Le mot de passe seul ne suffit plus. L’authentification multi-facteur (MFA) ajoute une couche de protection critique. Couplée à une politique de mot de passe robuste et au SSO, elle forme le socle d’authentification d’Illizeo.
Méthodes MFA disponibles #
| Méthode | Sécurité | UX |
|---|---|---|
| Application TOTP (Authy, Google Authenticator) | Élevée | Bonne |
| WebAuthn / Passkey | Très élevée | Excellente |
| SMS OTP | Moyenne (vulnérable au SIM swap) | Moyenne |
| Email OTP | Faible (compte mail compromis) | Faible |
| Clé de sécurité physique (YubiKey) | Maximale | Excellente pour pros |
Procédure pas à pas #
-
Activer MFA #
Sécurité → MFA. Cocher les méthodes autorisées et la politique : optionnel, recommandé, obligatoire.
-
Définir la politique de mot de passe #
Longueur minimale 12 caractères, complexité, rotation 90j ou jamais (NIST recommande « jamais » si MFA actif).
-
Activer la détection de mots de passe compromis #
Vérification automatique contre la base Have I Been Pwned. Refuse les mots de passe leakés.
-
Configurer la durée de session #
Idle timeout 30 min web, 7 jours mobile. Forced logout après 12h max.
-
Communiquer aux collaborateurs #
Email d’enrôlement avec QR code TOTP. Bouton Configurer la MFA dans le profil.
FAQ #
MFA obligatoire pour qui ?
Recommandé pour tous, indispensable pour les rôles RH/Admin. Possible de cibler par rôle.
Que faire si l’utilisateur perd son téléphone ?
Codes de récupération générés à l’enrôlement. L’admin peut aussi réinitialiser la MFA.
NIST 800-63 : qu’est-ce que c’est ?
Standard recommandant 12 caractères, pas de complexité forcée, pas de rotation périodique. Adopté par Illizeo.
Et le SSO + MFA ?
Si SSO actif, la MFA est gérée par votre IdP. Pas de double saisie.
Voir IP allowlist et restrictions #
Apprenez à restreindre l’accès par IP ou géographie.
