L\u2019authentification \u00e0 deux facteurs est une mesure de s\u00e9curit\u00e9 permettant d’augmenter la protection d’un acc\u00e8s \u00e0 un syst\u00e8me informatique. La 2FA peut bloquer un attaquant qui poss\u00e8de d\u00e9j\u00e0 le mot de passe n\u00e9cessaire \u00e0 la connexion. <\/p>\n\n\n\n
L’authentification \u00e0 deux facteurs est disponible \u00e0 plusieurs niveaux, sur les services d’h\u00e9bergement web d’Ex2<\/a>. Vous pouvez notamment la mettre en place au niveau de votre acc\u00e8s \u00e0 l’espace client, \u00e0 votre compte cPanel, ainsi qu’\u00e0 votre site WordPress.<\/p>\n\n\n\n Sur une connexion cPanel, cet identifiant unique atteint simultan\u00e9ment les fichiers, les bases de donn\u00e9es, les e-mails et le DNS. Cela fait du panneau de contr\u00f4le une cible plus pr\u00e9cieuse que le ou les sites qu\u2019il sert.<\/p>\n\n\n\n cPanel n\u2019\u00e9met aucun code de r\u00e9cup\u00e9ration pour les comptes. La r\u00e9cup\u00e9ration passe donc par le service d\u2019assistance de l\u2019h\u00e9bergeur. Un propri\u00e9taire qui n\u2019a jamais configur\u00e9 la 2FA n\u2019a aucun autre moyen de revenir en arri\u00e8re. <\/p>\n\n\n\n Dans cet article, nous vous expliquerons d’abord ce qu’est l’authentification \u00e0 deux facteurs dans le cadre de l’h\u00e9bergement web. Nous aborderons ensuite les avantages et les inconv\u00e9nients de cette mesure de s\u00e9curit\u00e9. Vous serez ainsi mieux \u00e0 m\u00eame de juger si la 2FA correspond \u00e0 vos besoins sp\u00e9cifiques.<\/p>\n\n\n\n Un compte cPanel contr\u00f4le beaucoup plus que le site web qu\u2019il sert. \u00c0 partir d\u2019un seul acc\u00e8s, un compte cPanel g\u00e8re le stockage de fichiers, les bases de donn\u00e9es, les comptes de messagerie, les enregistrements DNS et les certificats SSL. Tout cela repose sur WHM \u00e0 un niveau sup\u00e9rieur, qui contr\u00f4le chaque compte cPanel sur le serveur. Un mot de passe bloque l’acc\u00e8s \u00e0 tout ces \u00e9l\u00e9ments.<\/p>\n\n\n\n La cons\u00e9quence de la perte de ce compte s\u2019\u00e9tendrait bien au-del\u00e0 du propri\u00e9taire. Les sites web compromis peuvent alors fonctionner comme une infrastructure pour des op\u00e9rations de phishing. Un compte d\u2019h\u00e9bergement est ainsi pris en charge pour devenir la page de phishing ou l\u2019h\u00f4te du malware de quelqu\u2019un d\u2019autre, op\u00e9rant sous le domaine du propri\u00e9taire.<\/p>\n\n\n\n L\u2019argument le plus fort contre l\u2019autorisation vient de personnes qui l\u2019ont activ\u00e9e, ont \u00e9t\u00e9 exclues et ont d\u00e9cid\u00e9 que la transaction \u00e9tait mauvaise. L\u2019inscription par SMS suivie d\u2019un combin\u00e9 mort est la version courante de la plainte, et elle appara\u00eet assez souvent sur les forums de d\u00e9veloppeurs pour constituer une position commune. <\/p>\n\n\n\n Des codes de r\u00e9cup\u00e9ration existent sur la plupart des services et le verrouillage se produit encore, parfois \u00e0 plusieurs reprises, tandis que les comptes avec mot de passe uniquement de la m\u00eame personne restent des ann\u00e9es sans \u00eatre touch\u00e9s.