[{"data":1,"prerenderedAt":399},["ShallowReactive",2],{"footer-services-fr":3,"footer-local-fr":28,"cmp-\u002Fcomparatifs\u002Fmethodes-mfa-comparatif":45,"cmp-alt-\u002Fcomparatifs\u002Fmethodes-mfa-comparatif":384,"cmp-others-\u002Fcomparatifs\u002Fmethodes-mfa-comparatif":386},[4,8,12,16,20,24],{"path":5,"navTitle":6,"order":7},"\u002Fservices\u002Faudit-cybersecurite","Audit de cybersécurité",1,{"path":9,"navTitle":10,"order":11},"\u002Fservices\u002Ftest-intrusion","Test d'intrusion",2,{"path":13,"navTitle":14,"order":15},"\u002Fservices\u002Faudit-microsoft-365-google-workspace","Audit Microsoft 365 \u002F Google Workspace",3,{"path":17,"navTitle":18,"order":19},"\u002Fservices\u002Fconformite-loi-25","Conformité Loi 25",4,{"path":21,"navTitle":22,"order":23},"\u002Fservices\u002Fremediation-durcissement","Remédiation et durcissement",5,{"path":25,"navTitle":26,"order":27},"\u002Fservices\u002Faccompagnement-continu","Accompagnement continu (vCISO)",6,[29,33,37,41],{"path":30,"city":31,"translationKey":32},"\u002Faudit-cybersecurite\u002Fmontreal","Montréal","montreal",{"path":34,"city":35,"translationKey":36},"\u002Faudit-cybersecurite\u002Flaval","Laval","laval",{"path":38,"city":39,"translationKey":40},"\u002Faudit-cybersecurite\u002Frive-sud","Rive-Sud","rive-sud",{"path":42,"city":43,"translationKey":44},"\u002Faudit-cybersecurite\u002Frive-nord","Rive-Nord","rive-nord",{"id":46,"title":47,"body":48,"criteria":199,"date":256,"description":257,"extension":258,"faq":259,"keyword":272,"meta":273,"navigation":274,"options":275,"path":346,"rawbody":347,"seo":348,"sources":349,"stem":369,"translationKey":370,"updated":371,"verdict":372,"verified":382,"__hash__":383},"comparisons_fr\u002Fcomparatifs\u002Fmethodes-mfa-comparatif.md","MFA : SMS, application, notification, clé FIDO2 ou passkey ?",{"type":49,"value":50,"toc":192},"minimark",[51,55,64,85,90,97,103,109,113,116,119,122,126,129,132,135,139,142,173,176,188],[52,53,54],"p",{},"Activer l'authentification multifacteur, c'est la base. Mais « MFA » regroupe des méthodes très différentes, du code par texto à la clé de sécurité physique. Devant un attaquant qui relaie une fausse page de connexion en temps réel, certaines tiennent bon et d'autres cèdent sans bruit.",[52,56,57,58,63],{},"Ce comparatif place côte à côte les cinq méthodes que l'on rencontre dans les PME québécoises. Pour le récit détaillé des attaques et un plan de déploiement, lisez aussi notre article ",[59,60,62],"a",{"href":61},"\u002Fblogue\u002Fauthentification-multifacteur-choisir-mfa","Choisir son MFA : le SMS ne suffit plus",".",[65,66,69],"callout",{"title":67,"type":68},"Notre méthode","info",[70,71,72,76,79,82],"ul",{},[73,74,75],"li",{},"Nous comparons des approches, pas des produits. Chaque valeur du tableau s'appuie sur les publications du NIST, de la CISA, du Centre canadien pour la cybersécurité et de la FIDO Alliance, ainsi que sur la documentation de Microsoft, consultées en octobre 2026.",[73,77,78],{},"Critères retenus : résistance à trois attaques courantes, statut selon le NIST, matériel requis, fonctionnement sans réseau, prise en charge par Microsoft 365, coût et récupération en cas de perte.",[73,80,81],{},"Le seul prix cité vient du site officiel d'un fabricant de clés ; il est indicatif.",[73,83,84],{},"Ce comparatif n'est pas commandité.",[86,87,89],"h2",{"id":88},"trois-attaques-qui-départagent-les-méthodes","Trois attaques qui départagent les méthodes",[52,91,92,96],{},[93,94,95],"strong",{},"Le relais en temps réel."," Une trousse d'hameçonnage affiche une copie de la page de connexion et transmet au vrai site tout ce que la victime tape, y compris le code. Le NIST est clair : les codes à usage unique et les méthodes hors bande, comme les notifications et le texto, ne résistent pas à l'hameçonnage. Seuls les authentificateurs cryptographiques liés au nom du site, comme FIDO2 et WebAuthn, y résistent.",[52,98,99,102],{},[93,100,101],{},"L'échange de carte SIM."," Un fraudeur convainc l'opérateur de transférer votre numéro sur sa carte SIM et reçoit vos codes. Seules les méthodes qui passent par le réseau téléphonique y sont exposées. C'est l'une des raisons pour lesquelles le NIST classe le texto comme « restreint ».",[52,104,105,108],{},[93,106,107],{},"Le bombardement de notifications."," L'attaquant, qui connaît déjà le mot de passe, déclenche des demandes d'approbation en rafale jusqu'à ce que la victime cède. Le NIST juge désormais inacceptable la simple approbation « Approuver \u002F Refuser ». La correspondance de nombres règle ce problème : l'utilisateur doit taper le nombre affiché à l'écran. Microsoft l'applique à toutes les notifications Authenticator.",[86,110,112],{"id":111},"ce-que-recommandent-les-autorités","Ce que recommandent les autorités",[52,114,115],{},"Les trois organismes convergent. La CISA écrit que la seule authentification résistante à l'hameçonnage largement disponible est FIDO\u002FWebAuthn, tout en rappelant que n'importe quel MFA vaut mieux que rien. Pour les organisations qui ne peuvent pas encore la déployer, elle recommande la correspondance de nombres comme mesure transitoire.",[52,117,118],{},"Le Centre canadien pour la cybersécurité va plus loin pour les comptes administrateurs : MFA résistant à l'hameçonnage sans exception, et retrait de toute méthode de secours vulnérable. Il reconnaît aussi que ces méthodes ont souvent un coût, à mettre en balance avec le risque.",[52,120,121],{},"Le NIST ajoute une nuance utile : les passkeys synchronisées sont admises jusqu'au niveau AAL2, mais pas au niveau AAL3, qui exige une clé privée non exportable. Pour les comptes les plus sensibles, la clé matérielle garde donc l'avantage.",[86,123,125],{"id":124},"coûts-et-logistique","Coûts et logistique",[52,127,128],{},"Une clé de sécurité d'entrée de gamme se vend à partir de 29 $ US sur le site de Yubico. Comptez deux clés par personne, dont une gardée en lieu sûr : la FIDO Alliance note qu'une clé de sécurité peut servir de moyen de récupération.",[52,130,131],{},"Les passkeys, elles, ne coûtent rien de plus si les appareils sont compatibles, ce qui est le cas des principaux systèmes d'exploitation et navigateurs. Synchronisées, elles suivent l'utilisateur d'un appareil à l'autre. Pour se connecter sur un ordinateur avec la passkey du téléphone, il faut balayer un code QR, et le Bluetooth sert à vérifier que les deux appareils sont proches.",[52,133,134],{},"Pour les téléphones perdus, prévoyez une procédure. Dans Microsoft Entra ID, un accès temporaire (Temporary Access Pass) permet d'enregistrer une nouvelle méthode sans repasser par le texto.",[86,136,138],{"id":137},"comment-choisir","Comment choisir",[52,140,141],{},"Raisonnez par type de compte plutôt que d'imposer une seule méthode :",[143,144,145,151,161,167],"ol",{},[73,146,147,150],{},[93,148,149],{},"Administrateurs"," (Microsoft 365, pare-feu, sauvegardes, nom de domaine) : clés FIDO2, deux par personne, sans méthode de secours faible.",[73,152,153,156,157,63],{},[93,154,155],{},"Finances, paie et direction"," : passkeys ou clés FIDO2. Ce sont les cibles de la ",[59,158,160],{"href":159},"\u002Fblogue\u002Ffraude-president-courriel-affaires-compromis","fraude du président",[73,162,163,166],{},[93,164,165],{},"Tous les employés"," : au minimum la correspondance de nombres, puis migration vers les passkeys.",[73,168,169,172],{},[93,170,171],{},"Le texto"," : une transition, jamais une méthode de secours permanente.",[52,174,175],{},"Quelle que soit la combinaison retenue, faites un projet pilote de deux semaines avec quelques volontaires, dont idéalement la personne la moins à l'aise avec la technologie. Vous repérerez vite les accrocs : un vieux portable sans lecteur d'empreinte, un poste partagé à l'entrepôt, un technicien qui travaille avec des gants. Retirez ensuite les méthodes faibles de la politique d'authentification elle-même, pas seulement des habitudes, pour qu'un attaquant ne puisse pas s'y rabattre.",[52,177,178,179,183,184,187],{},"Les questionnaires d'assurance cyber posent généralement des questions précises sur le MFA ; notre guide pour ",[59,180,182],{"href":181},"\u002Fblogue\u002Fassurance-cyber-questionnaire-assureur","réussir le questionnaire d'assurance cyber"," indique ce qu'ils vérifient. Pour savoir où vous en êtes réellement, notre ",[59,185,186],{"href":13},"audit Microsoft 365 et Google Workspace"," recense les méthodes permises, les exclusions oubliées et les comptes encore protégés par texto.",[189,190],"cta",{"variant":191},"devis",{"title":193,"searchDepth":11,"depth":15,"links":194},"",[195,196,197,198],{"id":88,"depth":11,"text":89},{"id":111,"depth":11,"text":112},{"id":124,"depth":11,"text":125},{"id":137,"depth":11,"text":138},[200,205,208,213,220,228,235,241,249],{"label":201,"values":202},"Résiste au relais par une fausse page de connexion",[203,203,203,204,204],"Non","Oui",{"label":206,"values":207},"Résiste à l'échange de carte SIM",[203,204,204,204,204],{"label":209,"values":210},"Résiste au bombardement de notifications",[211,211,212,204,204],"Sans objet (aucune notification à approuver)","Oui, grâce au nombre à