Mesurer l’adoption de l’authentification multifactorielle (MFA) en entreprise revient à comparer deux réalités : celle des grandes organisations, où le déploiement est largement engagé, et celle des PME, où les mots de passe restent souvent la seule barrière. L’écart entre ces deux mondes se chiffre, et les données récentes permettent de le quantifier avec précision.
Taux d’adoption MFA : grandes entreprises contre PME
Les chiffres disponibles dessinent un fossé net. La campagne qui a visé les clients de Snowflake en 2024 a montré ce que produit l’absence de MFA : plus de 165 organisations compromises, dont Ticketmaster et Santander, simplement parce que des identifiants volés ouvraient des comptes sans second facteur.
| Critère | Grandes entreprises | PME |
|---|---|---|
| Déploiement MFA actif | Largement généralisé | Adoption encore minoritaire |
| Méthode dominante | Applications TOTP, clés matérielles, passkeys | SMS ou aucune |
| Réduction du risque de compromission de compte | 99,2 % selon les données du JDN | |
| Frein principal | Résistance utilisateur au changement | Perception de coût et de complexité |
| Pression réglementaire | RGPD, NIS 2, eIDAS 2.0 | Obligations identiques, moyens moindres |
Le problème n’est pas technologique. Les solutions MFA existent à tous les prix, y compris gratuitement via des applications d’authentification. L’écart d’adoption reflète un déficit de pilotage, pas de budget.
Passkeys et authentification passwordless : ce qui change en 2026
L’arrivée des passkeys redessine le paysage de l’authentification forte en entreprise. Selon une enquête conjointe FIDO Alliance et HID de 2025, 87 % des entreprises déclarent déployer ou tester activement des passkeys, contre 53 % deux ans plus tôt. Cette progression rapide s’explique par un avantage concret : les passkeys suppriment le mot de passe lui-même, donc le vecteur d’attaque principal.
Les passkeys reposent sur le standard FIDO2 et sont désormais autorisées au niveau NIST AAL2 depuis 2024. Pour les équipes informatiques, cela signifie qu’un authentificateur synchronisable (stocké sur un smartphone ou un gestionnaire de mots de passe) atteint le même niveau de conformité qu’un token matériel pour la plupart des usages professionnels.
Pourquoi les passkeys progressent plus vite que le MFA classique
Le MFA par SMS souffre d’un défaut structurel : il reste vulnérable au SIM swapping et au phishing en temps réel. Les codes OTP par application réduisent ce risque, mais ajoutent une étape que les utilisateurs contournent dès qu’ils le peuvent.
Les passkeys éliminent cette friction. L’utilisateur déverrouille son appareil par biométrie ou code PIN local, et la clé cryptographique fait le reste. Pas de code à recopier, pas de SMS à attendre. Moins de friction produit un taux d’adoption plus élevé, ce qui explique la bascule rapide observée dans les entreprises qui les déploient.
Réglementation européenne et authentification forte : eIDAS 2.0 et DORA
Le cadre réglementaire pousse l’adoption dans une direction précise. Le règlement eIDAS 2.0 (Règlement (UE) 2024/1183), entré en vigueur le 20 mai 2024, impose à chaque État membre de proposer d’ici fin 2026 au moins un portefeuille européen d’identité numérique (EUDI Wallet) gratuit et certifié.
À partir de décembre 2027, les organisations privées déjà tenues par la loi de recourir à une authentification forte devront accepter ce portefeuille. Pour les entreprises, cela signifie adapter leurs systèmes de contrôle d’accès à un standard d’identité numérique interopérable à l’échelle européenne.
Ce que DORA ajoute pour le secteur financier
Le règlement DORA (Digital Operational Resilience Act), qui concerne les entités financières, renforce les exigences cryptographiques liées à l’authentification. Les entreprises du secteur doivent documenter leurs mécanismes MFA, tester leur résilience, et démontrer que les contrôles d’accès résistent à des scénarios d’attaque définis.
Ces deux textes créent une pression convergente. La MFA passe du statut de bonne pratique à celui d’obligation documentée. Les entreprises qui n’ont pas encore déployé de second facteur se retrouvent en décalage réglementaire, pas seulement en retard technique.
Méthodes MFA en entreprise : comparatif des compromis
Toutes les méthodes MFA n’offrent pas le même niveau de protection ni la même expérience utilisateur. Le choix dépend du profil de risque, du parc d’appareils et de la tolérance à la friction des équipes.
- SMS et appels vocaux : faciles à déployer, mais vulnérables au SIM swapping et aux interceptions. La CNIL recommande de les réserver aux cas où aucune autre méthode n’est disponible.
- Applications TOTP (Google Authenticator, Microsoft Authenticator) : résistantes au phishing par SMS, mais l’utilisateur doit recopier un code temporaire, ce qui génère des erreurs et de la lassitude.
- Clés de sécurité matérielles (YubiKey, Titan) : protection très élevée contre le phishing, y compris en temps réel. Le coût unitaire et la gestion des pertes freinent le déploiement à grande échelle.
- Passkeys FIDO2 : combinent la résistance au phishing des clés matérielles avec la simplicité de la biométrie locale. Seule méthode qui réduit à la fois le risque et la friction utilisateur.
En revanche, aucune méthode MFA ne protège contre un appareil déjà compromis par un malware. La MFA sécurise l’authentification, pas le poste de travail. C’est pourquoi les architectures Zero Trust combinent MFA, contrôle d’accès conditionnel et surveillance continue des sessions.
L’authentification multifactorielle n’est plus un sujet de roadmap. Les données montrent que les entreprises qui déploient des passkeys atteignent des taux d’adoption internes plus élevés que celles qui s’appuient sur le SMS ou le TOTP. Le calendrier réglementaire européen, avec eIDAS 2.0 fin 2026 et DORA déjà en vigueur, transforme chaque mois de retard en risque de non-conformité mesurable.