<\/p>\n\n\n\n La version cPanel de ce probl\u00e8me est pire, et cPanel le documente. Le panneau n\u2019\u00e9met aucun code de r\u00e9cup\u00e9ration ni aucun code de sauvegarde, et la proc\u00e9dure officielle compl\u00e8te de r\u00e9cup\u00e9ration consiste \u00e0 contacter l\u2019h\u00e9bergeur et \u00e0 lui demander de d\u00e9sactiver l\u2019authentification \u00e0 deux facteurs afin que le propri\u00e9taire puisse le configurer \u00e0 nouveau. <\/p>\n\n\n\n Le conseil standard d\u2019enregistrer les codes de sauvegarde dans un endroit s\u00fbr ne peut pas \u00eatre suivi sur le panneau d\u2019h\u00e9bergement le plus largement d\u00e9ploy\u00e9.<\/p>\n\n\n\n L\u2019objection technique est distincte et plus pr\u00e9cise. En 2026, l\u2019exploitation des vuln\u00e9rabilit\u00e9s a d\u00e9pass\u00e9 l\u2019abus d\u2019identifiants comme principal vecteur d\u2019acc\u00e8s initial, \u00e0 31\u00a0% contre 13\u00a0%. <\/p>\n\n\n\n L\u2019incident d\u2019h\u00e9bergement le plus clair de l\u2019ann\u00e9e n\u2019a jamais atteint le formulaire de connexion. Environ 44\u00a0000 serveurs ont \u00e9t\u00e9 compromis par un contournement de pr\u00e9-autorisation qui s\u2019ex\u00e9cute avant tout second facteur.<\/p>\n\n\n\n L\u2019ing\u00e9nierie sociale contre le greffier ou l\u2019h\u00e9bergeur d\u00e9fait tous les facteurs en m\u00eame temps. Quelques exemples de ce ph\u00e9nom\u00e8ne ont d’ailleurs eu lieu tr\u00e8s r\u00e9cemment.<\/p>\n\n\n\n En juillet\u00a02026, un propri\u00e9taire de domaine ayant activ\u00e9 la confidentialit\u00e9 a perdu le contr\u00f4le de son compte. Cet incident est d\u00fb au fait que la r\u00e9initialisation du mot de passe pouvait \u00eatre initi\u00e9e uniquement \u00e0 partir du nom de domaine. Un appelant a ainsi convaincu l\u2019assistance t\u00e9l\u00e9phonique que le domaine appartenait \u00e0 son club. <\/p>\n\n\n\n Les comptes de revendeur et d\u2019agence \u00e9chouent de la m\u00eame mani\u00e8re. Un appel t\u00e9l\u00e9phonique demande une modification DNS de routine et re\u00e7oit une r\u00e9ponse avec un acc\u00e8s complet. Aucune route ne touche alors \u00e0 un formulaire de connexion.<\/p>\n\n\n\n La lassitude s\u00e9curitaire produit ainsi ses propres \u00e9checs. La perspective de perdre l\u2019acc\u00e8s pousse parfois les propri\u00e9taires vers des habitudes plus faibles. On peut notamment penser \u00e0 chaque identifiant dans des fichiers en texte brut apr\u00e8s qu\u2019une base de donn\u00e9es de gestion de mots de passe a \u00e9t\u00e9 perdue \u00e0 cause de la corruption.<\/p>\n\n\n\n Aucune de ces plaintes n\u2019est un mauvais argument. L\u2019objection technique a n\u00e9anmoins une r\u00e9ponse directe et l\u2019objection de recouvrement est construite \u00e0 partir d\u2019une poign\u00e9e de d\u00e9cisions prises lors de l\u2019inscription.<\/p>\n\n\n\n La plupart du trafic arrivant sur une connexion d\u2019h\u00e9bergement provient d\u2019un attaquant qui poss\u00e8de le mot de passe et rien d\u2019autre, et un deuxi\u00e8me facteur arr\u00eate exactement cela.