Quels critères distinguent un accès professionnel en ligne réellement sécurisé d’un simple formulaire de connexion protégé par un mot de passe ? Entre l’entrée en vigueur de l’European Accessibility Act le 28 juin 2025 et la publication du Panorama de la cybermenace 2025 par l’ANSSI le 11 mars 2026, les exigences qui pèsent sur les espaces professionnels ont changé de nature.
Cet article compare les pratiques actuelles de gestion des accès et identifie les écarts qui exposent encore les petites structures.
Authentification multifacteur : couverture réelle selon le type d’accès
La recommandation de déployer l’authentification multifacteur (MFA) sur tous les comptes sensibles circule depuis plusieurs années. Les retours d’expérience documentés en 2026 montrent un décalage entre l’intention et la mise en œuvre.
| Type d’accès | MFA fréquemment activée | MFA souvent absente |
|---|---|---|
| Messagerie professionnelle | Oui | – |
| Console d’administration cloud | Variable | Oui, sur les comptes secondaires |
| VPN ou accès distant | Rarement | Oui |
| Outils de paiement en ligne | Oui (réglementation bancaire) | – |
| Consoles de sauvegarde | Rarement | Oui |
Le schéma typique : une entreprise active la MFA sur la messagerie parce que le fournisseur l’impose, puis laisse les accès distants et les consoles de sauvegarde protégés par un simple mot de passe. C’est précisément par ces points d’entrée secondaires que les compromissions se produisent.
Gérer un accès professionnel à J’entreprends Au Féminin illustre bien cette logique : chaque point de connexion mérite une vérification distincte, pas seulement le portail principal.
La MFA ne protège que les accès sur lesquels elle est réellement déployée. Couvrir la messagerie sans couvrir le VPN ou la console de sauvegarde revient à verrouiller la porte d’entrée en laissant la fenêtre ouverte.
Rançongiciels et TPE-PME : les données du Panorama ANSSI 2026
Le Panorama de la cybermenace 2025 publié par l’ANSSI le 11 mars 2026 fournit une donnée structurante : les TPE, PME et ETI représentent 48 % des victimes de rançongiciels connues de l’Agence. Ce chiffre place les petites et moyennes structures au premier rang des cibles, devant les grandes entreprises et les collectivités.
Cette proportion élevée s’explique en partie par des pratiques d’accès professionnel incomplètes. Un mot de passe robuste sur le compte principal ne suffit pas si les sauvegardes ne sont pas isolées du réseau courant.
Sauvegardes isolées et tests de restauration
L’ANSSI recommande d’intégrer au parcours d’accès professionnel deux mesures complémentaires :
- Des sauvegardes stockées hors du réseau principal, inaccessibles depuis les comptes utilisateurs courants, pour qu’un rançongiciel ne puisse pas les chiffrer en même temps que les données de production
- Des tests réguliers de restauration, car une sauvegarde qui n’a jamais été testée peut s’avérer inutilisable au moment critique
- Une segmentation des droits d’accès aux consoles de sauvegarde, distincte des droits d’administration générale
Une sauvegarde non testée équivaut à une sauvegarde inexistante. Plusieurs structures touchées par des rançongiciels disposaient de sauvegardes, mais n’avaient jamais vérifié qu’elles pouvaient être restaurées dans un délai acceptable.
Passkeys et gestion des identités : ce qui change en 2026
Les passkeys (clés d’accès biométriques ou matérielles, conformes au standard FIDO2) commencent à être considérées comme une alternative crédible aux mots de passe traditionnels pour les accès professionnels. Leur adoption reste progressive, mais plusieurs plateformes de services professionnels les proposent désormais.
La différence avec un mot de passe classique est structurelle. Un mot de passe peut être intercepté par hameçonnage, réutilisé sur plusieurs comptes ou deviné par force brute. Une passkey ne quitte jamais le terminal de l’utilisateur et ne peut pas être saisie sur un faux site.
Limites actuelles pour les petites structures
L’adoption des passkeys suppose que chaque collaborateur dispose d’un terminal compatible et que l’infrastructure de gestion des identités supporte le standard. Pour une TPE de trois personnes utilisant des terminaux variés, le déploiement reste plus complexe que pour une entreprise équipée de manière homogène.
En revanche, pour les accès individuels (un artisan qui se connecte à son espace professionnel depuis un seul appareil), la passkey simplifie la procédure tout en renforçant la sécurité. Le gain est maximal quand le nombre de terminaux est limité.
Accessibilité numérique des espaces professionnels : obligation depuis juin 2025
Depuis le 28 juin 2025, l’European Accessibility Act impose aux services de commerce électronique destinés aux consommateurs de rendre leur parcours utilisable, compréhensible et robuste. Les espaces professionnels adossés à une activité commerciale en ligne sont concernés.
Concrètement, un formulaire de connexion professionnel doit pouvoir être utilisé avec un lecteur d’écran, proposer des contrastes suffisants et ne pas reposer uniquement sur un captcha visuel. Les microentreprises de services bénéficient d’une exemption sous certaines conditions, mais cette exemption ne couvre pas les plateformes de commerce électronique.
- Le parcours de connexion doit être navigable au clavier sans piège de focus
- Les messages d’erreur doivent être explicites et associés au champ concerné
- Les alternatives textuelles doivent être fournies pour tout élément non textuel du processus d’authentification
- Un captcha exclusivement visuel devient un obstacle réglementaire pour les utilisateurs de technologies d’assistance
Cette obligation change la manière de concevoir un espace d’accès professionnel. La sécurité et l’accessibilité ne s’opposent pas, mais leur combinaison exige des choix techniques précis (authentification biométrique compatible avec les lecteurs d’écran, par exemple).
Les données du Panorama ANSSI et les nouvelles obligations d’accessibilité convergent vers un même constat : un accès professionnel en ligne se conçoit comme un système de gestion des identités, pas comme un simple champ mot de passe. Les structures qui traitent la MFA, les sauvegardes, les passkeys et l’accessibilité comme des chantiers séparés accumulent des failles qui se renforcent mutuellement.
