À partir de l’été 2025, le portail fiscal français impots.gouv.fr introduira une authentification à deux facteurs obligatoire. Les utilisateurs devront se connecter à l’aide de leur identifiant fiscal et de leur mot de passe, puis valider leur accès grâce à un code à usage unique, disponible pour une durée limitée, et envoyé au mail lié à leur compte. Les personnes qui accèdent à la plateforme via une passerelle d’identification déjà sécurisée seront exemptées de cette étape supplémentaire, car ce système met déjà en œuvre des mesures robustes de vérification de l’identité. En outre, le ministère de l’économie invite les utilisateurs à s’assurer que leurs coordonnées sont à jour et à rester particulièrement vigilants face aux tentatives de phishing visant à exploiter cette transition. Si les pics d’activité malveillante coïncident souvent avec la saison des déclarations d’impôts, les cybercriminels restent actifs tout au long de l’année, déployant fréquemment des systèmes de remboursement frauduleux et tentant de compromettre des comptes sur des plateformes critiques.
Tribune – Dans ce contexte, Fabrice de Vésian, Directeur Commercial Sud EMEA et France chez Yubico, souligne la nécessité d’intégrer le meilleur de la sécurité à l’accès aux portails critiques.
« Certains dispositifs d’authentification, bien que présentés comme sécurisés, reposent toujours sur une configuration assez classique : un nom d’utilisateur et un mot de passe standard, suivis d’un code à usage unique envoyé par email. Si cette configuration peut donner l’impression d’une protection renforcée, elle montre aujourd’hui ses limites face à la réalité d’un écosystème numérique qui devient chaque jour plus complexe et plus vulnérable. L’expérience n’est également pas toujours fluide, causant souvent des frictions pour les utilisateurs qui veulent simplement accéder à des services essentiels rapidement et en toute sécurité.
Alors que l’Union européenne s’apprête à déployer le portefeuille numérique et à intégrer en ligne des données personnelles sensibles, des soins de santé et des services administratifs, la nécessité d’une authentification forte, fiable et facile à utiliser n’a jamais été aussi cruciale. Les méthodes traditionnelles telles que les OTP (mot de passe à usage unique) ou l’authentification unique, reposent sur des bases obsolètes qui sont de plus en plus ciblées par le phishing et d’autres cyberattaques. Cette complexité, couplée à une fréquence d’usage parfois faible, peut aussi décourager les bonnes pratiques en matière de sécurité, avec une réutilisation de mots de passe ou un recours à des informations faciles à deviner.
Il est évident que le moment est venu de changer d’approche. L’adoption de technologies résistantes au phishing, telles que les tokens FIDO2, représente une amélioration significative, non seulement en termes de sécurité, mais aussi parce qu’elle offre une expérience plus intuitive et plus rapide. Ces méthodes éliminent complètement les mots de passe et lient l’accès à un appareil physique, ce qui rend les intrusions à distance beaucoup plus difficiles pour les cybercriminels.
Néanmoins, l’authentification moderne ne doit pas s’arrêter à la sécurité. Elle doit également prendre en compte les scénarios réels des usagers, comme la perte d’un appareil ou l’oubli d’un code PIN. C’est pourquoi les stratégies de repli sont importantes. Au lieu de réinitialiser maladroitement les mots de passe, un système bien conçu pourrait combiner un élément matériel ou un passkey avec un code PIN statique défini par l’utilisateur, ce qui lui donnerait un moyen simple et intuitif de récupérer son accès sans compromettre sa sécurité. Une approche efficace consiste à permettre à ce dernier d’enregistrer un deuxième appareil sécurisé en guise de sauvegarde. En cas de perte ou d’indisponibilité de l’appareil principal, cet outil de secours prend le relais de manière transparente, garantissant ainsi un accès continu tout en maintenant une protection solide.
À long terme, permettre ce type d’accès sécurisé et sans friction dans l’infrastructure numérique publique de l’Europe n’est pas seulement une mise à niveau technique, c’est un impératif de confiance publique. Les citoyens doivent savoir que leurs données sont protégées et que leur accès à des services vitaux ne sera pas bloqué par des systèmes obsolètes ou des vulnérabilités évitables. »
