Double authentification : protégez vos cinq comptes clés en une heureDouble authentification : protégez vos cinq comptes clés en une heure

France Num publie son baromètre 2026 : l’hameçonnage arrive en tête des incidents rapportés par les petites entreprises. Voici une séance de travail pour activer la double authentification sur vos cinq comptes prioritaires, organiser les secours et embarquer l’équipe.

• Préparez cinq accès prioritaires : messagerie, banque, administration du site, réseaux sociaux et comptabilité.
• Prévoyez dix minutes d’inventaire, trente de configuration et de test, dix pour les secours et dix avec l’équipe.
• Commencez par la messagerie, puis terminez chaque compte avant de passer au suivant.

Un message qui ressemble à une demande habituelle, un lien, une connexion réclamée : voilà le genre de scénario à expliquer à votre équipe. L’hameçonnage consiste à se faire passer pour un interlocuteur légitime afin de vous faire transmettre une information ou accomplir une action. Le piège ne porte pas forcément une moustache et un panneau « arnaque ».

Le baromètre France Num 2026 donne une bonne raison de commencer ici : 18 % des TPE et PME déclarent avoir subi de l’hameçonnage dans les douze derniers mois. C’est l’incident de cybersécurité le plus cité dans cette enquête. Pour votre séance, partez donc de cette situation concrète : un faux message réclame les identifiants d’un compte professionnel.

La double authentification ajoute une autre preuve au mot de passe, par exemple une validation sur un appareil associé au compte. Si un faux message vous fait livrer votre mot de passe, cette seconde preuve reste à fournir. Le baromètre parle d’« authentification multifacteur », la famille de protections dont relève ce principe. Il indique que 39 % des TPE et PME l’ont déjà mise en place, avec une progression de sept points en un an.

Préparez vos accès actuels et le téléphone que vous utiliserez pour vos propres validations. Ajoutez une feuille de suivi, dont nous détaillons les colonnes juste après. Si vous choisissez un téléphone professionnel dédié, décidez qui en est responsable et où il reste accessible. Vous aurez ainsi le nécessaire sous la main au moment d’ouvrir les réglages.

Réservez une heure au calme : dix minutes pour l’inventaire, trente pour configurer et tester, dix pour organiser les secours et dix pour échanger avec l’équipe. Ce découpage sert à cadrer la séance ; un accès administrateur manquant peut la rallonger. À la fin, vous devez savoir quels comptes sont protégés, où leurs secours sont rangés et ce qui reste à faire. Le chronomètre peut rester aimable.

Commencez par la messagerie professionnelle principale. Posez cette question : quels autres accès pourriez-vous récupérer depuis cette boîte ? Faites-en votre premier chantier, puis regardez les comptes qui touchent à l’argent, à la présence en ligne et aux documents de gestion. Cette question vous aide à choisir l’ordre des réglages à faire pendant la séance.

Votre liste de départ peut tenir en cinq cases : messagerie, banque, administration du site, réseaux sociaux et comptabilité. Ces cinq catégories sont un point de départ à adapter à votre activité. Si votre entreprise dépend davantage d’un autre outil, remplacez une case. Retenez les accès dont vous auriez réellement besoin pour continuer à travailler.

Décrivez toute la feuille de suivi dès maintenant : service, usage, responsable, identifiant, méthode de double authentification et emplacement du secours ou personne à contacter. Ajoutez les états suivants : à traiter, configuré, connexion testée, récupération préparée. Prévoyez une dernière colonne pour l’obstacle éventuel et la prochaine action. Les mots de passe et les codes secrets restent hors de cette feuille : elle suit le chantier, pas les clés.

Séparez aussi le compte personnel du compte qui administre l’activité. Pour le site, cherchez l’accès qui donne réellement les droits d’administration. Pour les réseaux sociaux, identifiez la personne qui détient les droits et l’accès à protéger. Inscrivez l’identifiant concerné avec soin : vous devez retrouver le bon compte quand vous ouvrirez ses réglages.

Avant de passer au réglage, confirmez que vous pouvez ouvrir chaque compte par son chemin habituel. Si un ancien collaborateur détient encore l’accès nécessaire, inscrivez sa récupération comme tâche préalable. Donnez cette tâche à une personne précise. Vous aurez ainsi un vrai programme de travail, au lieu d’une séance de devinettes devant des formulaires.

Ouvrez le premier service depuis votre accès habituel, plutôt que depuis un message reçu pour l’occasion. Dans les réglages du compte, repérez les mots « sécurité », « connexion », « double authentification » ou « validation en deux étapes ». Ce dernier intitulé désigne le même geste dans ce tuto. Les menus changent, votre recherche reste la même : ajouter une preuve au mot de passe.

Quand plusieurs méthodes sont proposées, choisissez celle que vous aurez habituellement sous la main. Si une application ou un appareil doit être associé, suivez les étapes affichées jusqu’à la confirmation. Pour la banque, partez du dispositif de validation prévu dans votre espace et des consignes fournies par l’établissement. Gardez le téléphone nécessaire à portée de main pendant le réglage.

Terminez un compte avant d’ouvrir le suivant. Préparez son moyen de récupération, puis faites un essai de connexion distinct. Le résultat attendu est simple : vous savez vous reconnecter avec la double authentification choisie. Inutile de transformer votre navigateur en collection de réglages inachevés : chaque compte a droit à son petit tour complet.