saisir",{"label":214,"values":215},"Statut selon le NIST (SP 800-63B-4)",[216,217,217,218,219],"Authentificateur « restreint »","Admis jusqu'au niveau AAL2","Admissible au niveau AAL3","AAL2 si synchronisée ; AAL3 possible si liée à un appareil",{"label":221,"values":222},"Matériel requis",[223,224,225,226,227],"Tout cellulaire","Téléphone intelligent","Téléphone intelligent avec données","Clé physique (USB ou NFC)","Téléphone, ordinateur ou gestionnaire de mots de passe compatible",{"label":229,"values":230},"Fonctionne sans réseau",[231,204,232,233,234],"Non (réseau cellulaire requis)","Non (connexion de données requise)","Oui (aucun téléphone requis)","Oui sur le même appareil ; Bluetooth requis d'un appareil à l'autre",{"label":236,"values":237},"Pris en charge par Microsoft Entra ID (Microsoft 365)",[204,238,239,204,240],"Oui (jetons OATH logiciels)","Oui (Microsoft Authenticator)","Oui (dans Authenticator ou synchronisée)",{"label":242,"values":243},"Coût typique",[244,245,246,247,248],"Aucun matériel","Application gratuite","Inclus dans l'application de la plateforme","À partir de 29 $ US par clé","Aucun si les appareils sont compatibles",{"label":250,"values":251},"En cas de perte",[252,253,253,254,255],"Nouvelle carte SIM auprès de l'opérateur","Réenregistrer l'application","Clé de secours ou accès temporaire","Récupération par le compte de synchronisation (si synchronisée)","2026-10-24","Texto, application à code, notification avec correspondance de nombres, clé FIDO2 ou passkey : quelle méthode MFA résiste vraiment à l'hameçonnage ?","md",[260,263,266,269],{"q":261,"a":262},"Le texto est-il encore acceptable pour le MFA ?","Il vaut mieux qu'un mot de passe seul, mais c'est la méthode la plus faible du comparatif. Le NIST le classe comme authentificateur « restreint » et exige d'offrir une solution de rechange. Utilisez-le seulement comme transition, et retirez-le des méthodes de secours une fois une meilleure méthode en place.",{"q":264,"a":265},"Quelle est la différence entre une clé FIDO2 et une passkey ?","Elles reposent sur la même technologie FIDO. Une clé FIDO2 est un objet physique dont la clé privée ne quitte jamais l'appareil. Une passkey peut être synchronisée entre vos appareils par Apple, Google ou un gestionnaire de mots de passe, ou rester liée à un seul appareil. La FIDO Alliance précise que les passkeys liées à une clé de sécurité matérielle offrent le plus haut niveau d'assurance.",{"q":267,"a":268},"Faut-il donner une clé FIDO2 à tous les employés ?","Pas nécessairement. Pour la plupart des employés, des passkeys sur des appareils gérés offrent la même résistance à l'hameçonnage sans achat de matériel. Les clés physiques sont surtout justifiées pour les administrateurs, les comptes financiers et les employés qui partagent un poste ou n'ont pas de téléphone professionnel.",{"q":270,"a":271},"Les passkeys remplacent-elles le mot de passe ?","Elles le peuvent. Microsoft Entra ID accepte les passkeys comme méthode de connexion principale, sans mot de passe. Dans les faits, la plupart des PME procèdent par étapes : la passkey sert d'abord de second facteur, puis devient la méthode principale une fois tous les appareils compatibles.","méthodes MFA",{},true,[276,290,304,318,332],{"name":277,"url":278,"tagline":279,"pricing":280,"bestFor":281,"pros":282,"cons":286},"Code par texto (SMS)","https:\u002F\u002Fpages.nist.gov\u002F800-63-4\u002Fsp800-63b.html","Un code à usage unique envoyé sur le cellulaire à chaque connexion.","Aucun matériel à acheter ; méthode intégrée à la plupart des plateformes, dont Microsoft Entra ID","Une transition de courte durée, ou les rares comptes pour lesquels aucune autre méthode n'est possible.",[283,284,285],"Fonctionne sur n'importe quel cellulaire, sans application","Presque aucune formation requise","Bien mieux qu'un mot de passe seul",[287,288,289],"Vulnérable à l'échange de carte SIM et au relais par une fausse page","Classé « restreint » par le NIST (SP 800-63B-4)","Exige le réseau cellulaire au moment de la connexion",{"name":291,"url":292,"tagline":293,"pricing":294,"bestFor":295,"pros":296,"cons":300},"Application à code (TOTP)","https:\u002F\u002Fwww.cisa.gov\u002FMFA","Une application qui génère un code temporaire, renouvelé toutes les 30 secondes environ.","Applications gratuites (Microsoft Authenticator, Google Authenticator, etc.) ; téléphone intelligent requis","Les services qui n'offrent ni notification ni passkey, et les situations sans réseau.",[297,298,299],"Fonctionne sans réseau cellulaire ni données","Échappe à l'échange