2FA: L’authentification à deux facteurs dans l’hébergement web

L’authentification à deux facteurs est une mesure de sécurité permettant d’augmenter la protection d’un accès à un système informatique. La 2FA peut bloquer un attaquant qui possède déjà le mot de passe nécessaire à la connexion.

L’authentification à deux facteurs est disponible à plusieurs niveaux, sur les services d’hébergement web d’Ex2. Vous pouvez notamment la mettre en place au niveau de votre accès à l’espace client, à votre compte cPanel, ainsi qu’à votre site WordPress.

Sur une connexion cPanel, cet identifiant unique atteint simultanément les fichiers, les bases de données, les e-mails et le DNS. Cela fait du panneau de contrôle une cible plus précieuse que le ou les sites qu’il sert.

cPanel n’émet aucun code de récupération pour les comptes. La récupération passe donc par le service d’assistance de l’hébergeur. Un propriétaire qui n’a jamais configuré la 2FA n’a aucun autre moyen de revenir en arrière.

Dans cet article, nous vous expliquerons d’abord ce qu’est l’authentification à deux facteurs dans le cadre de l’hébergement web. Nous aborderons ensuite les avantages et les inconvénients de cette mesure de sécurité. Vous serez ainsi mieux à même de juger si la 2FA correspond à vos besoins spécifiques.

Les contrôles de connexion d’un hébergement web

Un compte cPanel contrôle beaucoup plus que le site web qu’il sert. À partir d’un seul accès, un compte cPanel gère le stockage de fichiers, les bases de données, les comptes de messagerie, les enregistrements DNS et les certificats SSL. Tout cela repose sur WHM à un niveau supérieur, qui contrôle chaque compte cPanel sur le serveur. Un mot de passe bloque l’accès à tout ces éléments.

La conséquence de la perte de ce compte s’étendrait bien au-delà du propriétaire. Les sites web compromis peuvent alors fonctionner comme une infrastructure pour des opérations de phishing. Un compte d’hébergement est ainsi pris en charge pour devenir la page de phishing ou l’hôte du malware de quelqu’un d’autre, opérant sous le domaine du propriétaire.

Les arguments contre l’activation de la 2FA

L’argument le plus fort contre l’autorisation vient de personnes qui l’ont activée, ont été exclues et ont décidé que la transaction était mauvaise. L’inscription par SMS suivie d’un combiné mort est la version courante de la plainte, et elle apparaît assez souvent sur les forums de développeurs pour constituer une position commune.

Des codes de récupération existent sur la plupart des services et le verrouillage se produit encore, parfois à plusieurs reprises, tandis que les comptes avec mot de passe uniquement de la même personne restent des années sans être touchés.

La version cPanel de ce problème est pire, et cPanel le documente. Le panneau n’émet aucun code de récupération ni aucun code de sauvegarde, et la procédure officielle complète de récupération consiste à contacter l’hébergeur et à lui demander de désactiver l’authentification à deux facteurs afin que le propriétaire puisse le configurer à nouveau.

Le conseil standard d’enregistrer les codes de sauvegarde dans un endroit sûr ne peut pas être suivi sur le panneau d’hébergement le plus largement déployé.

L’objection technique est distincte et plus précise. En 2026, l’exploitation des vulnérabilités a dépassé l’abus d’identifiants comme principal vecteur d’accès initial, à 31 % contre 13 %.

L’incident d’hébergement le plus clair de l’année n’a jamais atteint le formulaire de connexion. Environ 44 000 serveurs ont été compromis par un contournement de pré-autorisation qui s’exécute avant tout second facteur.

L’ingénierie sociale utilisée pour mener les attaques

L’ingénierie sociale contre le greffier ou l’hébergeur défait tous les facteurs en même temps. Quelques exemples de ce phénomène ont d’ailleurs eu lieu très récemment.

En juillet 2026, un propriétaire de domaine ayant activé la confidentialité a perdu le contrôle de son compte. Cet incident est dû au fait que la réinitialisation du mot de passe pouvait être initiée uniquement à partir du nom de domaine. Un appelant a ainsi convaincu l’assistance téléphonique que le domaine appartenait à son club.