Un essai peut ne pas redemander de validation si une session ou un appareil est déjà reconnu. Utilisez alors le parcours de test proposé par le service, ou une nouvelle session qui réclame effectivement la connexion. Conservez votre session de réglage ouverte jusqu’à ce que le parcours soit compris et les secours préparés. Vous pouvez ainsi reprendre les étapes sans repartir à zéro.

Actualisez l’état du compte sur votre feuille, puis passez au suivant. Si vous bloquez, notez l’obstacle exact : droit manquant, appareil indisponible ou marche à suivre à demander au prestataire. Ajoutez qui s’en charge et la prochaine action. Une difficulté bien nommée sera plus facile à reprendre après la séance.

Lorsque le service fournit des codes de secours, prenez le temps de comprendre leur mode d’emploi. Ils servent à récupérer l’accès dans les situations prévues par le service. Lisez les indications associées avant d’en avoir besoin et repérez à quel moment les utiliser. Cette étape fait partie de la configuration du compte.

Rangez le secours en dehors du compte ou de l’appareil qu’il doit aider à récupérer. Choisissez ensuite un support protégé, par exemple du papier conservé sous clé. Fixez une règle d’accès explicite : seules les personnes autorisées doivent pouvoir le consulter. Le rangement doit rester compréhensible pour ces personnes quand elles en auront besoin.

Écrivez une courte marche à suivre : qui peut demander la récupération, où se trouve le nécessaire et qui autorise son utilisation. Reportez seulement le repère prévu dans votre feuille de suivi. Un collègue habilité doit comprendre comment agir sans mener une enquête. Faites-lui relire ces quelques lignes pour voir si elles sont assez claires.

Si aucun code n’est proposé, repérez l’autre parcours de récupération annoncé par le service. Notez les éléments à préparer et la personne qui pourra intervenir. Remplacez le vague « on appellera quelqu’un » par un responsable et une action précise. Vous pourrez alors reprendre ce parcours avec les bonnes informations.

Privilégiez les accès individuels quand ils sont proposés, afin d’éviter que toutes les connexions dépendent du même téléphone partagé. Organisez aussi la continuité de l’administration de l’entreprise : qui pourra reprendre la main si la personne habituelle est absente ? Lors d’un changement de téléphone ou d’un départ, prévoyez la mise à jour des accès et des moyens de récupération.

La double authentification s’accompagne d’un travail sur les mots de passe. Le guide de Cybermalveillance.gouv.fr et de Bpifrance, relayé par France Num, recommande aux dirigeants d’en organiser la gestion professionnelle et de sensibiliser leurs collaborateurs. Le guide de l’ANSSI interroge aussi, entre autres, la solidité des mots de passe et la protection de la messagerie.

Décidez qui préparera le passage à un gestionnaire de mots de passe, quels comptes seront traités d’abord et quand vous vous y mettrez. Commencez avec ceux de cette séance. Votre liste de courses pour le gestionnaire doit couvrir les accès individuels, le partage avec les bonnes personnes et le départ d’un collaborateur. Prévoyez aussi qui l’administrera et comment récupérer son propre accès.

Gardez des règles simples : un mot de passe distinct par service, les exigences de création respectées et des accès nominatifs lorsqu’ils sont proposés. Évitez les variantes d’un même mot que toute l’équipe finit par deviner. Dans le gestionnaire, donnez à chaque fiche un nom compréhensible, son usage et les personnes autorisées. Vous préparez ainsi des accès que l’équipe pourra retrouver et gérer.

Réservez dix minutes à l’équipe et partez d’une situation fictive clairement annoncée. Par exemple : un message réclame une reconnexion urgente pour consulter un document professionnel. Demandez ce que chacun ferait, puis expliquez le réflexe retenu dans l’entreprise : retrouver le service par son chemin habituel. Chacun doit pouvoir décrire ce chemin avec ses propres mots.

Ne transformez pas l’exercice en concours de détection de fautes d’orthographe. Faites plutôt chercher ce que le message demande : un mot de passe, un code, une validation ou un paiement. La question utile devient « quelle action veut-on me faire accomplir ? », pas seulement « est-ce que ce message a une drôle de tête ? ».

Expliquez ensuite la règle des validations : on confirme une connexion que l’on vient soi-même d’engager. Désignez aussi une personne à prévenir lorsqu’un message ou une demande paraît inhabituel. Le signalement doit être simple, y compris pour quelqu’un qui a déjà cliqué et ne sait plus quoi faire. Dites clairement à qui s’adresser et comment.

Ajoutez un cas qui sort de la connexion : un appel réclame un virement urgent ou un changement de coordonnées de paiement. La double authentification ne décide pas si cette demande est légitime. Prévoyez donc une confirmation par un contact déjà connu et un circuit de validation adapté à votre entreprise.

Gardez la migration collective des mots de passe pour une séance séparée. Reprenez alors le responsable, les premiers comptes et le créneau décidés plus haut. Vous pourrez lui consacrer un vrai temps de travail.

À la fin, comptez les accès réellement testés et relevez ce qui reste à faire. Attribuez chaque suite à une personne, avec un prochain créneau, puis réutilisez cette fiche lors des arrivées et des départs. Vous obtenez une méthode que l’entreprise sait refaire. La prochaine séance repartira d’une liste claire, avec les bons interlocuteurs.

• Baromètre France Num 2026 : le numérique et l'intelligence artificielle dans les TPE et PME - francenum.gouv.fr
• Guide de cybersécurité à destination des dirigeants de TPE, PME et ETI : bonnes pratiques et réflexes à adopter en cas de cyberattaques - francenum.gouv.fr
• La cybersécurité pour les TPE/PME en 13 questions - francenum.gouv.fr