La double authentification (ou authentification à deux facteurs, 2FA) ajoute une seconde preuve d'identité à votre mot de passe quand vous ouvrez votre ERP. Elle n'est pas imposée à toutes les entreprises en France, mais la CNIL la recommande pour les accès à risque. Un ERP concentre vos factures, vos clients, vos salaires et votre trésorerie : c'est l'un des premiers comptes à protéger.
Cet article explique le principe, ce que dit la réglementation, quelle méthode choisir, comment activer la 2FA et où trouver le code demandé à la connexion.
En bref
- La 2FA exige deux facteurs distincts (par exemple un mot de passe, puis un code à usage unique) : un mot de passe volé ne suffit plus.
- Elle n'est pas obligatoire pour toutes les entreprises en France, mais la CNIL la recommande pour les données sensibles et les opérations à risque.
- Privilégiez une application d'authentification ou une clé de sécurité plutôt que le SMS, jugé moins robuste pour les accès sensibles.
- Protégez en priorité les comptes administrateurs, la messagerie et les accès à la comptabilité.
- Conservez des codes de secours et prévoyez une procédure en cas de perte de téléphone.
Table des matières
- Le principe de la double authentification sur un ERP
- La double authentification est-elle obligatoire pour une entreprise en France ?
- Quelle méthode de double authentification choisir ?
- Qui protéger en priorité dans votre PME ?
- Comment activer la double authentification sur un ERP
- Où trouver le code 2FA demandé à la connexion ?
- Les erreurs à éviter
- Notre point de vue : sécurité et simplicité doivent aller ensemble
- Une plateforme unique pour moins de comptes à sécuriser
- Intégrer la sécurité dans le choix de votre ERP
- FAQ
- Sources
Le principe de la double authentification sur un ERP
Sans 2FA, une seule information protège l'accès : le mot de passe. S'il est deviné, réutilisé sur un autre site ou dérobé par un message frauduleux, l'attaquant entre dans votre ERP comme un utilisateur légitime.
Avec la 2FA, la connexion demande deux facteurs distincts. En général, c'est le mot de passe, puis un jeton à usage unique généré dynamiquement ou un facteur biométrique. Un mot de passe compromis ne suffit alors pas à accéder au compte.
La CNIL classe les facteurs en trois catégories, dans sa recommandation sur l'authentification multifacteur, adoptée le 20 mars 2025 et publiée le 1er avril 2025 :
| Catégorie | Principe | Exemples |
|---|---|---|
| Connaissance | Ce que vous savez | Mot de passe, code PIN |
| Possession | Ce que vous avez | Application sur smartphone, clé de sécurité, carte |
| Inhérence | Ce que vous êtes | Empreinte digitale, reconnaissance faciale |
Deux mots de passe successifs ne font pas une double authentification : il faut deux catégories différentes.
Pourquoi l'ERP est une cible de choix
Un ERP cloud est accessible depuis n'importe quel navigateur. C'est pratique pour vos équipes, et cela implique que l'identifiant et le mot de passe sont la porte d'entrée principale. Y sont réunis :
- les coordonnées de vos clients et fournisseurs ;
- vos devis, factures et avoirs ;
- les données RH (congés, paie) ;
- vos indicateurs de marge et de trésorerie.
Pour une PME, l'ERP fait partie des accès à protéger en priorité, avec les comptes administrateurs, la messagerie, le VPN, la comptabilité et les sauvegardes, selon ce guide français consacré à la MFA publié le 5 août 2026.
La double authentification est-elle obligatoire pour une entreprise en France ?
Non, pas de façon systématique. D'après la recommandation de la CNIL de 2025, les articles 5.1.f et 32 du RGPD imposent une sécurité adaptée au risque, mais n'imposent pas la MFA à toutes les entreprises.
Ce que cela signifie concrètement : c'est à vous, responsable de traitement, d'évaluer le risque. Plus les données sont sensibles et plus l'accès est critique, plus la 2FA devient la réponse attendue. La CNIL recommande d'évaluer la MFA en particulier pour :
- les données sensibles au sens de l'article 9 du RGPD ;
- les opérations à risque, comme l'administration des systèmes et réseaux ou l'accès à la messagerie professionnelle.
