WatchGuard AuthPoint : la MFA pour PME, VPN, Microsoft 365 et postes

La réponse courte : AuthPoint est le service d’authentification multifacteur (MFA) de WatchGuard, entièrement administré depuis WatchGuard Cloud. Vos collaborateurs installent une seule application mobile, et cette application valide leurs connexions au VPN du Firebox, à leur session Windows ou macOS, au bureau à distance, aux applications web compatibles SAML et à Microsoft 365. Pour une PME déjà équipée d’un pare-feu WatchGuard, c’est le moyen le plus direct de mettre la MFA partout, avec une console unique et des règles d’accès par groupe.

Ce guide ne reprend pas la méthode générale de déploiement de la MFA, que nous détaillons dans déployer le MFA dans une PME. Il explique ce que fait AuthPoint, comment il se raccorde à chaque type d’accès, et les réglages qui font la différence. Toutes les capacités citées proviennent de la documentation publiée par WatchGuard. Nous intervenons en tant que partenaire WatchGuard au Maroc, depuis Casablanca.

Ce que comprend AuthPoint

AuthPoint repose sur trois briques.

• L’application mobile AuthPoint, pour iOS et Android. Elle reçoit les notifications push, affiche les codes à usage unique, lit les QR codes et porte les passkeys. Les jetons peuvent être protégés par un code PIN ou par la biométrie du téléphone. La fonction Device DNA lie chaque authentification au téléphone réellement enrôlé : selon WatchGuard, un téléphone cloné est rejeté.
• La console AuthPoint dans WatchGuard Cloud, où l’on crée les utilisateurs et les groupes, déclare les ressources à protéger et écrit les politiques. La console est multi-locataire, ce qui permet à un prestataire comme nous de gérer plusieurs entreprises séparément.
• Des composants à installer seulement si nécessaire : la AuthPoint Gateway, l’agent Logon app pour les postes et serveurs, l’agent pour ADFS.

Les licences sont des abonnements ; la clé de licence fixe le nombre d’utilisateurs pouvant utiliser la MFA. Un utilisateur sans MFA ne consomme pas de licence, mais ne peut pas se connecter aux ressources qui l’exigent. WatchGuard propose deux offres : AuthPoint MFA et AuthPoint Total Identity Security, cette dernière ajoutant notamment la surveillance des identifiants exposés sur le dark web.

Les méthodes d’authentification

Méthode	Comment ça marche	Quand la privilégier
Notification push	L’utilisateur approuve la demande sur son téléphone	Usage quotidien, VPN, Microsoft 365
QR code	L’utilisateur scanne un code affiché à l’écran	Ouverture de session, y compris hors ligne
Code à usage unique (OTP)	Un code temporaire affiché dans l’application	Secours, téléphone sans données mobiles
Passkey	Validation par empreinte ou reconnaissance faciale, sans mot de passe	Comptes exposés, résistance au phishing
Jeton matériel	Un petit boîtier qui affiche un code	Personnel sans téléphone professionnel ni personnel utilisable

WatchGuard présente les passkeys (FIDO2) comme la méthode résistante au phishing. Les notifications push restent les plus confortables, mais elles exposent au « bombardement » de demandes : un attaquant qui connaît le mot de passe multiplie les notifications jusqu’à ce que l’utilisateur accepte par lassitude. D’où l’importance de la formation, décrite dans les arnaques de phishing qui visent les PME, et de politiques bien écrites.

Les ressources qu’AuthPoint protège

Dans AuthPoint, chaque accès à protéger est une « ressource ». Le type de ressource détermine le raccordement.

