# MFA : SMS, application, notification, clé FIDO2 ou passkey ?

Source : https://cybercaribou.com/comparatifs/methodes-mfa-comparatif · Cyber Caribou

> Texto, application à code, notification avec correspondance de nombres, clé FIDO2 ou passkey : quelle méthode MFA résiste vraiment à l'hameçonnage ?

Activer l'authentification multifacteur, c'est la base. Mais « MFA » regroupe des méthodes très différentes, du code par texto à la clé de sécurité physique. Devant un attaquant qui relaie une fausse page de connexion en temps réel, certaines tiennent bon et d'autres cèdent sans bruit.

Ce comparatif place côte à côte les cinq méthodes que l'on rencontre dans les PME québécoises. Pour le récit détaillé des attaques et un plan de déploiement, lisez aussi notre article [Choisir son MFA : le SMS ne suffit plus](https://cybercaribou.com/blogue/authentification-multifacteur-choisir-mfa).

- Nous comparons des approches, pas des produits. Chaque valeur du tableau s'appuie sur les publications du NIST, de la CISA, du Centre canadien pour la cybersécurité et de la FIDO Alliance, ainsi que sur la documentation de Microsoft, consultées en octobre 2026.
- Critères retenus : résistance à trois attaques courantes, statut selon le NIST, matériel requis, fonctionnement sans réseau, prise en charge par Microsoft 365, coût et récupération en cas de perte.
- Le seul prix cité vient du site officiel d'un fabricant de clés ; il est indicatif.
- Ce comparatif n'est pas commandité.

## Trois attaques qui départagent les méthodes

**Le relais en temps réel.** Une trousse d'hameçonnage affiche une copie de la page de connexion et transmet au vrai site tout ce que la victime tape, y compris le code. Le NIST est clair : les codes à usage unique et les méthodes hors bande, comme les notifications et le texto, ne résistent pas à l'hameçonnage. Seuls les authentificateurs cryptographiques liés au nom du site, comme FIDO2 et WebAuthn, y résistent.

**L'échange de carte SIM.** Un fraudeur convainc l'opérateur de transférer votre numéro sur sa carte SIM et reçoit vos codes. Seules les méthodes qui passent par le réseau téléphonique y sont exposées. C'est l'une des raisons pour lesquelles le NIST classe le texto comme « restreint ».

**Le bombardement de notifications.** L'attaquant, qui connaît déjà le mot de passe, déclenche des demandes d'approbation en rafale jusqu'à ce que la victime cède. Le NIST juge désormais inacceptable la simple approbation « Approuver / Refuser ». La correspondance de nombres règle ce problème : l'utilisateur doit taper le nombre affiché à l'écran. Microsoft l'applique à toutes les notifications Authenticator.

## Ce que recommandent les autorités

Les trois organismes convergent. La CISA écrit que la seule authentification résistante à l'hameçonnage largement disponible est FIDO/WebAuthn, tout en rappelant que n'importe quel MFA vaut mieux que rien. Pour les organisations qui ne peuvent pas encore la déployer, elle recommande la correspondance de nombres comme mesure transitoire.

Le Centre canadien pour la cybersécurité va plus loin pour les comptes administrateurs : MFA résistant à l'hameçonnage sans exception, et retrait de toute méthode de secours vulnérable. Il reconnaît aussi que ces méthodes ont souvent un coût, à mettre en balance avec le risque.

Le NIST ajoute une nuance utile : les passkeys synchronisées sont admises jusqu'au niveau AAL2, mais pas au niveau AAL3, qui exige une clé privée non exportable. Pour les comptes les plus sensibles, la clé matérielle garde donc l'avantage.

## Coûts et logistique

Une clé de sécurité d'entrée de gamme se vend à partir de 29 $ US sur le site de Yubico. Comptez deux clés par personne, dont une gardée en lieu sûr : la FIDO Alliance note qu'une clé de sécurité peut servir de moyen de récupération.

Les passkeys, elles, ne coûtent rien de plus si les appareils sont compatibles, ce qui est le cas des principaux systèmes d'exploitation et navigateurs. Synchronisées, elles suivent l'utilisateur d'un appareil à l'autre. Pour se connecter sur un ordinateur avec la passkey du téléphone, il faut balayer un code QR, et le Bluetooth sert à vérifier que les deux appareils sont proches.

Pour les téléphones perdus, prévoyez une procédure. Dans Microsoft Entra ID, un accès temporaire (Temporary Access Pass) permet d'enregistrer une nouvelle méthode sans repasser par le texto.