Dans sa fiche sur les règles essentielles de sécurité des données du 19 juin 2026, elle conseille d'activer la double authentification en priorité pour les boîtes de courriel, les comptes administrateurs et les services en ligne. Elle y recommande aussi des mots de passe d'au moins 12 caractères, un gestionnaire de mots de passe, des mises à jour et des sauvegardes.
Si vous tenez un ERP avec des données RH (paie, absences), vous manipulez des informations personnelles de vos salariés. Même si la loi ne tranche pas pour votre cas précis, activer la 2FA est la manière la plus simple de démontrer une démarche de sécurité proportionnée. Pour le cadre RGPD d'un ERP en ligne, notre guide sur la mise en conformité RGPD d'un ERP cloud détaille les points à traiter.
Une approche proportionnée au risque
La logique de la CNIL est celle de la proportionnalité : évaluer les risques, les données traitées et l'impact sur les personnes. Un article sur les bonnes pratiques de sécurité pour un site financier reprend cette approche, avec les facteurs d'authentification et les obligations liées au RGPD.
Avant de déployer la MFA, la CNIL recommande aussi de cadrer le traitement : déterminer une base légale, minimiser les données collectées, définir leur durée de conservation, qualifier les acteurs et prévoir l'exercice des droits. Si vous utilisez un facteur qui collecte une donnée (un numéro de téléphone, par exemple), cette donnée doit rester limitée à cet usage.
Quelle méthode de double authentification choisir ?
Toutes les méthodes ne se valent pas. Voici les plus courantes, de la plus robuste à la plus fragile pour un accès professionnel.
| Méthode | Facteur | Avantages | Points de vigilance |
|---|---|---|---|
| Clé de sécurité physique | Possession | Très résistante au piratage de type hameçonnage | Il faut en équiper chaque utilisateur et prévoir une clé de secours |
| Application d'authentification (TOTP) | Possession | Gratuite, fonctionne hors réseau, codes renouvelés en quelques secondes | Dépend du téléphone : prévoir la récupération |
| Notification push | Possession | Très rapide | Validez uniquement les demandes que vous avez lancées |
| Code par SMS | Possession | Simple, aucun logiciel à installer | Moins robuste, voir ci-dessous |
| Biométrie | Inhérence | Confortable | Risques supplémentaires pour les personnes, voir ci-dessous |
Pourquoi se méfier du SMS pour les accès sensibles
La CNIL recommande une preuve de possession cryptographiquement robuste et dynamique, et indique que la confiance accordée à l'OTP par SMS doit être évaluée au cas par cas. Côté ANSSI, le guide présenté par IT-Connect en 2021 déconseille le SMS comme moyen d'authentification, notamment à cause du SIM swapping (le détournement de votre numéro vers une autre carte SIM).
Le SMS reste toutefois mieux que rien. Si votre équipe n'a pas d'autre solution, activez-le, puis passez à une application d'authentification dès que possible.
Et la biométrie ?
L'empreinte ou le visage sont pratiques sur un smartphone, mais la CNIL recommande, en contexte professionnel et lorsque c'est possible, de privilégier les facteurs de connaissance et de possession plutôt que l'inhérence, car la biométrie entraîne des risques supplémentaires pour les personnes. Pour un ERP de PME, l'application d'authentification ou la clé de sécurité est donc le choix le plus simple à justifier.
Qui protéger en priorité dans votre PME ?
Vous n'avez pas à tout déployer d'un coup. Procédez par niveau de risque :
- Les administrateurs de l'ERP. Ils peuvent créer des utilisateurs, exporter des bases et modifier des droits. Un compte administrateur compromis expose l'ensemble de l'entreprise.
- Les comptes qui touchent à l'argent. Facturation, comptabilité, relances, paiements fournisseurs.
- Les comptes RH. Paie, dossiers salariés, congés.