<\/p>\n\n\n\n Un faible taux de r\u00e9ussite produit encore un grand nombre d\u2019entr\u00e9es une fois que le volume atteint cette \u00e9chelle. Le volume de bourrage de mots de passe sur les points de connexion a augment\u00e9 de 148\u00a0% d\u2019une ann\u00e9e sur l\u2019autre entre 2024 et 2025. <\/p>\n\n\n\n Les taux de r\u00e9ussite pour un site ex\u00e9cutant un mot de passe plus un SMS facultatif se situent entre 0,3\u00a0% et 1,2\u00a0%. Un d\u00e9taillant du march\u00e9 interm\u00e9diaire a enregistr\u00e9 38\u00a0millions de tentatives de remplissage par mois contre 11\u00a0millions de connexions authentiques. M\u00eame avec 0,3\u00a0% de succ\u00e8s, cela repr\u00e9sente donc 114\u00a0000 entr\u00e9es r\u00e9ussies.<\/p>\n\n\n\n WordPress compte pour une part disproportionn\u00e9e de ce volume. C’est d\u00fb au fait que le chemin de connexion par d\u00e9faut est identique \u00e0 chaque installation. Les attaques visant l\u2019URL de connexion WordPress repr\u00e9sentent la majeure partie des 6,4\u00a0milliards de tentatives de force brute par mois bloqu\u00e9es sur le seul r\u00e9seau Wordfence.<\/p>\n\n\n\n Rien de tout cela n\u2019arrive comme une op\u00e9ration cibl\u00e9e. Un script fonctionne \u00e0 travers une liste d\u2019adresses e-mail et de mots de passe provenant d’une source tierce. Il essaie alors chaque paire d’identifiants contre un formulaire de connexion qui n\u2019a aucune id\u00e9e que ceux-ci ont \u00e9t\u00e9 vol\u00e9s. Il passe ensuite \u00e0 autre chose dans l’instant suivant un \u00e9chec.<\/p>\n\n\n\n L\u2019exploitation des vuln\u00e9rabilit\u00e9s entra\u00eene un abus d\u2019identifiants sur l\u2019ensemble des donn\u00e9es de violation. Cet ordre s\u2019inverse une fois que les donn\u00e9es se r\u00e9duisent aux panneaux de contr\u00f4le d\u2019h\u00e9bergement et aux connexions aux sites. <\/p>\n\n\n\n Dans les attaques d\u2019applications web de base, les identifiants sont compromis dans 52\u00a0% des violations. Les identifiants vol\u00e9s restent donc l\u2019action principale.<\/p>\n\n\n\n Pour lutter contre les attaques automatis\u00e9es, un facteur sur deux est performant. Les statistiques de 2019 placent les SMS \u00e0 100\u00a0% des attaques de bots automatis\u00e9s bloqu\u00e9es et 96\u00a0% du phishing group\u00e9, les applications d\u2019authentification \u00e0 99\u00a0% du phishing group\u00e9, ainsi que les cl\u00e9s de s\u00e9curit\u00e9 dans les trois classes d\u2019attaque. <\/p>\n\n\n\n Ces chiffres datent de sept ans et l\u2019efficacit\u00e9 contre les attaques cibl\u00e9es a chut\u00e9 depuis. Les chiffres automatis\u00e9s ont toutefois tenu, car un script ne peut toujours pas fournir un code qu\u2019il n\u2019a pas.<\/p>\n\n\n\n L\u2019authentification \u00e0 deux facteurs peut \u00eatre contourn\u00e9e. Le m\u00e9canisme explique alors pourquoi le canal par lequel un code passe a plus d\u2019importance que la question TOTP-ou-SMS.<\/p>\n\n\n\n Un e-mail arrive avec un code QR dans un PDF, ou un lien dans une pi\u00e8ce jointe HTML. La victime l\u2019ouvre et atteint la page de connexion r\u00e9elle, car le serveur de l\u2019attaquant la relaie. <\/p>\n\n\n\n Le mot de passe est d’abord entr\u00e9 et transmis au service r\u00e9el, ce qui cr\u00e9e un d\u00e9fi. Le code \u00e0 six chiffres est ensuite entr\u00e9 et transmis. Le service s\u2019authentifie alors et \u00e9met un cookie de session, dont le proxy conserve une copie lorsque la r\u00e9ponse retourne \u00e0 la victime.