Les comptes de revendeur et d’agence échouent de la même manière. Un appel téléphonique demande une modification DNS de routine et reçoit une réponse avec un accès complet. Aucune route ne touche alors à un formulaire de connexion.

La lassitude sécuritaire produit ainsi ses propres échecs. La perspective de perdre l’accès pousse parfois les propriétaires vers des habitudes plus faibles. On peut notamment penser à chaque identifiant dans des fichiers en texte brut après qu’une base de données de gestion de mots de passe a été perdue à cause de la corruption.

Aucune de ces plaintes n’est un mauvais argument. L’objection technique a néanmoins une réponse directe et l’objection de recouvrement est construite à partir d’une poignée de décisions prises lors de l’inscription.

Ce que l’authentification à deux facteurs arrête

La plupart du trafic arrivant sur une connexion d’hébergement provient d’un attaquant qui possède le mot de passe et rien d’autre, et un deuxième facteur arrête exactement cela.

Un faible taux de réussite produit encore un grand nombre d’entrées une fois que le volume atteint cette échelle. Le volume de bourrage de mots de passe sur les points de connexion a augmenté de 148 % d’une année sur l’autre entre 2024 et 2025.

Les taux de réussite pour un site exécutant un mot de passe plus un SMS facultatif se situent entre 0,3 % et 1,2 %. Un détaillant du marché intermédiaire a enregistré 38 millions de tentatives de remplissage par mois contre 11 millions de connexions authentiques. Même avec 0,3 % de succès, cela représente donc 114 000 entrées réussies.

WordPress est un cible privilégiée

WordPress compte pour une part disproportionnée de ce volume. C’est dû au fait que le chemin de connexion par défaut est identique à chaque installation. Les attaques visant l’URL de connexion WordPress représentent la majeure partie des 6,4 milliards de tentatives de force brute par mois bloquées sur le seul réseau Wordfence.

Rien de tout cela n’arrive comme une opération ciblée. Un script fonctionne à travers une liste d’adresses e-mail et de mots de passe provenant d’une source tierce. Il essaie alors chaque paire d’identifiants contre un formulaire de connexion qui n’a aucune idée que ceux-ci ont été volés. Il passe ensuite à autre chose dans l’instant suivant un échec.

L’exploitation des vulnérabilités entraîne un abus d’identifiants sur l’ensemble des données de violation. Cet ordre s’inverse une fois que les données se réduisent aux panneaux de contrôle d’hébergement et aux connexions aux sites.

Dans les attaques d’applications web de base, les identifiants sont compromis dans 52 % des violations. Les identifiants volés restent donc l’action principale.

Pour lutter contre les attaques automatisées, un facteur sur deux est performant. Les statistiques de 2019 placent les SMS à 100 % des attaques de bots automatisés bloquées et 96 % du phishing groupé, les applications d’authentification à 99 % du phishing groupé, ainsi que les clés de sécurité dans les trois classes d’attaque.

Ces chiffres datent de sept ans et l’efficacité contre les attaques ciblées a chuté depuis. Les chiffres automatisés ont toutefois tenu, car un script ne peut toujours pas fournir un code qu’il n’a pas.

Les pirates peuvent-ils contourner l’authentification à deux facteurs ?

L’authentification à deux facteurs peut être contournée. Le mécanisme explique alors pourquoi le canal par lequel un code passe a plus d’importance que la question TOTP-ou-SMS.

Comment se déroule une attaque de « l’adversaire du milieu » ?

Un e-mail arrive avec un code QR dans un PDF, ou un lien dans une pièce jointe HTML. La victime l’ouvre et atteint la page de connexion réelle, car le serveur de l’attaquant la relaie.

Le mot de passe est d’abord entré et transmis au service réel, ce qui crée un défi. Le code à six chiffres est ensuite entré et transmis. Le service s’authentifie alors et émet un cookie de session, dont le proxy conserve une copie lorsque la réponse retourne à la victime.