- La messagerie professionnelle. Elle sert souvent à réinitialiser les mots de passe de tous les autres services : si elle tombe, le reste suit.
- Les autres utilisateurs. Commerciaux, techniciens, équipes terrain, selon leur niveau d'accès.
Un principe complémentaire : limitez les droits de chaque utilisateur à ce dont il a besoin. La 2FA protège la porte, la gestion des droits limite ce que quelqu'un peut faire une fois entré.
Comment activer la double authentification sur un ERP
La procédure exacte dépend de chaque logiciel, mais le schéma est presque toujours le même. Consultez l'aide de votre éditeur pour les écrans précis.
- Ouvrez les paramètres de sécurité de votre profil utilisateur (souvent « Mon compte », « Sécurité » ou « Connexion »).
- Choisissez la méthode : application d'authentification, clé de sécurité ou SMS.
- Associez votre application. L'ERP affiche un QR code ou une clé de configuration. Vous le scannez avec une application d'authentification installée sur votre smartphone.
- Saisissez le code à 6 chiffres affiché par l'application pour confirmer l'association.
- Enregistrez les codes de secours fournis à ce moment-là. Ils servent si vous perdez l'accès à l'application, par exemple en changeant de téléphone. Rangez-les dans un endroit sûr, comme un gestionnaire de mots de passe.
- Testez la connexion : déconnectez-vous, reconnectez-vous avec mot de passe et code.
Pour un déploiement en équipe, commencez par un groupe pilote (administrateurs, direction, comptabilité), puis étendez par vagues. Prévenez vos équipes en amont, expliquez le pourquoi, et désignez une personne chargée des réinitialisations.
Où trouver le code 2FA demandé à la connexion ?
C'est la question la plus fréquente, et la réponse dépend de la méthode choisie :
- Application d'authentification : le code à 6 chiffres s'affiche dans l'application installée sur votre téléphone, à côté du nom de votre ERP. Il change à intervalles très courts, saisissez-le sans attendre.
- SMS : le code arrive sur le numéro de mobile enregistré dans votre profil. Si vous ne le recevez pas, vérifiez la couverture réseau et que le numéro est le bon.
- Notification push : une demande d'approbation apparaît dans l'application associée.
- Clé de sécurité : vous la branchez ou l'approchez de l'appareil, puis vous la touchez.
- Code de secours : un code unique, conservé lors de l'activation, à utiliser si vous n'avez plus accès à votre méthode habituelle.
Si vous n'avez plus rien de tout cela, le recours est l'administrateur de l'ERP, qui peut réinitialiser votre second facteur après avoir vérifié votre identité par un autre canal (appel, échange en personne). Ne le faites jamais sur la seule base d'un message reçu : c'est exactement ce que cherchent à exploiter les fraudeurs.
Les erreurs à éviter
- Activer la 2FA seulement pour les employés, pas pour la direction. Les dirigeants ont souvent les droits les plus larges.
- Partager un compte. Un compte commun rend la 2FA inutilisable : chacun doit avoir son identifiant.
- Ne pas prévoir de récupération. Sans codes de secours ni procédure, un téléphone perdu bloque un utilisateur, parfois au pire moment (clôture, relance, facturation).
- Valider une notification que vous n'avez pas déclenchée. Si une demande de connexion arrive sans que vous en soyez à l'origine, refusez-la et changez votre mot de passe.
- Compter sur la 2FA seule. Elle complète un mot de passe solide, des mises à jour et des sauvegardes régulières. Elle ne les remplace pas.
Notre point de vue : sécurité et simplicité doivent aller ensemble
Dans les PME que nous accompagnons, la sécurité échoue rarement par manque de technologie. Elle échoue parce que les outils sont dispersés : un tableur pour les devis, un CRM à part, une messagerie pour tout le reste, et autant de mots de passe à retenir. Chaque outil supplémentaire est une porte de plus à surveiller.
