La MFA réduit le risque qu’un mot de passe volé suffise pour accéder à un compte, mais elle peut poser un problème opérationnel lorsqu’un téléphone est perdu, qu’un appareil est remplacé ou que la personne qui administrait un service quitte l’entreprise. Si personne ne peut récupérer l’accès à WordPress, à l’hébergement ou au DNS, un incident technique simple peut devenir une interruption difficile à gérer.
Le problème ne se résout pas en partageant des codes, en laissant une adresse e-mail personnelle comme moyen de récupération ou en créant des exceptions permanentes. L’alternative est un plan de récupération MFA limité aux comptes critiques, avec des responsables internes, une validation proportionnée à l’impact et une vérification défensive après chaque récupération. L’objectif est de rétablir un accès autorisé sans transformer le processus en porte dérobée.
La récupération MFA est également une action sensible
Un compte peut être bien protégé lors de la connexion et rester néanmoins exposé s’il est trop facile de modifier son numéro de téléphone, d’enregistrer une nouvelle passkey ou de changer l’adresse e-mail de récupération. OWASP recommande que la réinitialisation de la MFA permette de récupérer un accès légitime sans faciliter le détournement du compte. L’organisation conseille également de demander une nouvelle authentification à l’aide d’un facteur déjà enregistré avant de modifier les facteurs MFA, plutôt que de se fier uniquement à une session qui pourrait avoir été compromise. [3]
Il est préférable de traiter la perte du second facteur comme un processus de continuité et de sécurité, et non comme une demande informelle par chat. La personne qui demande le changement doit être identifiée au moyen d’un canal défini, et la décision doit être consignée. Lorsque le compte permet de publier des contenus, de modifier le DNS, de restaurer des sauvegardes ou de consulter des données clients, une seconde approbation interne peut constituer une mesure raisonnable.
- Exigez une demande via le canal interne convenu.
- Vérifiez l’identité et le motif avant de modifier ou de supprimer un facteur.
- Consignez qui a autorisé l’action, quand elle a été effectuée et ce qui doit être vérifié ensuite.
Délimitez les comptes inclus dans le plan
Il n’est pas nécessaire de commencer par tous les comptes de l’entreprise. Priorisez ceux qui peuvent affecter la disponibilité, la configuration ou les informations du site web : administration du CMS, hébergement, DNS, messagerie d’entreprise, CDN ou WAF, plateforme de commerce électronique et fournisseur d’identité. L’ENISA recommande de décider quels actifs et rôles nécessitent la MFA selon leur criticité, de définir des méthodes de secours sécurisées et de surveiller les journaux d’authentification. [4]
Classez chaque compte selon sa capacité à générer un impact, et non selon la fonction de la personne qui l’utilise. Une même personne peut avoir accès à plusieurs fournisseurs, mais chaque service aura ses propres mécanismes d’assistance, éléments de preuve et délais. Par exemple, un compte qui modifie des enregistrements DNS nécessite un parcours de récupération différent de celui du compte éditorial qui publie un article sur le blog.
- Service et URL officielle d’accès.
- Propriétaire interne et second responsable autorisé.
- Niveau de privilège et actions que le compte permet d’effectuer.
Créez une fiche de récupération par fournisseur
Pour chaque plateforme critique, préparez une fiche concise et accessible uniquement aux personnes qui doivent l’utiliser. Elle doit indiquer qui peut ouvrir une demande auprès du fournisseur, quelles vérifications internes sont réalisées, quel est le canal officiel d’assistance et quels changements nécessitent une double vérification. Évitez d’inclure des mots de passe, des codes temporaires, des graines d’authentificateurs ou d’autres secrets dans des documents partagés.
Le NIST envisage des mécanismes tels que les codes de récupération, les contacts de récupération et la répétition de la vérification d’identité. Il indique également que les événements de récupération doivent générer des notifications afin d’aider à détecter les usages frauduleux. Si un fournisseur propose des codes de récupération, conservez-les selon une politique interne et vérifiez leur validité chaque fois que les responsables autorisés changent. [1]
- Voie officielle de récupération et coordonnées du fournisseur.