Ressource	Ce qu’elle protège	Composant nécessaire
Firebox	VPN Mobile VPN du Firebox (IKEv2, SSL…), portail d’authentification	Firebox connecté à WatchGuard Cloud
Client RADIUS	Pare-feu, VPN et équipements tiers qui parlent RADIUS	AuthPoint Gateway
SAML	Applications web : Microsoft 365, Salesforce, portail d’accès du Firebox…	Aucun, sauf pour les utilisateurs synchronisés depuis un annuaire local
Logon app	Ouverture de session Windows et macOS, RDP, passerelle RD Gateway	Agent installé sur le poste ou le serveur
ADFS	Les applications fédérées par ADFS	Agent pour ADFS et AuthPoint Gateway
MFA externe Microsoft	Connexions Microsoft Entra ID, donc Microsoft 365 et Azure	Licence Entra ID P1 ou supérieure

La AuthPoint Gateway est un logiciel léger installé sur votre réseau. Elle sert de serveur RADIUS pour vos équipements et permet de dialoguer avec un Active Directory ou un annuaire LDAP. Une Gateway principale peut être doublée de Gateways secondaires pour la reprise sur incident, sans répartition de charge.

Le VPN du Firebox : le premier chantier

L’accès distant est la porte la plus attaquée, et c’est là que nous activons AuthPoint en premier. Deux montages existent.

• Le montage direct : le Firebox est enregistré dans WatchGuard Cloud, on déclare une ressource Firebox dans AuthPoint, puis on choisit AuthPoint comme serveur d’authentification dans la configuration du Mobile VPN. C’est le plus simple, et il fonctionne avec les utilisateurs créés dans AuthPoint comme avec ceux d’un annuaire.
• Le montage RADIUS : le Firebox interroge la AuthPoint Gateway, avec un serveur NPS de Windows quand les utilisateurs viennent d’un Active Directory. C’est la voie des versions plus anciennes de Fireware ou des Firebox non connectés au cloud.

Deux détails techniques évitent bien des tickets. Avec Mobile VPN with IKEv2 et des comptes Active Directory, l’authentification passe par MS-CHAPv2, et WatchGuard indique que la saisie d’un code OTP n’est alors pas prise en charge : les utilisateurs valident par push. Le délai d’authentification d’AuthPoint est de 60 secondes et n’est pas modifiable ; le délai côté VPN ne doit pas le dépasser. Le choix du type de VPN fait l’objet de notre guide VPN WatchGuard : Mobile VPN IKEv2, SSL et télétravail.

Microsoft 365 : la MFA externe d’Entra ID

Microsoft a rendu disponible la MFA externe dans Entra ID, et WatchGuard l’a annoncée pour AuthPoint à partir d’avril 2026. Le principe : dans WatchGuard Cloud, on crée une ressource de type MFA externe Microsoft avec l’identifiant de l’application Entra ; dans le centre d’administration Entra, on ajoute AuthPoint comme méthode d’authentification externe, puis une stratégie d’accès conditionnel l’impose à tous ou à certains groupes.

Ce qu’il faut savoir avant de se lancer :

• La licence Entra ID P1 (ou supérieure) est une exigence de Microsoft. Elle fait partie de Microsoft 365 Business Premium ; avec Business Basic ou Standard, il faut l’ajouter. Nous comparons ces offres dans Microsoft 365 Business Basic, Standard ou Premium.
• Le choix n’est pas obligatoire. Pour une entreprise qui n’utilise que Microsoft 365, Microsoft Authenticator suffit souvent. AuthPoint devient intéressant quand on veut la même application pour le VPN, les postes et Microsoft 365, avec une seule console.
• La MFA ne remplace pas les autres réglages du tenant, comme le blocage de l’authentification héritée, détaillés dans sécuriser Microsoft 365 : les 10 réglages.

Les postes et serveurs : la Logon app

La Logon app ajoute un second facteur à l’ouverture de session Windows et macOS, au bureau à distance (RDP) et à la passerelle RD Gateway. Elle comprend un agent installé sur la machine et une ressource déclarée dans AuthPoint. C’est la seule ressource qui accepte l’authentification hors ligne : WatchGuard recommande d’y autoriser le QR code ou l’OTP pour que l’utilisateur puisse ouvrir sa session sans internet.

Nous la déployons en priorité sur les serveurs accessibles en RDP, les postes des administrateurs et les ordinateurs portables qui sortent de l’entreprise. Un serveur RDP protégé par un simple mot de passe reste l’une des premières portes d’entrée des rançongiciels, comme nous le rappelons dans rançongiciel : 7 mesures pour une PME.