C'est l'une des raisons pour lesquelles nous défendons un ERP modulaire et centralisé. Avec LugX, vos factures, votre gestion commerciale, vos stocks, vos ressources humaines et votre comptabilité vivent dans une seule plateforme, que vous enrichissez module par module selon vos besoins. Moins d'outils éparpillés, c'est moins de comptes à protéger et une vision plus claire de qui accède à quoi.
Notre conviction : la bonne politique de sécurité est celle que vos équipes appliquent vraiment. Commencez par les comptes les plus exposés, choisissez une méthode simple à utiliser au quotidien et étendez progressivement, comme vous le feriez pour vos modules.
Adam
Une plateforme unique pour moins de comptes à sécuriser
LugX est un ERP cloud modulaire français pensé pour les TPE, PME, artisans et micro-entreprises. L'offre Essentiel démarre à 29,99 € HT par mois et couvre la facturation électronique conforme (Factur-X, UBL). Vous ajoutez ensuite, au besoin, des modules à 9,99 € HT par mois chacun : Commercial, RH, Comptabilité, Projets ou encore Interventions. Vos données restent au même endroit à chaque étape de votre croissance.
Pour comparer les approches, nos articles sur ERP cloud ou sur site et sur les points à vérifier avant de choisir un ERP vous donnent une grille de décision. Découvrez l'ensemble de l'offre sur lugx.fr.
Intégrer la sécurité dans le choix de votre ERP
La double authentification est un critère parmi d'autres quand vous choisissez un logiciel de gestion. Voici une courte liste de questions à poser à tout éditeur :
- Quelles méthodes de second facteur sont proposées (application, clé, SMS) ?
- Peut-on l'imposer à tous les utilisateurs ou à certains profils ?
- Comment se déroule la récupération d'un compte en cas de perte du téléphone ?
- Où sont hébergées les données et quel cadre RGPD s'applique ?
- Les droits peuvent-ils être définis finement par utilisateur et par module ?
- Les connexions via API sont-elles sécurisées ? Notre guide API et ERP cloud détaille ce point.
Et si vous activez des notifications par email ou SMS pour vos équipes, pensez à les configurer proprement : voyez notre article sur le connecteur email et SMS.
FAQ
Quel est le principe de la double authentification ?
Elle demande deux preuves de natures différentes avant d'ouvrir l'accès : par exemple votre mot de passe (ce que vous savez) puis un code généré par votre téléphone (ce que vous possédez). Un mot de passe volé ne suffit donc plus à se connecter.
La double authentification est-elle obligatoire ?
Pas pour toutes les entreprises. Selon la CNIL, le RGPD impose une sécurité adaptée au risque, sans exiger systématiquement la MFA. Elle est en revanche recommandée pour les données sensibles, les comptes administrateurs et la messagerie professionnelle.
Comment activer la double authentification ?
Ouvrez les paramètres de sécurité de votre compte, choisissez une méthode (application d'authentification de préférence), scannez le QR code, saisissez le code à 6 chiffres pour confirmer et conservez vos codes de secours. Testez ensuite la connexion.
Où trouver le code 2FA ?
Il s'affiche dans votre application d'authentification, arrive par SMS sur votre mobile enregistré ou se valide par notification, selon la méthode choisie. En cas de perte, utilisez un code de secours ou demandez une réinitialisation à votre administrateur.
Le SMS est-il suffisant pour protéger un ERP ?
C'est mieux qu'un simple mot de passe, mais l'ANSSI le déconseille comme moyen d'authentification, notamment à cause du SIM swapping. Pour les comptes administrateurs, préférez une application d'authentification ou une clé de sécurité.
Sources
- CNIL, Authentification multifacteur : les recommandations
- CNIL, Recommandation relative à l'authentification multifacteur (PDF)
- CNIL, Sécurité des données : les règles essentielles
- IT-Connect, Nouveau guide ANSSI sur les mots de passe et l'authentification multifacteur
- Auth0, Authentification à deux facteurs (2FA)
- Atelier Infonumerik, Authentification multifacteur (MFA)
- Baker McKenzie, CNIL's Guidance on Multi-Factor Authentication
- Gandi, Activer l'authentification à deux facteurs avec TOTP