- Éléments de preuve ou approbations internes nécessaires avant d’entamer la démarche.
- Étapes obligatoires ultérieures : vérification des facteurs, des sessions et des contacts de récupération.
Répondez différemment selon l’incident
En cas de perte ou de remplacement d’un appareil, l’objectif est d’enregistrer un nouveau facteur sans se précipiter pour supprimer l’ancien s’il est encore possible de vérifier sa situation. Exemple hypothétique : la responsable des contenus change de téléphone et conserve l’accès à son compte d’entreprise. Un second responsable valide la demande, le nouveau facteur est enregistré au moyen du processus officiel, puis il est confirmé que les anciens facteurs devenus inutiles ont été retirés.
Un départ de personnel ou une suspicion de compromission exige davantage de prudence. Dans le premier cas, il faut retirer l’accès et les méthodes de récupération liées à cette personne selon le périmètre autorisé. Dans le second, récupérer le mot de passe ne suffit pas : OWASP recommande de vérifier les méthodes MFA, les adresses de récupération, les sessions actives et les changements récents, et d’invalider les sessions ou les liens de récupération qui ne doivent plus rester valides. [5]
- Perte d’appareil : validez la demande et enregistrez le nouveau facteur.
- Départ de personnel : retirez les autorisations, facteurs et contacts associés.
- Suspicion de compromission : vérifiez les sessions, les changements récents et les données de récupération avant de clôturer le dossier.
Testez le processus et améliorez ce qui échoue
Une procédure qui n’a jamais été testée peut dépendre, sans que personne ne le sache, d’une personne précise ou d’informations obsolètes. Réalisez des tests contrôlés, avec une autorisation préalable et sur des comptes ou environnements prévus à cet effet. Le test ne vise pas à forcer des accès : il vérifie que l’équipe localise la fiche, identifie le responsable, utilise le canal officiel du fournisseur et documente le résultat.
Révisez le plan après des changements de fournisseur, de personnel, de domaines, de rôles ou de méthodes d’authentification. Pour les comptes ayant une valeur ou des privilèges plus élevés, la CISA recommande de prioriser une MFA résistante au phishing et de commencer par les services compatibles ainsi que par des groupes tels que les administrateurs système ou les équipes d’assistance. Les codes OTP saisis manuellement peuvent encore avoir une utilité opérationnelle, mais le NIST ne les considère pas comme résistants au phishing, car ils peuvent être retransmis depuis un site imposteur. [2] [1]
- Planifiez une vérification périodique et une autre après des changements importants.
- Notez la date du test, les incidents détectés et la personne responsable de les corriger.
- Mettez à jour la fiche uniquement après avoir vérifié que le nouveau parcours fonctionne.
Questions fréquentes
Devons-nous conserver les codes de récupération MFA dans un document partagé ?
Il n’est pas recommandé de conserver des codes, mots de passe ou secrets MFA dans des documents partagés d’usage général. Si le fournisseur propose des codes de récupération, l’entreprise peut définir une conservation restreinte, des contrôles d’accès et des vérifications lorsque les responsables changent. La fiche opérationnelle doit indiquer où s
Deux responsables doivent-ils partager le même compte administrateur ?
Non. Il est préférable que chaque responsable dispose de sa propre identité et d’autorisations adaptées à sa fonction. Cela permet de retirer les accès individuellement, de vérifier l’activité et de maintenir un parcours de récupération sans partager de mots de passe ni de facteurs MFA. Lorsque le fournisseur le permet, attribuez des rôles différés
À quelle fréquence faut-il réviser le plan de récupération MFA ?
Révisez-le périodiquement et chaque fois que des changements importants interviennent : départ ou arrivée de personnel, remplacement d’appareils, changement de fournisseur, ajout d’un domaine ou modification des privilèges. Un test contrôlé permet de détecter des contacts obsolètes, des instructions incomplètes ou des dépendances à une seule person