L’outillage bon marché a rendu la technique ordinaire, envoyant des dizaines de millions de messages de phishing par mois à plus de 500 000 organisations, avec un accès panel vendu à partir de 120 $ pendant dix jours.

Kratos, arrêté par les forces de l’ordre allemandes et américaines en juillet 2026, a mené environ 15 000 campagnes par mois pour environ 1 800 clients payants.

L’attaque vainc TOTP et SMS de manière identique, car ce sont des secrets partagés que la victime saisit dans une page. Celui qui transmet la page par procuration les reçoit alors.

Comment un cookie de session volé survit à une réinitialisation de mot de passe

Un cookie de session est un élément post-authentification représentant une connexion. Il a déjà eu lieu et passé le deuxième facteur. Par conséquent, la rejouer depuis une autre machine ne pose aucun problème.

La réponse standard aux incidents s’arrête donc à la réinitialisation du mot de passe. La session volée reste active sauf si les sessions actives et les jetons sont explicitement révoqués. Un cookie rejoué s’authentifie alors en tant qu’utilisateur sans aucun second facteur. Le kit Kratos a donc été conçu pour le voler en même temps que la connexion.

Les fureurs d’informations accèdent au même contenu sans hameçonnage. C’est dû au fait que les logiciels malveillants ont pris plus de 1,8 milliard d’identifiants en 2025 sur environ 5,8 millions de machines infectées, et que les cookies de session disparaissent de ces machines.

TOTP, SMS et clés d’accès comparés

Ces méthodes diffèrent sur trois points, et les réponses ne se déroulent pas de la même manière. Un attaquant relayant la page de connexion réelle capture TOTP et SMS avec la même facilité, tandis qu’une clé passe-partout ne peut pas être relayée du tout.

Après un appareil perdu, le SMS est le plus facile à restaurer. une application d’authentification sans seed exportée est la plus difficile. La disponibilité règle la question pratique avant que les deux autres ne soient débattues. C’est dû au fait qu’un seul des trois existe dans cPanel et WHM.

Fonctionnement du TOTP

Le TOTP est standardisé depuis mai 2011 dans la RFC 6238. Lors de l’inscription, le serveur et l’application s’accordent sur un secret partagé. Tous deux déduisent ensuite un code à six chiffres à partir de ce secret, plus l’heure actuelle par étapes de 30 secondes.

Le secret ne traverse plus jamais le réseau. L’interception et l’échange de cartes SIM échouent donc tous deux là où ils travailleraient sur les SMS. Une page de connexion mandatée est une autre affaire, puisque le code est tapé dans la page et transmis comme le mot de passe avant elle.

Deux conséquences découlent de cette conception, à commencer par le code QR d’inscription qui constitue le deuxième facteur à part entière. Une photographie de ce code est ainsi un doublon fonctionnel qui n’expire jamais. Cela en fait une sauvegarde privée utilisable et une exposition sérieuse dans un canal partagé. Comme les deux côtés dérivent toutefois d’une horloge, la dérive la casse.

Parce qu’une application d’authentification sans fonction d’exportation ne laisse rien derrière elle lorsque l’appareil s’éteint. TOTP est la plus faible des trois en termes de capacité de récupération, à moins que cette photographie n’ait été prise.

La 2FA par SMS est-elle sûre ?

Le SMS est moins sûr que les alternatives. Il est néanmoins considérablement plus sûr que si aucune 2FA n’est en place. Le NIST a classé les codes d’accès uniques des SMS comme un authentificateur restreint dans la révision 4 de la SP 800-63B.

Cela signifie qu’ils sont autorisés avec une évaluation des risques documentée et un plan pour s’en affranchir. Les administrateurs de Microsoft 365 ont aussi été informés que les SMS et la voix seront retirés en tant qu’options 2FA le 1er février 2027.

Les faiblesses sont des lacunes de porteur, plus que de cryptographie. L’échange de cartes SIM a coûté aux victimes américaines 6,7 millions de dollars en pertes déclarées en 2025, et des interceptions de signaux existent.

