Une personne remplace son téléphone, le réinitialise ou supprime simplement l'application d'authentification en faisant du ménage. Son mot de passe fonctionne toujours, mais son second facteur a disparu et elle ne peut plus accéder à ses messages. Le blocage 2FA du webmail est l'une des demandes d'assistance les plus fréquentes dans toute organisation qui prend la sécurité au sérieux, et il est parfaitement prévisible.
Cet article explique comment le résoudre, pourquoi la procédure doit être délibérée plutôt qu'automatique et quelles préparations simples en font une tâche de deux minutes au lieu d'y consacrer un après-midi.
Pourquoi cela arrive si souvent
L'authentification à deux facteurs est configurée une seule fois, sur un seul appareil, à un moment où la personne cherche avant tout à accéder à sa messagerie sans penser à ce qui se passera si l'appareil disparaît.
Les codes de récupération sont proposés et généralement ignorés, car ils ressemblent alors à une corvée supplémentaire. Les téléphones sont ensuite remplacés environ tous les trois ans et, sauf sauvegarde ou migration volontaire de l'application d'authentification, les codes ne suivent pas. Un blocage 2FA du webmail ne signifie donc pas que quelqu'un a commis une erreur. C'est une conséquence prévisible du cycle de vie des appareils.
Il est utile de s'en souvenir lorsque cela se produit, car la personne bloquée se sent généralement coupable alors qu'elle ne devrait pas.
Les deux moyens de récupérer l'accès
Il en existe exactement deux, et seul le premier peut être utilisé sans aide extérieure.
Un code de récupération. Ces codes sont fournis lors de l'enrôlement et constituent la solution en libre-service. L'utilisateur se connecte avec son mot de passe, saisit un code de récupération à la place du code de l'application, puis peut supprimer l'ancien second facteur et enrôler un nouvel appareil depuis les paramètres du webmail. Aucun administrateur n'intervient à aucun moment.
Nous contacter. Si les codes de récupération ont eux aussi disparu, le second facteur doit être supprimé de notre côté. Cette intervention relève de l'assistance et n'est pas disponible dans votre tableau de bord. Elle n'est volontairement pas proposée en libre-service : un propriétaire de compte capable de retirer silencieusement la 2FA de n'importe quelle boîte constituerait une cible plus intéressante que la boîte elle-même.
Il faut préciser ce que le tableau de bord client permet et ne permet pas dans cette situation, car on pourrait s'attendre à y trouver la solution. La page de sécurité de la boîte indique si l'authentification à deux facteurs est active et quand elle a été confirmée, et permet de modifier le mot de passe. Elle ne permet pas de supprimer le second facteur. Changer le mot de passe ne résout pas un blocage 2FA du webmail, puisque le mot de passe n'a jamais été la cause du blocage.
Quelle que soit la manière dont le facteur est supprimé, l'utilisateur doit se réenrôler immédiatement et non "plus tard". Une boîte qui vient de subir un blocage 2FA et qui n'est désormais protégée que par un mot de passe est précisément celle qu'il faut le moins laisser dans cet état.
Confirmer l'identité de votre interlocuteur
Avant de transmettre à l'assistance une demande de déblocage 2FA au nom d'une autre personne, confirmez qu'elle est authentique. C'est l'étape que l'on oublie le plus souvent alors qu'elle est essentielle.
Du point de vue d'un attaquant, amener un collègue à demander le retrait du second facteur d'une autre personne est l'un des résultats les plus utiles. La demande arrive par email ou par chat, paraît banale et se trouve transmise parce que son auteur semblait savoir de quoi il parlait.
Procédez donc à une vérification hors bande. Si la demande est arrivée par email, téléphonez à la personne. Si elle est venue par chat, posez une question à laquelle un usurpateur ne saurait pas répondre ou confirmez en personne. La vérification prend une minute. Le fait que l'action finale relève de l'assistance constitue une deuxième couche de protection, pas une raison de sauter la première.