## Comment choisir

Raisonnez par type de compte plutôt que d'imposer une seule méthode :

1. **Administrateurs** (Microsoft 365, pare-feu, sauvegardes, nom de domaine) : clés FIDO2, deux par personne, sans méthode de secours faible.
2. **Finances, paie et direction** : passkeys ou clés FIDO2. Ce sont les cibles de la [fraude du président](https://cybercaribou.com/blogue/fraude-president-courriel-affaires-compromis).
3. **Tous les employés** : au minimum la correspondance de nombres, puis migration vers les passkeys.
4. **Le texto** : une transition, jamais une méthode de secours permanente.

Quelle que soit la combinaison retenue, faites un projet pilote de deux semaines avec quelques volontaires, dont idéalement la personne la moins à l'aise avec la technologie. Vous repérerez vite les accrocs : un vieux portable sans lecteur d'empreinte, un poste partagé à l'entrepôt, un technicien qui travaille avec des gants. Retirez ensuite les méthodes faibles de la politique d'authentification elle-même, pas seulement des habitudes, pour qu'un attaquant ne puisse pas s'y rabattre.

Les questionnaires d'assurance cyber posent généralement des questions précises sur le MFA ; notre guide pour [réussir le questionnaire d'assurance cyber](https://cybercaribou.com/blogue/assurance-cyber-questionnaire-assureur) indique ce qu'ils vérifient. Pour savoir où vous en êtes réellement, notre [audit Microsoft 365 et Google Workspace](https://cybercaribou.com/services/audit-microsoft-365-google-workspace) recense les méthodes permises, les exclusions oubliées et les comptes encore protégés par texto.

## FAQ

**Le texto est-il encore acceptable pour le MFA ?**
Il vaut mieux qu'un mot de passe seul, mais c'est la méthode la plus faible du comparatif. Le NIST le classe comme authentificateur « restreint » et exige d'offrir une solution de rechange. Utilisez-le seulement comme transition, et retirez-le des méthodes de secours une fois une meilleure méthode en place.

**Quelle est la différence entre une clé FIDO2 et une passkey ?**
Elles reposent sur la même technologie FIDO. Une clé FIDO2 est un objet physique dont la clé privée ne quitte jamais l'appareil. Une passkey peut être synchronisée entre vos appareils par Apple, Google ou un gestionnaire de mots de passe, ou rester liée à un seul appareil. La FIDO Alliance précise que les passkeys liées à une clé de sécurité matérielle offrent le plus haut niveau d'assurance.

**Faut-il donner une clé FIDO2 à tous les employés ?**
Pas nécessairement. Pour la plupart des employés, des passkeys sur des appareils gérés offrent la même résistance à l'hameçonnage sans achat de matériel. Les clés physiques sont surtout justifiées pour les administrateurs, les comptes financiers et les employés qui partagent un poste ou n'ont pas de téléphone professionnel.

**Les passkeys remplacent-elles le mot de passe ?**
Elles le peuvent. Microsoft Entra ID accepte les passkeys comme méthode de connexion principale, sans mot de passe. Dans les faits, la plupart des PME procèdent par étapes : la passkey sert d'abord de second facteur, puis devient la méthode principale une fois tous les appareils compatibles.

## Sources

- [Centre canadien pour la cybersécurité : Défense contre les attaques de type « adversaire au milieu » grâce au MFA résistant à l'hameçonnage (ITSM.30.031)](https://www.cyber.gc.ca/fr/orientation/defense-contre-attaques-type-adversaire-milieu-grace-authentification-multifacteur-resistante-lhameconnage-itsm30031)
- [NIST SP 800-63B-4 : Digital Identity Guidelines, Authentication and Authenticator Management](https://pages.nist.gov/800-63-4/sp800-63b.html)
- [CISA : More than a Password (MFA)](https://www.cisa.gov/MFA)
- [CISA : Implementing Number Matching in MFA Applications (fiche d'information)](https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf)
- [FIDO Alliance : Passkeys](https://fidoalliance.org/passkeys/)
- [Microsoft Learn : méthodes d'authentification prises en charge par Microsoft Entra ID](https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-methods)
- [Microsoft Learn : fonctionnement de la correspondance de nombres dans Authenticator](https://learn.microsoft.com/en-us/entra/identity/authentication/how-to-mfa-number-match)
- [Yubico : Security Key NFC (prix et protocoles)](https://www.yubico.com/ca/product/security-key-nfc-by-yubico/)