Les robots OTP sont loués pour environ 100 $ par semaine. Ils téléphonent à la victime avec un pseudo-identifiant d’appelant et lui demandent de lire le code qu’elle a reçu un instant plus tôt. Cela fonctionne de manière identique avec une application TOTP.

Le SMS restaure le plus rapidement les trois après la perte d’un appareil, donc les praticiens le gardent. Une carte SIM est alors transférée vers un autre appareil. Un opérateur réémettra ensuite un numéro à quelqu’un qui peut s’identifier. Les seed d’authentification sans exportation, pour leur part, ne laissent aucun chemin équivalent.

Comment les clés d’accès résistent au phishing

Une clé d’accès est liée à l’origine au moment de sa création. Par conséquent, l’authentificateur ne signera pas un défi pour un domaine similaire. Aucun code n’existe pour le type de la victime, et la liaison d’origine est la seule propriété dans cette comparaison qui laisse un proxy sans rien à relayer.

Environ 5 milliards de clés d’authentification étaient utilisées dans le monde en mai 2026. Et ce, bien que 57 % des organisations comptent encore sur des méthodes électronique pour la connexion quotidienne.

Pour cette audience, la comparaison se termine sur la disponibilité. La documentation de WHM nomme uniquement TOTP et aucune option de clé d’accès n’apparaît nulle part dans l’un ou l’autre panneau. Un propriétaire travaillant dans cPanel peut ainsi activer TOTP ou laisser la connexion uniquement sur un mot de passe.

Comment configurer 2FA sur cPanel et WordPress

Les deux surfaces se comportent suffisamment différemment pour que les traiter comme une seule procédure produise des erreurs.

Authentification à deux facteurs dans cPanel

L’interface est à domicile, sécurité, authentification à deux facteurs et elle accepte le TOTP d’une application d’authentification pour smartphone. La configuration est un scan QR ou une saisie manuelle par clé. Celle-ci est doit être confirmée avec un code à six chiffres avant qu’il n’expire.

Trois conditions régissent le comportement de la configuration du cPanel.

L’hébergeur doit d’abord basculer la fonctionnalité sur le serveur dans WHM. Un propriétaire qui ne trouve pas l’interface regarde un paramètre d’hôte plutôt qu’une erreur de sa part.

La reconfiguration remplace la configuration existante dès qu’elle commence. L’ancienne entrée d’application meurt alors même si le flux est abandonné à mi-chemin.

La 2FA ne couvre pas automatiquement les requêtes API. Les appels authentifiés par mot de passe constituent une surface distincte, décrite plus bas.

Les propriétaires découvrent généralement la condition de l’API après coup. Lorsqu’une intégration continue de fonctionner et qu’ils supposent que le panneau protège plus qu’il ne le fait.

Authentification à deux facteurs sur WordPress

Le cœur de WordPress n’a pas du tout d’authentification à deux facteurs. L’implémentation de référence est le plugin Two Factor maintenu par le projet WordPress. Celui-ci est actuellement en version 0.16.0.

Il propose une application d’authentification comme méthode recommandée, ainsi que dix codes de sauvegarde à usage unique. Les codes e-mail constituent, pour leur part, un recours plus faible.

Les clés de sécurité FIDO U2F ont été retirées après que les navigateurs aient abandonné la prise en charge. La prise en charge des clés passe-partout provient donc d’un plug-in compagnon séparé.

Des codes de sauvegarde existent de ce côté et la propre guidance du plugin est de les activer. Ils inversent ainsi le problème de planification créé par le panneau.

Le plugin principal est également un opt-in par utilisateur, donc couvrir chaque compte sur le site signifie une application basée sur les rôles de WP 2FA ou Solid Security. C’est un élément sur une liste plus longue de façons de renforcer une installation WordPress.

WordPress.org lui-même a rendu l’authentification à deux facteurs obligatoire pour chaque développeur de plugin et de thème avec un accès validé à partir d’octobre 2024.

