Points cl\u00e9s<\/p>\n
- \n
- Le risque d\u00e9termine le facteur.<\/strong> Appareil, localisation, comportement et valeur de la ressource dictent l\u2019escalade – et non une r\u00e8gle g\u00e9n\u00e9rique \u00ab toujours envoyer une notification push \u00bb.<\/li>\n
- Priorit\u00e9 aux facteurs r\u00e9sistants au phishing.<\/strong> Passkeys\/FIDO d\u00e8s que possible ; SMS et notifications push fatigantes uniquement en transition.<\/li>\n
- Renforcer les processus d\u2019assistance.<\/strong> Les r\u00e9initialisations via le helpdesk et les acc\u00e8s d\u2019urgence (break-glass) repr\u00e9sentent souvent le maillon faible – et non le bouton de connexion.<\/li>\n<\/ul>\n<\/div>\n
\u00c0 lire aussi :<\/span>Qu\u2019est-ce qu\u2019un passkey ? D\u00e9finition et normes<\/a> \/<\/span> Passkeys en entreprise : la fin du mot de passe<\/a><\/p>\n
Quand l’MFA standard \u00e9choue<\/h2>\n
Qu’est-ce que l’MFA adaptative ?<\/strong> L’MFA adaptative (authentification multifacteur bas\u00e9e sur les risques) d\u00e9termine, en fonction de signaux tels que l’appareil, le r\u00e9seau, le comportement et la valeur de la ressource, si et quel facteur suppl\u00e9mentaire est requis – allant jusqu’au blocage ou \u00e0 un acc\u00e8s sans mot de passe, plut\u00f4t que d’appliquer des r\u00e8gles rigides comme un push syst\u00e9matique pour tous.<\/p>\n
De nombreuses organisations ont \u00ab d\u00e9ploy\u00e9 \u00bb l’MFA : notification push via une application ou SMS sur tous les comptes, case coch\u00e9e dans la liste de conformit\u00e9. Pourtant, les attaquants et la r\u00e9alit\u00e9 exploitent les failles autour. Les attaques par fatigue bombardent les utilisateurs de demandes de push jusqu’\u00e0 ce que l’une d’elles soit valid\u00e9e. Le vol de cookies de session et de jetons contourne le second facteur apr\u00e8s la connexion. L’ing\u00e9nierie sociale ciblant le helpdesk r\u00e9initialise le facteur sans v\u00e9rifier le titulaire du compte.<\/p>\n
L’MFA adaptative r\u00e9pond \u00e0 la question d\u00e9cisive : quand la confiance dans l’appareil suffit-elle, quand une authentification renforc\u00e9e r\u00e9sistante au phishing devient-elle obligatoire, et quand le blocage strict de la connexion s’impose-t-il ?<\/p>\n
\nD\u00e9finition \u00b7 MFA adaptative<\/p>\n
Authentification multifacteur bas\u00e9e sur les risques : des signaux (appareil, r\u00e9seau, comportement, ressource, identit\u00e9) d\u00e9terminent si et quel facteur suppl\u00e9mentaire est requis – allant jusqu’au blocage ou \u00e0 un acc\u00e8s sans mot de passe.<\/p>\n<\/div>\n
Signaux qui devraient vraiment d\u00e9clencher une v\u00e9rification<\/h2>\n
Kit minimal pour la pratique : appareil g\u00e9r\u00e9 vs. inconnu, acc\u00e8s inhabituels g\u00e9ographiquement ou depuis un r\u00e9seau diff\u00e9rent, voyage impossible, nouveau navigateur\/agent utilisateur (UA), acc\u00e8s \u00e0 des applications privil\u00e9gi\u00e9es (portails d’administration, syst\u00e8mes financiers, gestion des identit\u00e9s) et type d’identit\u00e9 (humain, service, acc\u00e8s d’urgence).<\/p>\n
Connexion \u00e0 faible risque depuis un appareil g\u00e9r\u00e9 au sein du r\u00e9seau d’entreprise vers une application non critique : aussi fluide que possible (Passkey ou session SSO). Risque \u00e9lev\u00e9 : nouvel emplacement, appareil personnel, acc\u00e8s \u00e0 l’administration d’Entra\/AD – authentification renforc\u00e9e r\u00e9sistante au phishing ou refus. Cela r\u00e9duit la fatigue, car chaque connexion pour commander un caf\u00e9 ne d\u00e9clenche pas une notification push.<\/p>\n
Classer les facteurs par r\u00e9sistance<\/h2>\n
Les cl\u00e9s d’acc\u00e8s (passkeys) et les cl\u00e9s de s\u00e9curit\u00e9 FIDO2 repr\u00e9sentent l’objectif \u00e0 atteindre pour les groupes d’utilisateurs privil\u00e9gi\u00e9s et larges, lorsque le mat\u00e9riel et le syst\u00e8me d’exploitation le permettent. Les mots de passe \u00e0 usage unique bas\u00e9s sur le temps (TOTP) sont pr\u00e9f\u00e9rables aux SMS, mais restent vuln\u00e9rables au phishing. Les notifications push sans appariement de num\u00e9ros sont sujettes \u00e0 la fatigue de l’utilisateur ; avec appariement de num\u00e9ros, c’est mieux, mais toujours pas r\u00e9sistant au phishing. Les SMS et les appels vocaux restent des solutions de dernier recours – et doivent \u00eatre exclus des parcours privil\u00e9gi\u00e9s.<\/p>\n
Une authentification multifacteur (MFA) adaptative sans feuille de route pour les facteurs se solde souvent par \u00ab toujours des SMS, mais moins souvent \u00bb. La politique doit imposer un chemin de mise \u00e0 niveau : les applications critiques ne doivent plus accepter que des m\u00e9thodes r\u00e9sistantes.<\/p>\n
\n - Priorit\u00e9 aux facteurs r\u00e9sistants au phishing.<\/strong> Passkeys\/FIDO d\u00e8s que possible ; SMS et notifications push fatigantes uniquement en transition.<\/li>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/was-ist-ein-passkey-cover-hero-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/passkeys-unternehmen-passwortlos-cover-hero-1-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/06\/adaptive-mfa-nis2-audit-policy-nachweis-conditional-access-cover-hero-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-copilot-adoption-eigenversuch-20156955.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-bfsi-back-office-automatisierung-ibpm-ba-13429849-250x143.png\")
<\/span>