Authentification à double facteur
L'authentification à double facteur ajoute à la connexion une seconde preuve indépendante du mot de passe, le plus souvent un code temporaire lu sur un téléphone.
Définition
L’authentification à double facteur ajoute à la connexion une seconde preuve indépendante du mot de passe, le plus souvent un code temporaire lu sur un téléphone. Elle ne rend pas le mot de passe inutile : elle rend inutile un mot de passe volé.
Deux facteurs, et pourquoi deux
Une preuve que l’on sait, une preuve que l’on détient.
Le mot de passe appartient à la première catégorie : c’est une information. Elle se devine, se rejoue depuis une fuite de base de données d’un autre service, se retrouve dans un carnet, se tape sur un poste infecté. Le second facteur appartient à la seconde : c’est un objet physique, téléphone, clé USB de sécurité ou application installée sur un appareil précis. Pour entrer, il faut désormais tenir les deux en même temps.
Le facteur le plus répandu est le code à six chiffres qui change toutes les trente secondes, calculé par une application d’authentification à partir d’un secret partagé une seule fois, au moment de l’activation. Son nom technique est TOTP, pour mot de passe à usage unique fondé sur le temps, et c’est un standard public : n’importe quelle application compatible TOTP lit n’importe quel site compatible TOTP, sans dépendance à un éditeur. Il fonctionne sans réseau et sans abonnement. Le code reçu par message est une variante plus faible, parce qu’un numéro de téléphone peut être détourné auprès de l’opérateur.
Les méthodes disponibles, de la plus robuste à la plus faible
Quatre familles, et elles ne se valent pas.
| Méthode | Ce qu’elle vaut |
|---|---|
| Clé de sécurité physique, norme WebAuthn | la plus robuste, elle vérifie aussi l’adresse du site et résiste donc à l’hameçonnage |
| Application d’authentification qui génère un code temporaire, comme Google Authenticator, Microsoft Authenticator ou une application libre | le bon compromis, elle fonctionne sans réseau et n’est liée à aucun numéro |
| Code envoyé par courriel | acceptable en dépannage, mais la boîte mail devient le maillon faible |
| Code reçu par message téléphonique | le plus faible, un numéro peut être détourné auprès de l’opérateur |
L’ANSSI classe l’authentification multifacteur par la résistance de chaque facteur, et place les codes reçus par message en dernier pour cette raison. Sur un site WordPress, l’application d’authentification couvre la quasi-totalité des besoins, et la clé physique se justifie pour un compte administrateur unique qui gère plusieurs sites.
Ce qu’elle bloque vraiment
Trois attaques sur quatre visent le mot de passe, pas le site.
| Menace | Effet de la double authentification |
|---|---|
| Essais automatisés de mots de passe courants | bloquée, même quand le mot de passe est deviné |
| Mot de passe réutilisé, retrouvé dans la fuite d’un autre service | bloquée |
| Message d’hameçonnage qui imite la page de connexion | gênée, l’attaquant doit utiliser le code dans la minute |
| Faille d’une extension qui donne un accès direct | sans effet, la connexion n’est pas utilisée |
| Cookie de session volé sur un poste infecté | sans effet, la session est déjà ouverte |
Les deux dernières lignes disent l’essentiel : la double authentification protège la porte d’entrée, pas les fenêtres. Elle se pose en complément des mises à jour et de la rotation des clés de sécurité, jamais à leur place.
L’activer sur WordPress
WordPress ne la propose pas d’origine, une extension s’en charge.
Choisir une extension maintenue
La plupart des extensions de sécurité généralistes embarquent un module de connexion qui la fournit. Vérifier la date de dernière mise à jour sur https://fr.wordpress.org/plugins/ avant d’installer.
L’activer d’abord sur son propre compte
Le réglage se trouve dans le profil utilisateur, sous Utilisateurs puis Profil, ou dans l’écran dédié de l’extension. Scanner le code affiché avec l’application d’authentification installée sur le mobile, saisir le premier code généré pour confirmer, puis vérifier en se déconnectant et en se reconnectant.
Mettre les codes de secours à l’abri
L’extension fournit des codes à usage unique. Ils servent le jour où le téléphone est perdu ou changé. Hors du site, hors du gestionnaire de mots de passe qui garde déjà le mot de passe.
La rendre obligatoire pour les rôles sensibles
Administrateur d’abord, éditeur ensuite. Une extension qui permet l’activation sans l’imposer laisse la décision à chacun, et la plupart des comptes ne l’activent jamais.