<\/p>\n\n\n\n L\u2019outillage bon march\u00e9 a rendu la technique ordinaire, envoyant des dizaines de millions de messages de phishing par mois \u00e0 plus de 500\u00a0000 organisations, avec un acc\u00e8s panel vendu \u00e0 partir de 120\u00a0$ pendant dix jours. <\/p>\n\n\n\n Kratos, arr\u00eat\u00e9 par les forces de l\u2019ordre allemandes et am\u00e9ricaines en juillet\u00a02026, a men\u00e9 environ 15\u00a0000 campagnes par mois pour environ 1\u00a0800 clients payants.<\/p>\n\n\n\n L\u2019attaque vainc TOTP et SMS de mani\u00e8re identique, car ce sont des secrets partag\u00e9s que la victime saisit dans une page. Celui qui transmet la page par procuration les re\u00e7oit alors.<\/p>\n\n\n\n Un cookie de session est un \u00e9l\u00e9ment post-authentification repr\u00e9sentant une connexion. Il a d\u00e9j\u00e0 eu lieu et pass\u00e9 le deuxi\u00e8me facteur. Par cons\u00e9quent, la rejouer depuis une autre machine ne pose aucun probl\u00e8me. <\/p>\n\n\n\n La r\u00e9ponse standard aux incidents s\u2019arr\u00eate donc \u00e0 la r\u00e9initialisation du mot de passe. La session vol\u00e9e reste active sauf si les sessions actives et les jetons sont explicitement r\u00e9voqu\u00e9s. Un cookie rejou\u00e9 s\u2019authentifie alors en tant qu\u2019utilisateur sans aucun second facteur. Le kit Kratos a donc \u00e9t\u00e9 con\u00e7u pour le voler en m\u00eame temps que la connexion.<\/p>\n\n\n\n Les fureurs d\u2019informations acc\u00e8dent au m\u00eame contenu sans hame\u00e7onnage. C’est d\u00fb au fait que les logiciels malveillants ont pris plus de 1,8\u00a0milliard d\u2019identifiants en 2025 sur environ 5,8\u00a0millions de machines infect\u00e9es, et que les cookies de session disparaissent de ces machines.<\/p>\n\n\n\n Ces m\u00e9thodes diff\u00e8rent sur trois points, et les r\u00e9ponses ne se d\u00e9roulent pas de la m\u00eame mani\u00e8re. Un attaquant relayant la page de connexion r\u00e9elle capture TOTP et SMS avec la m\u00eame facilit\u00e9, tandis qu\u2019une cl\u00e9 passe-partout ne peut pas \u00eatre relay\u00e9e du tout. <\/p>\n\n\n\n Apr\u00e8s un appareil perdu, le SMS est le plus facile \u00e0 restaurer. une application d\u2019authentification sans seed export\u00e9e est la plus difficile. La disponibilit\u00e9 r\u00e8gle la question pratique avant que les deux autres ne soient d\u00e9battues. C’est d\u00fb au fait qu’un seul des trois existe dans cPanel et WHM.<\/p>\n\n\n\n Le TOTP est standardis\u00e9 depuis mai\u00a02011 dans la RFC 6238. Lors de l\u2019inscription, le serveur et l\u2019application s\u2019accordent sur un secret partag\u00e9. Tous deux d\u00e9duisent ensuite un code \u00e0 six chiffres \u00e0 partir de ce secret, plus l\u2019heure actuelle par \u00e9tapes de 30 secondes. <\/p>\n\n\n\n Le secret ne traverse plus jamais le r\u00e9seau. L\u2019interception et l\u2019\u00e9change de cartes SIM \u00e9chouent donc tous deux l\u00e0 o\u00f9 ils travailleraient sur les SMS. Une page de connexion mandat\u00e9e est une autre affaire, puisque le code est tap\u00e9 dans la page et transmis comme le mot de passe avant elle.