Un mot de passe, même complexe, peut être deviné, réutilisé sur un autre service piraté, ou volé par un email de phishing bien conçu. L'authentification à deux facteurs (MFA, pour Multi-Factor Authentication) ajoute une seconde barrière : même si le mot de passe est compromis, l'accès reste bloqué sans le second facteur. C'est la mesure de sécurité au meilleur rapport effort-efficacité pour un cabinet d'avocats — à condition de choisir la bonne méthode et de la déployer correctement.
99%
d'attaques bloquées
La CNIL recommande explicitement l'authentification multi-facteurs parmi les mesures techniques permettant de satisfaire l'obligation de sécurité posée par l'article 32 du RGPD, en particulier pour l'accès aux données personnelles sensibles — ce qui inclut la quasi-totalité des dossiers traités par un cabinet d'avocats.
Les 5 méthodes de MFA expliquées simplement
Toutes les méthodes de MFA ne se valent pas. Comprendre leurs différences permet de choisir la bonne pour chaque usage.
1. Code par SMS
Un code à usage unique envoyé par texto. Simple à comprendre, mais vulnérable au « SIM swapping » (un attaquant fait transférer votre numéro sur sa propre carte SIM) et à l'interception sur les réseaux mobiles anciens.
2. Application d'authentification (TOTP)
Google Authenticator, Microsoft Authenticator, Authy… génèrent un code à 6 chiffres qui change toutes les 30 secondes, sans passer par le réseau mobile. Beaucoup plus résistant que le SMS.
3. Notification push
Une alerte apparaît sur votre téléphone : il suffit d'appuyer sur « Approuver ». Confortable, mais expose au risque de « MFA fatigue » (voir plus bas) si l'utilisateur approuve par réflexe.
4. Clé de sécurité physique (FIDO2/U2F)
Une clé USB ou NFC (type YubiKey) à insérer ou approcher de l'appareil. Le niveau de protection le plus élevé actuellement disponible : quasiment impossible à contourner à distance.
5. Biométrie (empreinte, reconnaissance faciale)
Souvent utilisée en complément d'un autre facteur pour déverrouiller l'accès local à un appareil (Face ID, Windows Hello). Pratique au quotidien, mais rarement suffisante seule pour sécuriser un compte en ligne, car elle dépend de l'appareil et n'est pas transférable d'un service à l'autre.
Quelle méthode pour quel usage au cabinet ?
| Usage | Méthode recommandée | Pourquoi |
|---|---|---|
| Logiciel de gestion du cabinet | Application d'authentification | Bon compromis sécurité/simplicité pour tous les collaborateurs |
| Messagerie professionnelle | Application d'authentification | Cible n°1 du phishing, doit être solidement protégée |
| Compte CARPA / banque du cabinet | Clé physique FIDO2 si disponible | Enjeu financier direct, justifie le niveau de sécurité maximal |
| e-barreau / RPVA | Certificat avocat + code | Déjà encadré par un dispositif dédié à la profession |
| Comptes secondaires (réseaux sociaux du cabinet) | Application d'authentification ou SMS en dernier recours | Enjeu moindre, mais SMS reste préférable à l'absence de MFA |
⚠️ Pourquoi éviter le SMS quand c'est possible : le SIM swapping (usurpation de carte SIM auprès de l'opérateur) permet à un attaquant déterminé de recevoir vos codes à votre place. Ce n'est pas un risque théorique : plusieurs vagues d'attaques ciblées contre des professionnels ont exploité cette faille ces dernières années. Le SMS reste préférable à l'absence totale de MFA, mais ne doit pas être le choix par défaut si une application ou une clé physique est disponible.
La « MFA fatigue » : la nouvelle technique de contournement à connaître
Les attaquants ont trouvé une parade au MFA par notification push : envoyer des dizaines de demandes d'approbation en pleine nuit ou en rafale, en espérant qu'un utilisateur fatigué ou agacé finisse par appuyer sur « Approuver » pour faire cesser les notifications. C'est ce qu'on appelle le « push bombing » ou « MFA fatigue ».
⚠️ Le bon réflexe : ne jamais approuver une demande de connexion que vous n'avez pas vous-même initiée, même en cas de sollicitations répétées. Signalez immédiatement l'incident et changez votre mot de passe. Les systèmes de MFA les plus récents demandent désormais de saisir un code affiché à l'écran plutôt qu'un simple clic « Approuver », précisément pour limiter ce risque.
Déployer la MFA dans un cabinet : la méthode par étapes
Le principal obstacle au déploiement de la MFA n'est pas technique, c'est humain : la crainte de complexifier le quotidien des collaborateurs. Une méthode progressive limite les résistances.
Étape 1 — Commencer par les comptes les plus critiques
Messagerie professionnelle et logiciel de gestion en priorité : ce sont les cibles les plus fréquentes du phishing et celles qui donnent accès au plus de données sensibles.
Étape 2 — Choisir une méthode unique pour toute l'équipe
Imposer la même application d'authentification à tous simplifie le support et la formation. Évitez de laisser chacun choisir sa propre méthode.
Étape 3 — Générer et sécuriser les codes de secours
Chaque service propose des codes de récupération à usage unique en cas de perte du téléphone. Imprimez-les et conservez-les dans un lieu sûr (coffre du cabinet), jamais dans un fichier non protégé sur l'ordinateur.
