Dans les collectivités territoriales, sécuriser les accès aux applications métiers, à la messagerie et aux outils d’administration suppose de composer avec des profils très différents. Élus, agents et équipes informatiques n’ont ni les mêmes usages ni la même familiarité avec les mécanismes d’authentification.
Face au phishing et au vol d’identifiants, l’authentification multifacteur (MFA) constitue une protection essentielle pour sécuriser les comptes et limiter les accès non autorisés. Mais son déploiement pose une question concrète : comment renforcer la sécurité sans compliquer les connexions quotidiennes ni multiplier les demandes de support ?
Au-delà du choix des méthodes, les collectivités doivent aussi réfléchir à la gestion de leurs identités, notamment lorsqu’elles utilisent des services cloud comme Microsoft 365. L’enjeu est donc de généraliser le MFA, d’adapter les méthodes d’authentification aux différents profils et de conserver la maîtrise des accès au système d’information.
Pourquoi le MFA devient incontournable dans les collectivités
Le phishing, les attaques par force brute et le vol d’identifiants restent des menaces importantes pour les organisations. Un compte compromis peut permettre à un attaquant d’accéder à une messagerie, de commettre une usurpation d’identité ou de consulter des données confidentielles.
Le 22 octobre 2026, l’Agence nationale de la cohésion des territoires (ANCT) a rappelé l’importance de la double authentification. Sa feuille de route prévoit de la généraliser progressivement aux élus et agents utilisant la Suite territoriale d’ici 2028.
Cette initiative rappelle l’importance de protéger les identités numériques. Pour une collectivité comme pour une entreprise, l’un des principaux avantages du MFA est de réduire le risque d’intrusion lorsqu’un mot de passe est compromis, notamment sur les ressources accessibles depuis Internet.
Comment fonctionne l’authentification multifacteur ?
Par définition, l’authentification multifacteur repose sur la vérification d’au moins deux facteurs d’authentification distincts, appartenant à des catégories différentes :
- Ce que l’utilisateur connaît : un mot de passe ou un code PIN.
- Ce qu’il possède : un téléphone, un jeton physique ou une clé de sécurité.
- Ce qu’il est : une caractéristique biométrique, comme une empreinte digitale ou la reconnaissance faciale.
Le fonctionnement du MFA consiste donc à ajouter un second facteur au processus de connexion. Deux mots de passe ne suffisent pas : ils appartiennent à la même catégorie.
Il existe plusieurs types de MFA et différentes méthodes d’authentification forte. Les codes à usage unique (OTP), les notifications push ou les applications d’authentification comme Microsoft Authenticator et Google Authenticator constituent des solutions courantes.
Les clés matérielles compatibles FIDO2/WebAuthn offrent une protection renforcée contre le phishing. Contrairement aux codes SMS ou OTP, elles résistent davantage aux tentatives d’interception sur de faux sites web.
Le niveau de protection dépend donc de la méthode retenue, de sa mise en œuvre et de la sensibilité du compte concerné.
Quels risques le MFA permet-il de réduire ?
Sans MFA, un mot de passe volé peut suffire à ouvrir un accès non autorisé. L’attaquant peut alors consulter des documents, détourner une messagerie ou exploiter les privilèges du compte pour progresser dans le réseau informatique.
Les conséquences dépassent parfois la simple compromission d’identifiants : usurpation d’identité, fraude au virement, fuite de données ou préparation d’une cyberattaque plus importante.
Certaines attaques par ransomware exploitent également des comptes compromis pour se propager. D’autres reposent sur des vulnérabilités techniques que le MFA ne peut pas corriger.
Il faut donc distinguer les bénéfices de cette protection de ses limites : le MFA réduit les risques liés au vol d’identifiants, mais ne remplace ni les mises à jour, ni la sauvegarde, ni la supervision des systèmes.
Ses principaux avantages sont de renforcer la confidentialité des données, de protéger les comptes privilégiés et de limiter certaines possibilités de connexion frauduleuse.
Le MFA s’inscrit ainsi dans une approche de sécurité globale, et non dans une solution unique contre toutes les cyberattaques.
Comment déployer le MFA auprès des élus et des agents ?
Dans les collectivités, la mise en place du MFA doit tenir compte de profils très différents. Un élu consultant occasionnellement sa messagerie, un agent administratif et un administrateur système n’ont ni les mêmes usages ni les mêmes compétences numériques.
Le Baromètre Collectivités & Numérique 2025 illustre cet enjeu : parmi les collectivités répondantes, seulement 49 % des agents et 26 % des élus avaient bénéficié d’une formation ou d’une sensibilisation à la cybersécurité au cours des deux années précédentes.
L’utilisation d’une application mobile, la réception d’un code ou la récupération d’un appareil perdu peuvent ainsi devenir des obstacles à l’adoption.
Un projet de déploiement peut suivre quatre étapes :
- Identifier les utilisateurs et les accès sensibles : élus, agents, administrateurs, applications métiers et services distants.
- Choisir les solutions MFA : comparer les méthodes selon la compatibilité, le niveau de sécurité, les coûts et les équipements disponibles.
- Tester la mise en œuvre : activer le MFA auprès d’un groupe pilote, vérifier les processus de connexion et prévoir les procédures de récupération.
- Accompagner la généralisation : fournir un guide illustré, une aide aux premières connexions et un support adapté aux utilisateurs.
La simplicité d’utilisation dépend également de la méthode choisie. Une clé de sécurité FIDO2 peut, par exemple, permettre à un élu de confirmer son identité d’un simple geste, sans recopier de code temporaire. Elle constitue aussi une alternative au smartphone personnel. Pour les agents utilisant quotidiennement plusieurs applications, une authentification centralisée peut limiter la multiplication des demandes de validation. La sécurité reste renforcée, mais le parcours de connexion devient plus fluide.