<\/p>\n\n\n\n Deux cons\u00e9quences d\u00e9coulent de cette conception, \u00e0 commencer par le code QR d\u2019inscription qui constitue le deuxi\u00e8me facteur \u00e0 part enti\u00e8re. Une photographie de ce code est ainsi un doublon fonctionnel qui n\u2019expire jamais. Cela en fait une sauvegarde priv\u00e9e utilisable et une exposition s\u00e9rieuse dans un canal partag\u00e9. Comme les deux c\u00f4t\u00e9s d\u00e9rivent toutefois d\u2019une horloge, la d\u00e9rive la casse.<\/p>\n\n\n\n Parce qu\u2019une application d\u2019authentification sans fonction d\u2019exportation ne laisse rien derri\u00e8re elle lorsque l’appareil s\u2019\u00e9teint. TOTP est la plus faible des trois en termes de capacit\u00e9 de r\u00e9cup\u00e9ration, \u00e0 moins que cette photographie n\u2019ait \u00e9t\u00e9 prise.<\/p>\n\n\n\n Le SMS est moins s\u00fbr que les alternatives. Il est n\u00e9anmoins consid\u00e9rablement plus s\u00fbr que si aucune 2FA n’est en place. Le NIST a class\u00e9 les codes d\u2019acc\u00e8s uniques des SMS comme un authentificateur restreint dans la r\u00e9vision 4 de la SP 800-63B. <\/p>\n\n\n\n Cela signifie qu\u2019ils sont autoris\u00e9s avec une \u00e9valuation des risques document\u00e9e et un plan pour s\u2019en affranchir. Les administrateurs de Microsoft 365 ont aussi \u00e9t\u00e9 inform\u00e9s que les SMS et la voix seront retir\u00e9s en tant qu\u2019options 2FA le 1er\u00a0f\u00e9vrier\u00a02027.<\/p>\n\n\n\n Les faiblesses sont des lacunes de porteur, plus que de cryptographie. L\u2019\u00e9change de cartes SIM a co\u00fbt\u00e9 aux victimes am\u00e9ricaines 6,7\u00a0millions de dollars en pertes d\u00e9clar\u00e9es en 2025, et des interceptions de signaux existent. <\/p>\n\n\n\n Les robots OTP sont lou\u00e9s pour environ 100\u00a0$ par semaine. Ils t\u00e9l\u00e9phonent \u00e0 la victime avec un pseudo-identifiant d\u2019appelant et lui demandent de lire le code qu\u2019elle a re\u00e7u un instant plus t\u00f4t. Cela fonctionne de mani\u00e8re identique avec une application TOTP.<\/p>\n\n\n\n Le SMS restaure le plus rapidement les trois apr\u00e8s la perte d\u2019un appareil, donc les praticiens le gardent. Une carte SIM est alors transf\u00e9r\u00e9e vers un autre appareil. Un op\u00e9rateur r\u00e9\u00e9mettra ensuite un num\u00e9ro \u00e0 quelqu\u2019un qui peut s\u2019identifier. Les seed d\u2019authentification sans exportation, pour leur part, ne laissent aucun chemin \u00e9quivalent.<\/p>\n\n\n\n Une cl\u00e9 d\u2019acc\u00e8s est li\u00e9e \u00e0 l\u2019origine au moment de sa cr\u00e9ation. Par cons\u00e9quent, l\u2019authentificateur ne signera pas un d\u00e9fi pour un domaine similaire. Aucun code n\u2019existe pour le type de la victime, et la liaison d\u2019origine est la seule propri\u00e9t\u00e9 dans cette comparaison qui laisse un proxy sans rien \u00e0 relayer.