Un mot de passe finit toujours par sortir quelque part : réutilisé sur un site qui se fait pirater, tapé sur une fausse page de connexion, noté sur un post-it collé à l'écran. La double authentification (on parle aussi de MFA, de 2FA ou de validation en deux étapes) fait qu'un mot de passe volé ne suffit plus pour entrer. Sur Safeonweb@work, le Centre pour la Cybersécurité Belgique (CCB) recommande de l'imposer à tous les collaborateurs qui accèdent aux applications de l'entreprise, comme la messagerie ou la comptabilité, à tous ceux qui se connectent à distance et à tous ceux qui ont des droits d'administration.
Techniquement, l'activer prend quelques minutes. Ce qui demande du soin, c'est de le faire pour toute une équipe sans que la comptable se retrouve bloquée un lundi matin ou que le scanner arrête d'envoyer ses PDF. Voici l'ordre que je suivrais dans une structure de cinq à trente personnes.
1. Faire la liste des comptes qui comptent
Avant de toucher au moindre réglage, notez sur une page les services où un intrus ferait vraiment des dégâts. Dans la plupart des petites entreprises, on retrouve les mêmes :
- la messagerie (Microsoft 365 ou Google Workspace), à traiter en premier : c'est par elle qu'on réinitialise presque tous les autres mots de passe ;
- la comptabilité, la facturation et l'ERP, Odoo compris ;
- les accès à distance : VPN, bureau à distance ;
- les consoles d'administration : nom de domaine et DNS, hébergement, pare-feu, services cloud.
Pour chaque ligne, notez qui a un compte et si la double authentification est déjà active. Si vous ne savez pas qui détient les accès administrateur du domaine ou de la messagerie, réglez d'abord ce point : c'est l'objet de notre article sur le nom de domaine et les comptes administrateur.
2. Repérer ce qui va casser
Les blocages viennent presque toujours des mêmes endroits. Mieux vaut les trouver avant d'activer quoi que ce soit.
- Les comptes partagés. Une adresse info@ ou compta@ sur laquelle trois personnes se connectent avec le même mot de passe s'accommode mal d'un deuxième facteur lié au téléphone d'une seule personne. La solution propre est une boîte aux lettres partagée (Microsoft 365) ou une boîte de réception collaborative (Google Workspace), à laquelle chacun accède avec son propre compte.
- Les appareils qui envoient des e-mails tout seuls : scanner multifonction, logiciel métier, vieux script. S'ils s'identifient avec un simple nom d'utilisateur et un mot de passe, ils ne passeront plus quand les anciens protocoles d'authentification seront bloqués. Microsoft met d'ailleurs en garde contre ce point avant d'activer ses paramètres de sécurité par défaut.
- Les anciens clients de messagerie : un Outlook très ancien, une boîte configurée en IMAP ou en POP sur un téléphone. Ils ne savent pas demander le deuxième facteur.
- Les collaborateurs sans smartphone professionnel. Décidez avant le jour J : application sur le téléphone personnel, avec leur accord, ou clé de sécurité physique.
3. Choisir la méthode
Toutes les méthodes ne se valent pas. Le CCB présente le code reçu par SMS ou par appel comme l'option la moins sûre. Pour une équipe, le choix raisonnable est une application d'authentification sur le téléphone. Avec les paramètres de sécurité par défaut de Microsoft 365, l'inscription se fait avec Microsoft Authenticator. Google Workspace et Odoo acceptent les applications qui génèrent des codes temporaires, comme Google Authenticator ou Microsoft Authenticator.
Pour les comptes administrateur, visez plus solide : une clé de sécurité physique ou une passkey. Microsoft les recommande pour les comptes d'accès d'urgence, et Google Workspace permet d'imposer la clé de sécurité à un groupe précis d'utilisateurs.
4. Les administrateurs d'abord, puis toute l'équipe
Commencez par les comptes administrateur. Depuis février 2025, Microsoft impose progressivement la double authentification pour se connecter au centre d'administration Microsoft 365, et Google l'impose aux administrateurs de Workspace. Si un compte admin passe encore avec un simple mot de passe ailleurs, chez l'hébergeur ou dans Odoo par exemple, c'est le premier à corriger. Prévoyez aussi un compte d'urgence au nom de personne, protégé par une clé physique rangée en lieu sûr : c'est lui qui vous sortira d'affaire si le seul administrateur perd son téléphone. Microsoft recommande même d'en avoir deux.
Ensuite, prévenez l'équipe par écrit, quelques jours à l'avance : ce qui change, pourquoi, à partir de quelle date et quelle application installer. C'est exactement le contenu que Google conseille pour ce message. Puis faites l'inscription ensemble, en réunion ou en visio. Chacun installe l'application, scanne le code QR (sur Microsoft 365, depuis la page myprofile.microsoft.com, rubrique des informations de sécurité), puis se déconnecte et se reconnecte pour vérifier que tout fonctionne. Safeonweb termine sa procédure par cette vérification, et c'est celle qu'on oublie.
Quand le service propose des codes de secours, faites-les imprimer ou noter, et rangez-les ailleurs que dans le téléphone qui sert de deuxième facteur.
5. Rendre la double authentification obligatoire
Tant qu'elle reste facultative, une partie de l'équipe ne l'activera jamais. Une fois tout le monde inscrit, imposez-la :
- Microsoft 365 : sans licence Business Premium ou Entra ID P1, ce sont les paramètres de sécurité par défaut (Security defaults), dans le centre d'administration Microsoft Entra, page Propriétés. Ils sont activés d'office sur les environnements créés depuis octobre 2019 : vérifiez que personne ne les a désactivés depuis. Avec Business Premium, on passe par l'accès conditionnel.
- Google Workspace : console d'administration, Sécurité, Authentification, Validation en deux étapes. On peut fixer une date d'application et laisser aux nouveaux arrivants un délai pour s'inscrire.
- Odoo : dans les versions récentes, Paramètres, section Permissions, option qui impose la double authentification aux employés. Sur certaines versions, il faut d'abord installer le module « 2FA by mail ».
Le jour où un téléphone est perdu
Ça arrivera. Décidez dès maintenant qui peut réinitialiser le deuxième facteur d'un collaborateur, et comment on le joint. Dans Odoo, un administrateur doit désactiver la double authentification du compte avant que l'utilisateur puisse se reconnecter. Dans Microsoft 365, un administrateur peut exiger une nouvelle inscription ; dans Google Workspace, il peut générer des codes de secours pour l'utilisateur. Mettez ce nom et ce numéro sur votre fiche d'urgence imprimée.
Donnez aussi une règle simple à toute l'équipe : une demande de validation qu'on n'a pas déclenchée soi-même, on la refuse et on prévient. Elle veut dire que quelqu'un connaît déjà le mot de passe, qu'il faut alors changer. C'est pour contrer ce genre d'insistance que Microsoft Authenticator fait taper un nombre affiché à l'écran au lieu d'un simple bouton « Approuver ».
Le plus long, dans ce chantier, n'est pas l'activation : c'est l'inventaire et les cas particuliers. Si vous préférez le faire avec quelqu'un, ou simplement faire vérifier ce qui est déjà en place, c'est typiquement le travail sur les comptes et les accès que nous faisons en pack d'heures d'expertise IT : info@z80.be ou +32 494 111 041.