de carte SIM","Pris en charge par la grande majorité des services",[301,302,303],"Le code peut être relayé en temps réel par une fausse page","Non résistant à l'hameçonnage selon le NIST","Réenregistrement à prévoir si le téléphone est perdu",{"name":305,"url":306,"tagline":307,"pricing":308,"bestFor":309,"pros":310,"cons":314},"Notification avec correspondance de nombres","https:\u002F\u002Fwww.cisa.gov\u002Fsites\u002Fdefault\u002Ffiles\u002Fpublications\u002Ffact-sheet-implement-number-matching-in-mfa-applications-508c.pdf","L'utilisateur tape dans l'application le nombre affiché à l'écran de connexion.","Inclus dans l'application de la plateforme (ex. Microsoft Authenticator) ; téléphone intelligent requis","Le plancher minimal pour tous les employés, en attendant les passkeys.",[311,312,313],"Bloque l'approbation par réflexe et le bombardement de notifications","Simple pour les utilisateurs","Activée d'office pour toutes les notifications Microsoft Authenticator",[315,316,317],"N'arrête pas le relais en temps réel par une fausse page","Exige un téléphone intelligent avec connexion de données","Présentée par la CISA comme une mesure transitoire",{"name":319,"url":320,"tagline":321,"pricing":322,"bestFor":323,"pros":324,"cons":328},"Clé de sécurité FIDO2","https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fdefense-contre-attaques-type-adversaire-milieu-grace-authentification-multifacteur-resistante-lhameconnage-itsm30031","Un petit objet USB ou NFC qui prouve l'identité par cryptographie, lié au nom de domaine du vrai site.","Matériel à acheter : à partir de 29 $ US par clé (Yubico Security Key NFC, site officiel, octobre 2026) ; prévoir deux clés par personne","Les administrateurs, les finances et la direction : les comptes les plus ciblés.",[325,326,327],"Résiste à l'hameçonnage : une fausse page n'a rien à relayer","Clé privée non exportable, admissible au niveau AAL3 du NIST","Aucun téléphone requis",[329,330,331],"Coût d'achat et logistique de distribution","Clé de secours nécessaire en cas de perte","Certaines applications anciennes ne la prennent pas en charge",{"name":333,"url":334,"tagline":335,"pricing":336,"bestFor":337,"pros":338,"cons":342},"Passkey (clé d'accès)","https:\u002F\u002Ffidoalliance.org\u002Fpasskeys\u002F","Une clé cryptographique stockée dans le téléphone, l'ordinateur ou un gestionnaire de mots de passe, déverrouillée par empreinte, visage ou NIP.","Aucun matériel supplémentaire si les appareils sont compatibles ; prise en charge par les principaux systèmes d'exploitation et navigateurs","La destination pour l'ensemble des employés, sur des appareils gérés.",[339,340,341],"Résiste à l'hameçonnage","Plus rapide qu'un mot de passe suivi d'un code","Synchronisée, elle se retrouve sur un nouvel appareil",[343,344,345],"Synchronisée, sa sécurité dépend du compte qui la synchronise","Synchronisée, elle n'est pas admissible au niveau AAL3 du NIST","D'un appareil à l'autre : code QR et Bluetooth requis","\u002Fcomparatifs\u002Fmethodes-mfa-comparatif","---\ntitle: \"MFA : SMS, application, notification, clé FIDO2 ou passkey ?\"\ndescription: \"Texto, application à code, notification avec correspondance de nombres, clé FIDO2 ou passkey : quelle méthode MFA résiste vraiment à l'hameçonnage ?\"\ndate: 2026-10-24\nverified: \"octobre 2026\"\ntranslationKey: mfa-methodes\nkeyword: \"méthodes MFA\"\noptions:\n  - name: \"Code par texto (SMS)\"\n    url: \"https:\u002F\u002Fpages.nist.gov\u002F800-63-4\u002Fsp800-63b.html\"\n    tagline: \"Un code à usage unique envoyé sur le cellulaire à chaque connexion.\"\n    pricing: \"Aucun matériel à acheter ; méthode intégrée à la plupart des plateformes, dont Microsoft Entra ID\"\n    bestFor: \"Une transition de courte durée, ou les rares comptes pour lesquels aucune autre méthode n'est possible.\"\n    pros: [\"Fonctionne sur n'importe quel cellulaire, sans application\", \"Presque aucune formation requise\", \"Bien mieux qu'un mot de passe seul\"]\n    cons: [\"Vulnérable à l'échange de carte SIM et au relais par une fausse page\", \"Classé « restreint » par le NIST (SP 800-63B-4)\", \"Exige le réseau cellulaire au moment de la connexion\"]\n  - name: \"Application à code (TOTP)\"\n    url: \"https:\u002F\u002Fwww.cisa.gov\u002FMFA\"\n    tagline: \"Une application qui génère un code temporaire, renouvelé toutes les 30 secondes environ.\"\n    pricing: \"Applications gratuites (Microsoft Authenticator, Google Authenticator, etc.) ; téléphone intelligent requis\"\n    bestFor: \"Les services qui n'offrent ni notification ni passkey, et les situations sans réseau.