Un mot de passe fort et unique reste une bonne pratique — mais ce n'est plus une protection suffisante à lui seul, pour une raison simple : le mot de passe n'est plus le seul maillon faible.
Le problème que le mot de passe seul ne résout pas
Les fuites de données touchent régulièrement des services tiers, exposant des combinaisons email/mot de passe qui sont ensuite testées automatiquement sur d'autres services (une technique appelée "credential stuffing"). Un mot de passe réutilisé, même complexe, devient alors vulnérable non pas parce qu'il a été deviné, mais parce qu'il a fuité ailleurs.
Ce que change la double authentification
La double authentification (MFA) ajoute une preuve supplémentaire au moment de la connexion : un code temporaire à 6 chiffres, généré par une application comme Google Authenticator, qui change toutes les 30 secondes (norme TOTP, RFC 6238). Même si un mot de passe a fuité, il devient insuffisant seul pour se connecter — l'attaquant devrait aussi avoir accès physique à l'appareil qui génère le code.
Pourquoi le rendre obligatoire, pas seulement recommandé
Une option "recommandée mais pas obligatoire" finit presque toujours par ne pas être activée — pas par négligence, mais simplement parce que la friction initiale (scanner un QR code, comprendre le fonctionnement) décourage une adoption spontanée. C'est pour cette raison que ParcIT Pro impose la configuration de la double authentification dès la première connexion des comptes à privilèges élevés (super admin, admin), plutôt que de la proposer en option dans un menu que personne ne visite.
Une protection qui ne remplace pas les bonnes pratiques existantes
La double authentification ne dispense pas d'utiliser des mots de passe uniques et suffisamment longs — elle ajoute une couche de protection supplémentaire, elle ne remplace pas la première. Les deux ensemble réduisent significativement le risque d'accès non autorisé, bien plus que l'un ou l'autre séparément.