Automatisations et accès API après l’activation de l’authentification à deux facteurs

Les frictions auxquelles la plupart des propriétaires sont confrontés surviennent une heure après la connexion. Il s’agit du moment où l’automatisation qui servait auparavant à s’authentifier par elle-même cesse de fonctionner.

L’activation de la 2FA sur WordPress brise généralement les recettes IFTTT et les outils de sauvegarde, et la réparation est un mot de passe d’application généré à partir du profil utilisateur.

Cette fonctionnalité est au cœur de WordPress depuis la version 5.6, et la complication fréquente est qu’un plugin de sécurité l’a désactivée, donc l’écran décrit dans la documentation n’y figure pas.

Le même type de problème existe du côté du panneau. Les requêtes API authentifiées par mot de passe peuvent contourner le défi 2FA à moins que l’hôte n’active des politiques de sécurité pour elles. L’activation de 2FA dans WHM peut d’ailleurs entraîner l’échec d’applications tierces.

La dérive de l’horloge provoque l’autre défaillance courante, et parce qu’elle se présente comme un verrouillage. Les propriétaires la diagnostiquent donc mal.

Un code correctement saisi est rejeté et la configuration semble défectueuse. Surtout lorsque la cause est une horloge de serveur inexacte. cPanel attribue son erreur « security code is invalid » exactement à cela. La réparation est une resynchronisation de l’horloge avec ntpdate.

Planification d’un appareil 2FA perdu ou cassé

L’objection de verrouillage identifie la faiblesse correcte et en tire la mauvaise conclusion. La récupération est la partie la plus faible des déploiements cPanel et WordPress décrits ici. Construire ce chemin supprime alors délibérément la plupart des objections.

Trois décisions prises au moment de l’inscription font la différence entre un inconvénient et un lock-out permanent.

Deux facteurs inscrits partout où la plateforme le permet. Une seule touche ou un seul appareil convertit un accident ordinaire en un verrouillage permanent.

Le secret d’inscription capturé alors que l’écran de configuration est encore ouvert. Sur cPanel, une photographie du code QR est la seule sauvegarde qui existera jamais.

Rangez bien loin de l’appareil, le secret qui est récupéré. Une seule perte physique prend généralement l’appareil, le compte de messagerie que le combiné protège et toute feuille de code conservée à côté.

Le canal de récupération est la partie que le propriétaire ne contrôle pas. Sur cPanel, il s’agit d’un ticket avec l’hébergeur, ce qui place le temps de réponse du support dans le modèle de sécurité. Ex2 propose un chat en direct très réactif 24h/24 et 7j/7 pour chaque forfait.

Une clé passe-partout supprime l’attaque proxy là où la plateforme en propose une, car rien n’est tapé pour qu’un attaquant puisse la relayer. Lorsque les clés d’accès ne sont pas disponibles, une application d’authentification bat le SMS, et le SMS bat le fait de laisser le compte derrière un mot de passe qui apparaît dans 5,3 milliards de paires d’identifiants récupérés.

Un deuxième facteur protège la connexion et ne fait rien à propos d’un plugin non corrigé ou de la classe de défaut pre-authorisation décrite précédemment.

Pour conclure sur l’authentification à deux facteurs dans l’hébergement web

L’authentification en deux facteurs est une excellente mesure de sécurité. Elle n’est pas infaillible, mais peut grandement contribuer à renforcer la protection de vos accès.

La 2FA est particulièrement essentielle sur vos accès clés, comme celui de votre compte cPanel. Comme votre panneau de contrôle donne accès à une variété de données et de systèmes, il est particulièrement important de le sécuriser.

Nous espérons que cet article vous a plu et vous a éclairé sur l’authentification à deux facteurs. Si c’est le cas, nous vous invitons à consulter nos autres autres articles et tutoriels.

N’hésitez pas non plus à consulter notre base de connaissance. Vous y trouverez une foule d’articles détaillés pouvant répondre à toutes vos questions web.