\"\n    pros: [\"Fonctionne sans réseau cellulaire ni données\", \"Échappe à l'échange de carte SIM\", \"Pris en charge par la grande majorité des services\"]\n    cons: [\"Le code peut être relayé en temps réel par une fausse page\", \"Non résistant à l'hameçonnage selon le NIST\", \"Réenregistrement à prévoir si le téléphone est perdu\"]\n  - name: \"Notification avec correspondance de nombres\"\n    url: \"https:\u002F\u002Fwww.cisa.gov\u002Fsites\u002Fdefault\u002Ffiles\u002Fpublications\u002Ffact-sheet-implement-number-matching-in-mfa-applications-508c.pdf\"\n    tagline: \"L'utilisateur tape dans l'application le nombre affiché à l'écran de connexion.\"\n    pricing: \"Inclus dans l'application de la plateforme (ex. Microsoft Authenticator) ; téléphone intelligent requis\"\n    bestFor: \"Le plancher minimal pour tous les employés, en attendant les passkeys.\"\n    pros: [\"Bloque l'approbation par réflexe et le bombardement de notifications\", \"Simple pour les utilisateurs\", \"Activée d'office pour toutes les notifications Microsoft Authenticator\"]\n    cons: [\"N'arrête pas le relais en temps réel par une fausse page\", \"Exige un téléphone intelligent avec connexion de données\", \"Présentée par la CISA comme une mesure transitoire\"]\n  - name: \"Clé de sécurité FIDO2\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fdefense-contre-attaques-type-adversaire-milieu-grace-authentification-multifacteur-resistante-lhameconnage-itsm30031\"\n    tagline: \"Un petit objet USB ou NFC qui prouve l'identité par cryptographie, lié au nom de domaine du vrai site.\"\n    pricing: \"Matériel à acheter : à partir de 29 $ US par clé (Yubico Security Key NFC, site officiel, octobre 2026) ; prévoir deux clés par personne\"\n    bestFor: \"Les administrateurs, les finances et la direction : les comptes les plus ciblés.\"\n    pros: [\"Résiste à l'hameçonnage : une fausse page n'a rien à relayer\", \"Clé privée non exportable, admissible au niveau AAL3 du NIST\", \"Aucun téléphone requis\"]\n    cons: [\"Coût d'achat et logistique de distribution\", \"Clé de secours nécessaire en cas de perte\", \"Certaines applications anciennes ne la prennent pas en charge\"]\n  - name: \"Passkey (clé d'accès)\"\n    url: \"https:\u002F\u002Ffidoalliance.org\u002Fpasskeys\u002F\"\n    tagline: \"Une clé cryptographique stockée dans le téléphone, l'ordinateur ou un gestionnaire de mots de passe, déverrouillée par empreinte, visage ou NIP.\"\n    pricing: \"Aucun matériel supplémentaire si les appareils sont compatibles ; prise en charge par les principaux systèmes d'exploitation et navigateurs\"\n    bestFor: \"La destination pour l'ensemble des employés, sur des appareils gérés.\"\n    pros: [\"Résiste à l'hameçonnage\", \"Plus rapide qu'un mot de passe suivi d'un code\", \"Synchronisée, elle se retrouve sur un nouvel appareil\"]\n    cons: [\"Synchronisée, sa sécurité dépend du compte qui la synchronise\", \"Synchronisée, elle n'est pas admissible au niveau AAL3 du NIST\", \"D'un appareil à l'autre : code QR et Bluetooth requis\"]\ncriteria:\n  - label: \"Résiste au relais par une fausse page de connexion\"\n    values: [\"Non\", \"Non\", \"Non\", \"Oui\", \"Oui\"]\n  - label: \"Résiste à l'échange de carte SIM\"\n    values: [\"Non\", \"Oui\", \"Oui\", \"Oui\", \"Oui\"]\n  - label: \"Résiste au bombardement de notifications\"\n    values: [\"Sans objet (aucune notification à approuver)\", \"Sans objet (aucune notification à approuver)\", \"Oui, grâce au nombre à saisir\", \"Oui\", \"Oui\"]\n  - label: \"Statut selon le NIST (SP 800-63B-4)\"\n    values: [\"Authentificateur « restreint »\", \"Admis jusqu'au niveau AAL2\", \"Admis jusqu'au niveau AAL2\", \"Admissible au niveau AAL3\", \"AAL2 si synchronisée ; AAL3 possible si liée à un appareil\"]\n  - label: \"Matériel requis\"\n    values: [\"Tout cellulaire\", \"Téléphone intelligent\", \"Téléphone intelligent avec données\", \"Clé physique (USB ou NFC)\", \"Téléphone, ordinateur ou gestionnaire de mots de passe compatible\"]\n  - label: \"Fonctionne sans réseau\"\n    values: [\"Non (réseau cellulaire requis)\", \"Oui\", \"Non (connexion de données requise)\", \"Oui (aucun téléphone requis)\", \"Oui sur le même appareil ; Bluetooth requis d'un appareil à l'autre\"]\n  - label: \"Pris en charge par Microsoft Entra ID (Microsoft 365)\"\n    values: [\"Oui\", \"Oui (jetons OATH logiciels)\", \"Oui (Microsoft Authenticator)\", \"Oui\", \"Oui (dans Authenticator ou synchronisée)\"]\n  - label: \"Coût typique\"\n    values: [\"Aucun