Le raccourci à éviter. Installer l’extension, l’activer pour soi, et considérer le sujet réglé. Tant que l’obligation n’est pas posée sur le rôle, les autres comptes restent protégés par un seul mot de passe. C’est exactement ce que montre le relevé ci-dessous : la fonction est en place, elle n’est utilisée par personne.
Masquer la connexion, limiter les tentatives, authentifier
Trois gestes souvent confondus, qui ne répondent pas à la même question.
Déplacer la page de connexion vers une adresse inhabituelle fait chuter le volume de requêtes automatisées, parce que les robots frappent l’adresse standard. C’est une mesure d’hygiène qui allège le serveur, pas un contrôle d’identité : l’adresse finit par fuiter, dans un lien de courriel, dans un signet partagé ou dans un fichier de configuration.
Limiter les tentatives bloque une adresse après plusieurs échecs. Cela ralentit les essais en série, et ne fait rien du tout contre une tentative unique menée avec le bon mot de passe.
La double authentification répond seule à la question « cette personne est-elle bien celle qu’elle prétend être ». Les trois se posent ensemble, dans cet ordre de valeur, et c’est la troisième qui manque le plus souvent.
Relevé du 16 septembre 2026, sur un site vitrine WordPress d’une trentaine de pages, hébergement mutualisé, deux comptes dont un administrateur. L’extension de sécurité installée, Wordfence, embarque un module de connexion dont le réglage d’activation de la double authentification est bien à un, et pourtant sa table des secrets est vide : aucun des deux comptes n’en a activé une, aucune clé d’accès n’est enregistrée, et le réglage qui la rendrait obligatoire pour le rôle administrateur est vide lui aussi. La fonction est donc payée, installée, disponible, et inutilisée. En face, le journal d’accès du 31 août au 15 septembre 2026, soit seize jours, porte 636 requêtes vers l’adresse de connexion standard, dont 45 envois de formulaire, depuis 138 adresses distinctes. La page de connexion ayant été déplacée par une extension, 258 de ces requêtes reçoivent une page introuvable et personne n’est passé. Le chiffre à retenir n’est pas le volume, qui est ordinaire pour un site exposé, mais le rapport : 138 adresses différentes ont cherché la porte en seize jours sur un site qui reçoit quelques visites par jour. Le jour où l’une d’elles trouve à la fois l’adresse et le mot de passe, seul un second facteur l’arrête.
Questions fréquentes
Que se passe-t-il si je perds mon téléphone ?
Les codes de secours générés à l’activation servent exactement à ce cas, et c’est la raison pour laquelle ils se conservent ailleurs que dans le téléphone. À défaut, un administrateur du site peut retirer la double authentification d’un compte depuis son profil. Et si le seul administrateur est bloqué, l’extension se désactive en renommant son dossier dans wp-content/plugins par un accès de type FTP ou par le gestionnaire de fichiers de l’hébergement.
Faut-il l’imposer aux clients d’une boutique ?
Non, et c’est une confusion courante. Sur une boutique WooCommerce, le risque porte sur les comptes qui peuvent modifier le site, pas sur ceux qui passent commande. Imposer un second facteur à des acheteurs fait chuter les commandes sans rien protéger. La règle raisonnable est de l’exiger pour les rôles administrateur et éditeur, et de la proposer sans l’imposer aux autres.
Une extension de sécurité suffit-elle à tout couvrir ?
Elle couvre la porte d’entrée. Une extension obsolète, un fichier déposé sur le serveur ou une session déjà ouverte lui échappent entièrement. La double authentification s’inscrit dans un ensemble : mises à jour appliquées, extensions abandonnées retirées, permissions de fichiers correctes, clés de sécurité renouvelées après tout incident.
Le code est refusé alors qu’il vient d’être généré, que faire ?
C’est presque toujours un décalage d’horloge. Le code à usage unique est calculé à partir de l’heure : si l’horloge du téléphone ou celle du serveur dérive de plus d’une minute, le code généré n’est plus celui que le site attend. La correction se fait côté mobile, en activant la synchronisation automatique de l’heure, et côté hébergement en vérifiant le fuseau et la synchronisation du serveur. Les extensions tolèrent en général une fenêtre de quelques dizaines de secondes, pas davantage. Si le problème persiste sur un seul compte, un code de secours permet d’entrer et de réinitialiser l’association de l’appareil.
Sources
Et sur votre site ?
Une définition ne dit pas si vous êtes concerné.
L'audit gratuit répond dans votre cas : état technique, temps de chargement, et ce que Google voit réellement de vos pages. Un constat écrit, sans engagement et sans jargon.