les portails métier.
• Anciens protocoles de messagerie bloqués.
• Méthode choisie pour chaque population, SMS en dernier recours.
• Procédure de réinitialisation avec vérification d’identité.
• Guide utilisateur d’une page et permanence le jour de l’enrôlement.
• Rapport mensuel des comptes sans MFA et revue des départs.

Comment nous procédons

Nous commençons par un état des lieux : quels comptes existent, lesquels sont administrateurs, quels accès sont exposés, quelles applications utilisent encore des protocoles anciens. Nous protégeons ensuite les comptes critiques le jour même, puis nous déployons par vagues avec votre équipe, en assurant l’enrôlement et le support. Une fois en place, le suivi des comptes sans MFA et des connexions suspectes fait partie de notre supervision 24/7.

Le MFA est inclus dans notre offre cloud managé, en tant que partenaire Microsoft, et dans les fondamentaux de notre cybersécurité. Il constitue aussi la première brique d’une démarche Zero Trust et l’une des sept mesures contre les rançongiciels. Découvrez nos réalisations, puis demandez votre audit initial offert : nous vous indiquons quels comptes sont exposés aujourd’hui et par où commencer, avec une réponse sous 24 h ouvrées.