Une difficulté d’utilisation doit conduire à adapter la méthode ou l’accompagnement, plutôt qu’à désactiver durablement le MFA.
Quels outils MFA utiliser pour protéger les accès sensibles ?
La messagerie constitue une cible fréquente, mais les outils d’administration et les accès distants présentent souvent des risques plus élevés.
Les plateformes MFA du marché, comme Cisco Duo, Microsoft Entra ID ou OpenOTP, répondent à des besoins différents. Le choix ne repose pas uniquement sur les fonctionnalités : il dépend des applications à protéger, des protocoles disponibles et de l’architecture existante.
Chez PCI, cette politique de protection concerne plusieurs solutions intégrées aux infrastructures des collectivités :
- Apache Guacamole : ce bastion centralise les connexions RDP, SSH et VNC. L’intégration du MFA permet de renforcer la sécurité des accès distants et des comptes administrateurs, avec traçabilité des sessions.
- MeshCentral : cette plateforme de télémaintenance prend en charge l’authentification multifacteur pour protéger les comptes autorisés à intervenir sur les postes et serveurs.
- TeamPasswordManager : ce coffre-fort numérique centralise les identifiants sensibles. Le MFA ajoute une vérification supplémentaire avant d’accéder aux secrets et aux ressources protégées.
- OpenOTP : cette solution MFA peut renforcer les ouvertures de session Windows et les connexions RDP, avec une intégration possible à Active Directory et différentes méthodes de vérification.
- VPN, applications métiers et consoles d’administration : ces services doivent également bénéficier d’un accès sécurisé, avec une politique adaptée aux droits des utilisateurs.
Les comptes techniques et certaines applications anciennes peuvent nécessiter des mesures compensatoires lorsqu’ils ne prennent pas en charge une authentification interactive.
Microsoft 365 doit-il centraliser toutes les authentifications ?
Microsoft 365 occupe une place majeure dans les collectivités territoriales. Dans une question parlementaire publiée au Sénat le 18 juin 2026, le sénateur Pascal Savoldelli évoque une « très grande majorité de collectivités territoriales » ayant migré vers cet environnement, sans toutefois fournir de données chiffrées.
Exchange Online, Teams et SharePoint répondent à des besoins courants de messagerie et de collaboration. Microsoft Entra ID propose également des outils de gestion des identités, des solutions MFA et des fonctionnalités d’accès conditionnel.
La question devient stratégique lorsqu’une organisation utilise le même fournisseur d’identité pour authentifier ses utilisateurs sur la messagerie, les applications métiers, les accès distants et l’ensemble des ressources internes.
Une panne, une erreur de configuration ou la compromission d’un compte administrateur peuvent alors affecter plusieurs services simultanément.
Utiliser Microsoft 365 pour collaborer ne signifie pas nécessairement devoir lui confier toutes les clés de son système d’information.
Le choix d’une plateforme d’authentification doit résulter d’une analyse des risques, des dépendances et des exigences de disponibilité, plutôt que de la seule facilité d’intégration.
SSO on-premise : concilier authentification forte et maîtrise des identités
Le Single Sign-On (SSO), ou authentification unique, permet à un agent de s’authentifier une première fois, puis d’accéder aux différentes applications fédérées sans ressaisir systématiquement ses identifiants ou un code temporaire. Associé au MFA et à une politique de session adaptée, il concilie authentification forte, simplicité d’utilisation et contrôle des accès. Une nouvelle validation peut néanmoins être exigée pour certaines opérations sensibles.
Pour les collectivités souhaitant conserver cette fonction en interne, PCI accompagne l’intégration de solutions open source comme LemonLDAP::NG et Apereo CAS, afin de construire une architecture SSO on-premise adaptée à leur infrastructure.
Leur intégration à Active Directory facilite la gestion des comptes existants, tandis que les protocoles SAML et OpenID Connect assurent la connexion aux applications compatibles.
Plusieurs méthodes MFA peuvent être utilisées selon les configurations : jetons OTP, applications d’authentification, clés YubiKey ou mécanismes résistants au phishing.
Cette approche présente un avantage important : conserver la maîtrise du fournisseur d’identité, des règles d’authentification et du processus d’accès aux ressources internes.
Elle n’exclut pas les services cloud. Une fédération reste possible avec certaines applications externes, selon leurs capacités techniques et les exigences de sécurité.
En revanche, un SSO interne nécessite une exploitation rigoureuse : mises à jour, supervision, haute disponibilité, sauvegardes et procédures de reprise. Héberger son système d’authentification ne garantit pas automatiquement sa sécurité.
Construire une politique MFA durable dans les collectivités
La réussite d’un projet MFA ne repose pas seulement sur le choix des outils. Elle nécessite une décision partagée entre la DSI, la direction générale et les responsables métiers.
Une politique MFA efficace doit aussi s’inscrire dans la durée. Cela suppose des règles claires, un accompagnement adapté aux utilisateurs et des réponses aux situations particulières, sans multiplier les exceptions qui fragiliseraient la sécurité.
Une politique de sécurité cohérente repose sur trois principes : généraliser le MFA sur les accès compatibles, proposer des méthodes adaptées aux élus et aux agents et conserver la maîtrise des identités qui protègent l’infrastructure.
La sécurité des accès doit rester exigeante sans devenir un obstacle au travail quotidien. C’est cet équilibre entre protection, simplicité et autonomie qui permet de construire une politique d’authentification durable.
Vous souhaitez protéger vos accès distants, déployer une solution MFA ou étudier un SSO hébergé en interne ? Contactez les équipes PCI pour définir une architecture adaptée à votre collectivité.
