MFA obligatoire : pourquoi c’est non négociable en 2026

« Obligatoire » : de quelle règle parle-t-on ?

Microsoft impose progressivement le MFA pour certains accès d’administration, notamment Azure, Entra, Intune et le centre d’administration Microsoft 365. Le périmètre précis est décrit dans sa documentation officielle. Cette mesure ne doit pas être confondue avec une protection automatiquement appliquée à tous les usages de tous les salariés.

La décision à prendre dans votre entreprise est donc concrète : quels comptes protégeons-nous, avec quelles méthodes et qui vérifie l’application de la règle ? Attendre qu’un service vous l’impose ne remplace pas cette réflexion.

Le MFA : une vérification supplémentaire, pas une formalité.

L’authentification multifacteur combine des facteurs de catégories différentes : quelque chose que vous connaissez, possédez ou êtes. Un mot de passe et un deuxième mot de passe ne constituent pas deux facteurs distincts. Une application d’authentification, une clé de sécurité ou une méthode intégrée à l’appareil peuvent participer au dispositif.

Le parcours doit rester compréhensible. Un collaborateur doit savoir quand une demande de validation est attendue, comment la reconnaître et quoi faire si elle arrive sans connexion de sa part. La mise en place technique gagne à être accompagnée d’une explication courte, adaptée aux outils réellement utilisés.

Le réflexe à transmettre : ne jamais approuver une demande de connexion que l’on n’a pas initiée.

Toutes les méthodes ne se valent pas.

Les méthodes compatibles et leur niveau de protection varient. Microsoft distingue notamment les méthodes résistantes à l’hameçonnage, comme les passkeys FIDO2, des méthodes qui peuvent être trompées par un faux parcours de connexion. Le MFA ne supprime pas tous les risques, notamment ceux liés aux sessions compromises.

Pour choisir, partez des personnes. Un salarié dispose-t-il d’un téléphone professionnel ? Travaille-t-il sur un poste partagé ? Une clé physique est-elle plus adaptée ? Comment remplace-t-on un appareil perdu ? Le choix doit couvrir ces situations, pas uniquement la démonstration faite au bureau.

Évitez de faire reposer la continuité d’un accès important sur le téléphone personnel d’une seule personne. Le dispositif doit être documenté et permettre un changement d’équipement dans un cadre contrôlé.

Déployez une règle, avec un parcours de secours.

Un déploiement réussi se prépare avec une liste des comptes concernés et un groupe pilote. Testez les usages ordinaires : démarrer la journée, changer d’appareil, se connecter en déplacement et récupérer un accès après perte du téléphone. Recueillez les difficultés avant d’étendre la règle.

Prévoyez une procédure de vérification d’identité pour les demandes de réinitialisation. Une urgence exprimée par téléphone ne doit pas suffire à faire remplacer une méthode d’authentification. Les personnes chargées du support doivent connaître la procédure et savoir à qui demander une validation.

Documentez aussi les accès d’urgence avec votre administrateur. Chez Microsoft, les exigences de MFA peuvent concerner ces comptes : il faut prévoir des méthodes adaptées, tester leur fonctionnement et surveiller leur utilisation, plutôt que les considérer comme des exceptions permanentes.

Vérifiez ce qui est réellement appliqué.

Le jour du lancement n’est pas la fin du travail. Lors d’une arrivée, un compte doit recevoir les bons paramètres. Lors d’un départ, ses accès doivent être traités. Lors d’un changement d’outil, la règle doit être réexaminée. Ces opérations ont besoin d’un responsable et d’un suivi.

Un point de contrôle utile ne se limite pas à compter les utilisateurs inscrits. Il examine les comptes visés par la politique, les exceptions, les méthodes disponibles et les scénarios qui ont été testés. Les licences et les fonctionnalités de votre environnement déterminent les moyens de mise en œuvre.

• Les comptes d’administration sont identifiés.
• Les collaborateurs comprennent les demandes de validation.
• La perte d’un téléphone dispose d’une procédure.
• Les exceptions ont un propriétaire et une échéance.
• Les arrivées et départs sont intégrés au suivi.

Notre conviction : une règle de sécurité protège mieux lorsqu’elle est comprise, appliquée et entretenue. C’est ce travail d’accompagnement qui transforme le MFA en pratique durable.