Étape 4 — Former en 15 minutes plutôt que d'imposer sans explication
Montrez concrètement, sur un cas réel, pourquoi cette étape supplémentaire protège le cabinet. L'adhésion est bien meilleure quand la raison est comprise plutôt que subie.
Étape 5 — Étendre progressivement à tous les services
Une fois les comptes critiques couverts, généralisez la MFA aux autres outils du cabinet (stockage cloud, outils collaboratifs, accès administrateur).
Le cas particulier des comptes partagés
Beaucoup de cabinets partagent encore un compte unique pour la réception ou une boîte email générale (contact@cabinet.fr). Ce fonctionnement pose un double problème avec la MFA : impossible de savoir qui s'est réellement connecté, et complexe à gérer si le second facteur est lié à un seul téléphone.
La bonne pratique consiste à éviter autant que possible les comptes partagés : chaque collaborateur dispose d'un compte nominatif avec ses propres droits d'accès, et une boîte de réception commune est gérée par redirection ou délégation plutôt que par un identifiant unique connu de tous. Cela permet à la fois d'activer une MFA individuelle et de garder un journal d'audit exploitable en cas d'incident.
MFA et SSO : simplifier sans sacrifier la sécurité
Pour un cabinet utilisant plusieurs outils (messagerie, logiciel de gestion, stockage), multiplier les MFA indépendantes peut devenir pesant. L'authentification unique (SSO — Single Sign-On), couplée à une MFA centralisée, permet de ne s'authentifier fortement qu'une fois pour accéder à l'ensemble des outils autorisés, tout en conservant un niveau de sécurité élevé.
💡 Bon à savoir : le SSO ne remplace pas la MFA, il la centralise. La sécurité de l'ensemble du système dépend alors de la robustesse du compte central (souvent Microsoft 365 ou Google Workspace) : c'est précisément ce compte qui doit recevoir le niveau de protection le plus élevé.
Auto-diagnostic : où en est votre cabinet ?
Cochez les cases qui s'appliquent à votre cabinet :
La MFA chez NetJuris
NetJuris intègre nativement l'authentification multi-facteurs pour chaque compte utilisateur, avec application d'authentification recommandée par défaut. Combinée au journal d'audit qui trace chaque connexion, elle offre une visibilité complète sur les accès à vos dossiers, sans configuration technique complexe côté cabinet.
Les erreurs à éviter
❌ Activer la MFA uniquement pour les associés
Un stagiaire ou un assistant a souvent accès à autant de dossiers qu'un associé. Le niveau de protection doit être uniforme, indépendamment du statut hiérarchique.
❌ Stocker les codes de secours dans un fichier texte non protégé
Ces codes permettent de contourner la MFA en cas de perte d'appareil : ils doivent être conservés avec autant de rigueur qu'un mot de passe.
❌ Approuver une notification push par automatisme
Chaque demande d'approbation doit correspondre à une connexion que vous venez vous-même d'initier. Dans le doute, refusez et vérifiez.
❌ Considérer la MFA comme une contrainte définitivement acquise sans révision
Vérifiez périodiquement que la MFA reste active pour tous les comptes, notamment après un changement de téléphone ou l'arrivée d'un nouveau collaborateur.
Conclusion
L'authentification à deux facteurs reste, à ce jour, la mesure de sécurité offrant le meilleur rapport entre l'effort de mise en place et le niveau de protection obtenu. Pour un cabinet d'avocats, le choix d'une application d'authentification plutôt qu'un simple SMS, un déploiement progressif bien expliqué et une vigilance face aux tentatives de contournement (MFA fatigue) suffisent à sécuriser l'essentiel des accès aux dossiers, sans complexité technique disproportionnée.
Pour approfondir la sécurité globale de votre cabinet, consultez notre guide cybersécurité complet et notre article sur le télétravail sécurisé. Découvrez comment les fonctionnalités NetJuris intègrent la MFA nativement, ou démarrez votre essai gratuit de 14 jours.
FAQ : vos questions sur la MFA
La MFA ralentit-elle vraiment la connexion au quotidien ?
L'ajout ne prend que quelques secondes, et la plupart des services proposent de « faire confiance à cet appareil » pendant une durée définie (par exemple 30 jours), ce qui évite de ressaisir un code à chaque connexion depuis le même poste.
Que faire si un collaborateur perd son téléphone contenant l'application d'authentification ?
C'est précisément le rôle des codes de secours générés à l'activation de la MFA. Sans eux, la procédure de récupération auprès du fournisseur du service peut être longue. D'où l'importance de les conserver en lieu sûr dès le départ.
Une clé physique FIDO2 est-elle vraiment nécessaire pour un petit cabinet ?
Pas systématiquement. Une application d'authentification couvre déjà l'essentiel des risques courants. La clé physique se justifie surtout pour les comptes à très fort enjeu (accès bancaire, compte administrateur du cabinet).
Peut-on imposer la MFA à un client via l'espace client du cabinet ?
Oui, c'est une bonne pratique pour protéger l'accès à des pièces confidentielles, en veillant à proposer une méthode simple (SMS ou email de vérification) pour ne pas décourager des clients peu familiers du numérique.