matériel\", \"Application gratuite\", \"Inclus dans l'application de la plateforme\", \"À partir de 29 $ US par clé\", \"Aucun si les appareils sont compatibles\"]\n  - label: \"En cas de perte\"\n    values: [\"Nouvelle carte SIM auprès de l'opérateur\", \"Réenregistrer l'application\", \"Réenregistrer l'application\", \"Clé de secours ou accès temporaire\", \"Récupération par le compte de synchronisation (si synchronisée)\"]\nverdict:\n  - profile: \"Administrateurs Microsoft 365 d'une PME de 20 employés\"\n    pick: \"Clé de sécurité FIDO2\"\n    why: \"Le Centre canadien pour la cybersécurité demande un MFA résistant à l'hameçonnage pour tous les comptes administrateurs, sans exception. Deux clés par personne, et aucun texto en méthode de secours.\"\n  - profile: \"Cabinet comptable de Laval, 15 employés sur portables et téléphones gérés\"\n    pick: \"Passkey (clé d'accès)\"\n    why: \"Elle résiste à l'hameçonnage sans matériel à acheter et accélère les connexions. Gardez des clés FIDO2 pour les comptes administrateurs.\"\n  - profile: \"Entreprise qui utilise encore le texto et doit améliorer son MFA d'ici quelques semaines\"\n    pick: \"Notification avec correspondance de nombres\"\n    why: \"C'est la mesure transitoire que la CISA recommande quand on ne peut pas encore déployer un MFA résistant à l'hameçonnage. Planifiez ensuite le passage aux passkeys.\"\nfaq:\n  - q: \"Le texto est-il encore acceptable pour le MFA ?\"\n    a: \"Il vaut mieux qu'un mot de passe seul, mais c'est la méthode la plus faible du comparatif. Le NIST le classe comme authentificateur « restreint » et exige d'offrir une solution de rechange. Utilisez-le seulement comme transition, et retirez-le des méthodes de secours une fois une meilleure méthode en place.\"\n  - q: \"Quelle est la différence entre une clé FIDO2 et une passkey ?\"\n    a: \"Elles reposent sur la même technologie FIDO. Une clé FIDO2 est un objet physique dont la clé privée ne quitte jamais l'appareil. Une passkey peut être synchronisée entre vos appareils par Apple, Google ou un gestionnaire de mots de passe, ou rester liée à un seul appareil. La FIDO Alliance précise que les passkeys liées à une clé de sécurité matérielle offrent le plus haut niveau d'assurance.\"\n  - q: \"Faut-il donner une clé FIDO2 à tous les employés ?\"\n    a: \"Pas nécessairement. Pour la plupart des employés, des passkeys sur des appareils gérés offrent la même résistance à l'hameçonnage sans achat de matériel. Les clés physiques sont surtout justifiées pour les administrateurs, les comptes financiers et les employés qui partagent un poste ou n'ont pas de téléphone professionnel.\"\n  - q: \"Les passkeys remplacent-elles le mot de passe ?\"\n    a: \"Elles le peuvent. Microsoft Entra ID accepte les passkeys comme méthode de connexion principale, sans mot de passe. Dans les faits, la plupart des PME procèdent par étapes : la passkey sert d'abord de second facteur, puis devient la méthode principale une fois tous les appareils compatibles.\"\nsources:\n  - title: \"Centre canadien pour la cybersécurité : Défense contre les attaques de type « adversaire au milieu » grâce au MFA résistant à l'hameçonnage (ITSM.30.031)\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fdefense-contre-attaques-type-adversaire-milieu-grace-authentification-multifacteur-resistante-lhameconnage-itsm30031\"\n  - title: \"NIST SP 800-63B-4 : Digital Identity Guidelines, Authentication and Authenticator Management\"\n    url: \"https:\u002F\u002Fpages.nist.gov\u002F800-63-4\u002Fsp800-63b.html\"\n  - title: \"CISA : More than a Password (MFA)\"\n    url: \"https:\u002F\u002Fwww.cisa.gov\u002FMFA\"\n  - title: \"CISA : Implementing Number Matching in MFA Applications (fiche d'information)\"\n    url: \"https:\u002F\u002Fwww.cisa.gov\u002Fsites\u002Fdefault\u002Ffiles\u002Fpublications\u002Ffact-sheet-implement-number-matching-in-mfa-applications-508c.pdf\"\n  - title: \"FIDO Alliance : Passkeys\"\n    url: \"https:\u002F\u002Ffidoalliance.org\u002Fpasskeys\u002F\"\n  - title: \"Microsoft Learn : méthodes d'authentification prises en charge par Microsoft Entra ID\"\n    url: \"https:\u002F\u002Flearn.microsoft.com\u002Fen-us\u002Fentra\u002Fidentity\u002Fauthentication\u002Fconcept-authentication-methods\"\n  - title: \"Microsoft Learn : fonctionnement de la correspondance de nombres dans Authenticator\"\n    url: \"https:\u002F\u002Flearn.microsoft.com\u002Fen-us\u002Fentra\u002Fidentity\u002Fauthentication\u002Fhow-to-mfa-number-match\"\n  - title: \"Yubico : Security Key NFC (prix et protocoles)\"\n    url: \"https:\u002F\u002Fwww.yubico.com\u002Fca\u002Fproduct\u002Fsecurity-key-nfc-by-yubico\u002F\"\n---\n\nActiver l'authentification multifacteur, c'est la base. Mais « MFA » regroupe des méthodes très différentes, du code par texto à la clé de sécurité physique. Devant un attaquant qui relaie une fausse page de connexion en temps réel, certaines tiennent bon et d'autres cèdent sans bruit.