Les utilisateurs : locaux ou synchronisés

Trois sources d’utilisateurs coexistent :

• Utilisateurs AuthPoint créés dans la console, avec un e-mail d’activation.
• Utilisateurs synchronisés depuis Active Directory ou LDAP par la Gateway, groupe par groupe ou par requête avancée. Ils gardent leur mot de passe Active Directory, et la synchronisation tourne à intervalle régulier.
• Utilisateurs synchronisés depuis Microsoft Entra ID, pour les entreprises sans annuaire local.

Notre règle : une seule source de vérité. Les utilisateurs se créent et se désactivent dans l’annuaire, jamais à la main dans deux endroits.

Les politiques Zero Trust : où se joue la sécurité

Une politique AuthPoint associe des groupes, des ressources et les méthodes autorisées. On peut y ajouter des conditions :

• Emplacement réseau : une liste d’adresses IP depuis lesquelles la politique s’applique.
• Plage horaire : les jours et heures où la politique s’applique.
• Géorepérage : une liste de pays, par exemple pour bloquer les connexions depuis des pays sans lien avec votre activité.
• Géocinétique : refus automatique quand l’utilisateur se connecte d’un lieu qu’il n’a matériellement pas pu rejoindre depuis sa connexion précédente.

Piège classique : une politique avec conditions refuse l’accès à tout ce qui sort de ces conditions. WatchGuard recommande donc de créer une seconde politique, pour les mêmes groupes et ressources, sans conditions, puis de régler l’ordre de priorité. Autre limite documentée : les ressources RADIUS ne prennent en charge ni l’emplacement réseau ni le géorepérage, car AuthPoint ne voit pas l’adresse IP de l’utilisateur.

Les erreurs que nous corrigeons

1. AuthPoint acheté, jamais déployé sur le VPN : la licence existe, le VPN accepte toujours un simple mot de passe.
2. Le VPN protégé, mais pas le RDP : un serveur reste ouvert sans second facteur.
3. Une politique trop stricte sans politique de repli, qui bloque les commerciaux en déplacement.
4. Des comptes créés à la main en plus de l’annuaire, jamais désactivés au départ des salariés.
5. Les administrateurs exemptés « pour gagner du temps », alors que ce sont les comptes les plus visés.
6. Aucun plan pour le téléphone perdu : pas de procédure de réinitialisation, pas de jeton de secours.

Checklist avant de déployer AuthPoint

• Liste des accès à protéger : VPN, RDP, ouverture de session, Microsoft 365, applications web.
• Source des utilisateurs choisie : Active Directory, Entra ID ou console AuthPoint.
• Gateway prévue si RADIUS, Active Directory local ou ADFS.
• Licence Entra ID P1 vérifiée pour la MFA externe Microsoft 365.
• Méthodes autorisées par population, jetons matériels pour les exceptions.
• Politiques Zero Trust avec une politique de repli sans conditions.
• Procédure documentée pour un téléphone perdu ou changé.
• Communication aux utilisateurs avant chaque vague.

Comment nous procédons

Nous commençons par un audit initial offert des accès : qui se connecte à quoi, depuis où, avec quels comptes. Nous configurons ensuite AuthPoint dans WatchGuard Cloud, raccordons l’annuaire, puis activons la MFA par vagues : administrateurs et VPN d’abord, bureau à distance et serveurs ensuite, Microsoft 365 et postes pour finir. Chaque vague est accompagnée d’une note aux utilisateurs et d’une assistance au premier enrôlement. Une fois en production, les alertes de connexion et les équipements WatchGuard sont supervisés 24/7, et un incident critique est pris en charge en moins de 15 minutes.

AuthPoint s’inscrit dans notre offre de cybersécurité au Maroc, aux côtés du pare-feu WatchGuard Firebox et de la protection des postes présentée dans WatchGuard EPDR et Endpoint Security. Pour une vue d’ensemble de la démarche, lisez Zero Trust pour une PME. Demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.