Soyez particulièrement prudent lorsque la demande est urgente, pleine d'excuses et légèrement affolée. C'est le ton d'une personne confrontée à un véritable blocage 2FA, mais aussi exactement celui que reproduit une tentative d'ingénierie sociale, car l'urgence décourage les vérifications.
Se préparer pour rendre la procédure triviale
Trois petites mesures transforment cet incident en une simple formalité.
Intégrez les codes de récupération à l'enrôlement. Ils ne doivent pas être un supplément facultatif traité plus tard, mais faire partie de la même démarche, avec un emplacement précis pour les conserver. Un gestionnaire de mots de passe est le choix le plus évident, et les imprimer constitue également une solution tout à fait raisonnable.
Encouragez l'enrôlement d'un second appareil lorsque c'est pertinent. Avec une tablette ou un autre téléphone, la perte d'un appareil devient un désagrément plutôt qu'un blocage.
Consignez le circuit d'escalade. Lorsqu'un blocage 2FA du webmail se produit, l'utilisateur doit savoir qui prévenir, et cette personne doit savoir que la résolution passe par l'assistance plutôt que par le tableau de bord. Le découvrir en plein incident fait perdre un après-midi.
Aucune de ces mesures n'empêche les blocages, et ce n'est pas leur objectif. Elles les rendent peu coûteux à résoudre. Les codes de récupération sont le seul élément qui transforme une demande d'assistance en une procédure autonome de deux minutes. C'est pourquoi ils méritent plus d'insistance qu'ils n'en reçoivent généralement.
Deux situations qui ressemblent seulement à un blocage
Deux situations paraissent identiques à l'utilisateur mais exigent des réponses totalement différentes.
Les codes sont rejetés alors que l'application fonctionne encore. Il s'agit généralement d'une dérive d'horloge. Les codes TOTP temporels définis par la RFC 6238 supposent que l'horloge de l'appareil soit à peu près juste. Un téléphone décalé de plus d'une minute produit des codes invalides. Activer la synchronisation automatique de l'heure résout le problème sans aucune réinitialisation.
Le mauvais compte. Les personnes qui possèdent plusieurs adresses enrôlent parfois l'une d'elles et tentent de se connecter à une autre, ou choisissent la mauvaise entrée dans leur application d'authentification. Vérifiez ce point avant de réinitialiser quoi que ce soit.
Il arrive également que l'utilisateur essaie de se connecter au mauvais endroit. Les utilisateurs des boîtes passent par la page de connexion du webmail plutôt que par le tableau de bord du compte. Un mot de passe valable pour l'un ne fonctionne pas dans l'autre, ce qui ressemble à un problème mystérieux plutôt qu'à une erreur évidente.
Faut-il vraiment l'imposer ?
Puisque les blocages constituent le coût de cette protection, il est légitime de se demander si le bénéfice en vaut la peine.
Pour toute boîte qui reçoit des messages de réinitialisation de mot de passe d'autres services, c'est-à-dire presque toutes, la réponse est clairement oui. Un compte email constitue la voie de récupération de tout le reste. C'est donc celui qu'il faut protéger le plus, et un blocage 2FA résolu avec un code de récupération est peu de chose face à une boîte compromise.
La situation devient réellement gênante avec les adresses opérationnelles partagées entre plusieurs personnes. La bonne solution n'est pas de renoncer au second facteur, mais de supprimer entièrement les identifiants partagés et d'utiliser une boîte mail partagée avec des membres, afin que chacun s'authentifie avec son propre compte.
Le même principe s'applique à l'enrôlement en général : chaque identifiant doit appartenir à une personne. C'est pourquoi les invitations permettent aux utilisateurs de définir leur propre mot de passe et évitent aux administrateurs d'avoir à le connaître, comme l'explique notre guide pour configurer des boîtes sans partager de mots de passe.