\n\nCe comparatif place côte à côte les cinq méthodes que l'on rencontre dans les PME québécoises. Pour le récit détaillé des attaques et un plan de déploiement, lisez aussi notre article [Choisir son MFA : le SMS ne suffit plus](\u002Fblogue\u002Fauthentification-multifacteur-choisir-mfa).\n\n::callout{type=\"info\" title=\"Notre méthode\"}\n- Nous comparons des approches, pas des produits. Chaque valeur du tableau s'appuie sur les publications du NIST, de la CISA, du Centre canadien pour la cybersécurité et de la FIDO Alliance, ainsi que sur la documentation de Microsoft, consultées en octobre 2026.\n- Critères retenus : résistance à trois attaques courantes, statut selon le NIST, matériel requis, fonctionnement sans réseau, prise en charge par Microsoft 365, coût et récupération en cas de perte.\n- Le seul prix cité vient du site officiel d'un fabricant de clés ; il est indicatif.\n- Ce comparatif n'est pas commandité.\n::\n\n## Trois attaques qui départagent les méthodes\n\n**Le relais en temps réel.** Une trousse d'hameçonnage affiche une copie de la page de connexion et transmet au vrai site tout ce que la victime tape, y compris le code. Le NIST est clair : les codes à usage unique et les méthodes hors bande, comme les notifications et le texto, ne résistent pas à l'hameçonnage. Seuls les authentificateurs cryptographiques liés au nom du site, comme FIDO2 et WebAuthn, y résistent.\n\n**L'échange de carte SIM.** Un fraudeur convainc l'opérateur de transférer votre numéro sur sa carte SIM et reçoit vos codes. Seules les méthodes qui passent par le réseau téléphonique y sont exposées. C'est l'une des raisons pour lesquelles le NIST classe le texto comme « restreint ».\n\n**Le bombardement de notifications.** L'attaquant, qui connaît déjà le mot de passe, déclenche des demandes d'approbation en rafale jusqu'à ce que la victime cède. Le NIST juge désormais inacceptable la simple approbation « Approuver \u002F Refuser ». La correspondance de nombres règle ce problème : l'utilisateur doit taper le nombre affiché à l'écran. Microsoft l'applique à toutes les notifications Authenticator.\n\n## Ce que recommandent les autorités\n\nLes trois organismes convergent. La CISA écrit que la seule authentification résistante à l'hameçonnage largement disponible est FIDO\u002FWebAuthn, tout en rappelant que n'importe quel MFA vaut mieux que rien. Pour les organisations qui ne peuvent pas encore la déployer, elle recommande la correspondance de nombres comme mesure transitoire.\n\nLe Centre canadien pour la cybersécurité va plus loin pour les comptes administrateurs : MFA résistant à l'hameçonnage sans exception, et retrait de toute méthode de secours vulnérable. Il reconnaît aussi que ces méthodes ont souvent un coût, à mettre en balance avec le risque.\n\nLe NIST ajoute une nuance utile : les passkeys synchronisées sont admises jusqu'au niveau AAL2, mais pas au niveau AAL3, qui exige une clé privée non exportable. Pour les comptes les plus sensibles, la clé matérielle garde donc l'avantage.\n\n## Coûts et logistique\n\nUne clé de sécurité d'entrée de gamme se vend à partir de 29 $ US sur le site de Yubico. Comptez deux clés par personne, dont une gardée en lieu sûr : la FIDO Alliance note qu'une clé de sécurité peut servir de moyen de récupération.\n\nLes passkeys, elles, ne coûtent rien de plus si les appareils sont compatibles, ce qui est le cas des principaux systèmes d'exploitation et navigateurs. Synchronisées, elles suivent l'utilisateur d'un appareil à l'autre. Pour se connecter sur un ordinateur avec la passkey du téléphone, il faut balayer un code QR, et le Bluetooth sert à vérifier que les deux appareils sont proches.\n\nPour les téléphones perdus, prévoyez une procédure. Dans Microsoft Entra ID, un accès temporaire (Temporary Access Pass) permet d'enregistrer une nouvelle méthode sans repasser par le texto.\n\n## Comment choisir\n\nRaisonnez par type de compte plutôt que d'imposer une seule méthode :\n\n1. **Administrateurs** (Microsoft 365, pare-feu, sauvegardes, nom de domaine) : clés FIDO2, deux par personne, sans méthode de secours faible.