Activer la double authentification ne suffit pas si le code arrive sur un ancien numéro ou si personne ne sait utiliser la récupération. Pour les comptes essentiels d’une activité VTC, le test doit couvrir la connexion ordinaire, la perte du second facteur et la reprise depuis un appareil neuf. Il se prépare en moins d’une semaine, sans provoquer de déconnexion générale.
Commencez par les comptes évoqués dans l’organisation du téléphone professionnel : messagerie, banque, facturation, plateformes, stockage et services administratifs. Classez-les selon l’impact d’une indisponibilité, sans inscrire les mots de passe dans le tableau.
Inventorier puis tester par lots
Jour 1, listez les comptes, leur propriétaire, le second facteur et le canal de récupération. Jour 2, choisissez deux comptes non critiques pour valider la méthode. Jours 3 et 4, testez les comptes prioritaires un par un. Jour 5, corrigez les coordonnées obsolètes et rangez les codes de secours dans un emplacement protégé distinct.
Le guide de l’ANSSI pour les TPE et PME face aux risques numériques fournit un cadre de protection. Les recommandations officielles relatives à l’authentification multifacteur et aux mots de passe détaillent les facteurs et leur gestion. Adaptez le test aux fonctions réellement offertes par chaque service.
Ne pas confondre présence et fonctionnement
| Contrôle | Preuve attendue | Alerte |
|---|---|---|
| Second facteur actif | Écran de paramètres daté | SMS vers ancien numéro |
| Code de secours | Existence et lieu vérifiés | Copie sur le même téléphone |
| Adresse de récupération | Message test reçu | Boîte inaccessible |
| Appareil neuf | Procédure décrite | Dépendance à un appareil perdu |
Ne publiez ni capture contenant un secret ni code de secours dans le rapport. La preuve indique que le test a réussi, la date, le compte et le contrôleur. Elle peut inclure une capture expurgée des paramètres, conservée dans un emplacement restreint.
Scénario : le compte de facturation utilise une application d’authentification sur le téléphone principal. Le code fonctionne, mais les codes de secours sont dans une note du même appareil. Le chauffeur les renouvelle si le service le permet, les place dans un coffre distinct et vérifie l’adresse de récupération avant de clôturer la ligne.
Préparer le test sans se verrouiller dehors
Avant toute modification, confirmez qu’une session valide reste disponible et que les moyens de récupération sont à jour. Ne supprimez pas l’ancien facteur avant que le nouveau soit testé. Pour un compte bancaire ou administratif, suivez la procédure officielle du service et évitez les essais répétés susceptibles de bloquer l’accès.
La routine de restauration des sauvegardes est complémentaire : récupérer un fichier ne rend pas le compte qui le synchronise accessible. Inversement, retrouver l’accès au stockage ne prouve pas que les sauvegardes sont lisibles.
Fréquence, preuve et alerte
Fréquence : revue trimestrielle, plus un contrôle après changement de téléphone, de numéro ou de collaborateur. Preuve : registre sans secret, date du test, facteurs disponibles, résultat et action corrective. Alerte : facteur unique, récupération sur le même appareil, numéro obsolète, compte partagé ou codes non localisés.
Le numérateur est le nombre de comptes dont connexion et récupération ont été vérifiées ; le dénominateur est le nombre de comptes essentiels inventoriés. Un test partiel reste partiel. Suivez séparément les comptes bloqués, car les exclure du dénominateur donnerait une image trompeuse.
Définir le point d’arrêt
Arrêtez immédiatement si aucun moyen de récupération indépendant n’est confirmé, si l’identité du propriétaire du compte est incertaine ou si le service demande une action irréversible. Documentez la situation et contactez le support officiel depuis son site. Ne communiquez jamais un code reçu à une personne qui vous appelle.
Le système d’organisation minimal reçoit enfin une page « accès essentiels » sans identifiants secrets. La routine réussit quand une indisponibilité simulée débouche sur une procédure vérifiée, pas quand une case « 2FA activée » est simplement cochée.
Classer les comptes par impact
Niveau 1 : compte dont la perte bloque immédiatement les courses, les paiements ou l’administration. Niveau 2 : outil récupérable avec un délai supportable. Niveau 3 : service secondaire. Testez d’abord un niveau 2 pour roder la procédure, puis les niveaux 1 un par un avec une fenêtre sans course urgente.
Pour chaque niveau 1, notez le canal officiel d’assistance et les éléments d’identification habituellement demandés, sans en conserver une copie excessive. Vérifiez que le courriel de récupération n’est pas lui-même dépendant du compte testé.
Traiter le changement de téléphone
Avant la migration, exportez ou transférez les facteurs selon la procédure officielle de chaque service. Après installation, validez la connexion puis retirez l’ancien appareil depuis les paramètres du compte. Conservez l’ancien téléphone protégé jusqu’à la fin des tests, sans le céder ni l’effacer prématurément. Le registre indique la date de retrait effectif.
Vérifiez ensuite les sessions encore ouvertes. Une authentification renforcée ne ferme pas toujours les appareils déjà autorisés. Comparez la liste des sessions aux appareils possédés, révoquez celles qui sont inconnues selon la procédure du service et consignez l’action sans recopier les adresses techniques inutilement.
Si le compte sert à plusieurs personnes, remplacez le partage d’un code par des accès nominatifs lorsque le service le permet. Chaque départ ou changement de rôle déclenche une revue immédiate. Le tableau suit le propriétaire et les habilitations, jamais le secret lui-même.