\n2. **Finances, paie et direction** : passkeys ou clés FIDO2. Ce sont les cibles de la [fraude du président](\u002Fblogue\u002Ffraude-president-courriel-affaires-compromis).\n3. **Tous les employés** : au minimum la correspondance de nombres, puis migration vers les passkeys.\n4. **Le texto** : une transition, jamais une méthode de secours permanente.\n\nQuelle que soit la combinaison retenue, faites un projet pilote de deux semaines avec quelques volontaires, dont idéalement la personne la moins à l'aise avec la technologie. Vous repérerez vite les accrocs : un vieux portable sans lecteur d'empreinte, un poste partagé à l'entrepôt, un technicien qui travaille avec des gants. Retirez ensuite les méthodes faibles de la politique d'authentification elle-même, pas seulement des habitudes, pour qu'un attaquant ne puisse pas s'y rabattre.\n\nLes questionnaires d'assurance cyber posent généralement des questions précises sur le MFA ; notre guide pour [réussir le questionnaire d'assurance cyber](\u002Fblogue\u002Fassurance-cyber-questionnaire-assureur) indique ce qu'ils vérifient. Pour savoir où vous en êtes réellement, notre [audit Microsoft 365 et Google Workspace](\u002Fservices\u002Faudit-microsoft-365-google-workspace) recense les méthodes permises, les exclusions oubliées et les comptes encore protégés par texto.\n\n::cta{variant=\"devis\"}\n::\n",{"title":47,"description":257},[350,352,354,356,358,360,363,366],{"title":351,"url":320},"Centre canadien pour la cybersécurité : Défense contre les attaques de type « adversaire au milieu » grâce au MFA résistant à l'hameçonnage (ITSM.30.031)",{"title":353,"url":278},"NIST SP 800-63B-4 : Digital Identity Guidelines, Authentication and Authenticator Management",{"title":355,"url":292},"CISA : More than a Password (MFA)",{"title":357,"url":306},"CISA : Implementing Number Matching in MFA Applications (fiche d'information)",{"title":359,"url":334},"FIDO Alliance : Passkeys",{"title":361,"url":362},"Microsoft Learn : méthodes d'authentification prises en charge par Microsoft Entra ID","https:\u002F\u002Flearn.microsoft.com\u002Fen-us\u002Fentra\u002Fidentity\u002Fauthentication\u002Fconcept-authentication-methods",{"title":364,"url":365},"Microsoft Learn : fonctionnement de la correspondance de nombres dans Authenticator","https:\u002F\u002Flearn.microsoft.com\u002Fen-us\u002Fentra\u002Fidentity\u002Fauthentication\u002Fhow-to-mfa-number-match",{"title":367,"url":368},"Yubico : Security Key NFC (prix et protocoles)","https:\u002F\u002Fwww.yubico.com\u002Fca\u002Fproduct\u002Fsecurity-key-nfc-by-yubico\u002F","comparatifs\u002Fmethodes-mfa-comparatif","mfa-methodes",null,[373,376,379],{"profile":374,"pick":319,"why":375},"Administrateurs Microsoft 365 d'une PME de 20 employés","Le Centre canadien pour la cybersécurité demande un MFA résistant à l'hameçonnage pour tous les comptes administrateurs, sans exception. Deux clés par personne, et aucun texto en méthode de secours.",{"profile":377,"pick":333,"why":378},"Cabinet comptable de Laval, 15 employés sur portables et téléphones gérés","Elle résiste à l'hameçonnage sans matériel à acheter et accélère les connexions. Gardez des clés FIDO2 pour les comptes administrateurs.",{"profile":380,"pick":305,"why":381},"Entreprise qui utilise encore le texto et doit améliorer son MFA d'ici quelques semaines","C'est la mesure transitoire que la CISA recommande quand on ne peut pas encore déployer un MFA résistant à l'hameçonnage. Planifiez ensuite le passage aux passkeys.","octobre 2026","UuX3loZ1zNPPnGsT3ovfFVM4ECphUC5WrLUhMzqeQTs",{"path":385},"\u002Fen\u002Fcomparisons\u002Fmfa-methods-comparison",[387,391,395],{"path":388,"title":389,"description":390},"\u002Fcomparatifs\u002Fantivirus-edr-mdr-protection-postes","Antivirus, EDR ou MDR : quelle protection pour vos postes ?","Antivirus, EDR ou MDR : détection, intervention, surveillance 24\u002F7, compétences et modèle de coût comparés pour une PME de 10, 50 ou 150 employés.",{"path":392,"title":393,"description":394},"\u002Fcomparatifs\u002Fedr-pme-comparatif","EDR pour PME : Defender, CrowdStrike, SentinelOne et Sophos","Defender for Business, CrowdStrike Falcon, SentinelOne ou Sophos : forfaits qui incluent vraiment l'EDR, prix publics, données au Canada et surveillance 24\u002F7.",{"path":396,"title":397,"description":398},"\u002Fcomparatifs\u002Fformation-cybersecurite-employes-options","Formation en cybersécurité : en ligne, atelier ou simulations ?","Plateforme en ligne, atelier en personne, simulations d'hameçonnage ou programme annuel : engagement, mesure, coûts, français et preuves pour la Loi 25.",1792972904003]