<\/p>\n\n\n\n Environ 5\u00a0milliards de cl\u00e9s d\u2019authentification \u00e9taient utilis\u00e9es dans le monde en mai\u00a02026. Et ce, bien que 57\u00a0% des organisations comptent encore sur des m\u00e9thodes \u00e9lectronique pour la connexion quotidienne. <\/p>\n\n\n\n Pour cette audience, la comparaison se termine sur la disponibilit\u00e9. La documentation de WHM nomme uniquement TOTP et aucune option de cl\u00e9 d\u2019acc\u00e8s n\u2019appara\u00eet nulle part dans l\u2019un ou l\u2019autre panneau. Un propri\u00e9taire travaillant dans cPanel peut ainsi activer TOTP ou laisser la connexion uniquement sur un mot de passe.<\/p>\n\n\n\n Les deux surfaces se comportent suffisamment diff\u00e9remment pour que les traiter comme une seule proc\u00e9dure produise des erreurs.<\/p>\n\n\n\n L\u2019interface est \u00e0 domicile, s\u00e9curit\u00e9, authentification \u00e0 deux facteurs et elle accepte le TOTP d\u2019une application d\u2019authentification pour smartphone. La configuration est un scan QR ou une saisie manuelle par cl\u00e9. Celle-ci est doit \u00eatre confirm\u00e9e avec un code \u00e0 six chiffres avant qu\u2019il n\u2019expire.<\/p>\n\n\n\n L\u2019h\u00e9bergeur doit d\u2019abord basculer la fonctionnalit\u00e9 sur le serveur dans WHM. Un propri\u00e9taire qui ne trouve pas l\u2019interface regarde un param\u00e8tre d\u2019h\u00f4te plut\u00f4t qu\u2019une erreur de sa part.<\/p>\n\n\n\n La reconfiguration remplace la configuration existante d\u00e8s qu\u2019elle commence. L\u2019ancienne entr\u00e9e d\u2019application meurt alors m\u00eame si le flux est abandonn\u00e9 \u00e0 mi-chemin.<\/p>\n\n\n\n La 2FA ne couvre pas automatiquement les requ\u00eates API. Les appels authentifi\u00e9s par mot de passe constituent une surface distincte, d\u00e9crite plus bas.<\/p>\n\n\n\n Les propri\u00e9taires d\u00e9couvrent g\u00e9n\u00e9ralement la condition de l\u2019API apr\u00e8s coup. Lorsqu\u2019une int\u00e9gration continue de fonctionner et qu\u2019ils supposent que le panneau prot\u00e8ge plus qu\u2019il ne le fait.<\/p>\n\n\n\n Le c\u0153ur de WordPress n\u2019a pas du tout d\u2019authentification \u00e0 deux facteurs. L\u2019impl\u00e9mentation de r\u00e9f\u00e9rence est le plugin Two Factor<\/a> maintenu par le projet WordPress. Celui-ci est actuellement en version 0.16.0. <\/p>\n\n\n\n Il propose une application d\u2019authentification comme m\u00e9thode recommand\u00e9e, ainsi que dix codes de sauvegarde \u00e0 usage unique. Les codes e-mail constituent, pour leur part, un recours plus faible. <\/p>\n\n\n\n Les cl\u00e9s de s\u00e9curit\u00e9 FIDO U2F ont \u00e9t\u00e9 retir\u00e9es apr\u00e8s que les navigateurs aient abandonn\u00e9 la prise en charge. La prise en charge des cl\u00e9s passe-partout provient donc d\u2019un plug-in compagnon s\u00e9par\u00e9.<\/p>\n\n\n\n Des codes de sauvegarde existent de ce c\u00f4t\u00e9 et la propre guidance du plugin est de les activer. Ils inversent ainsi le probl\u00e8me de planification cr\u00e9\u00e9 par le panneau. <\/p>\n\n\n\n Le plugin principal est \u00e9galement un opt-in par utilisateur, donc couvrir chaque compte sur le site signifie une application bas\u00e9e sur les r\u00f4les de WP 2FA<\/a> ou Solid Security. C\u2019est un \u00e9l\u00e9ment sur une liste plus longue de fa\u00e7ons de renforcer une installation WordPress. <\/p>\n\n\n\n WordPress.org lui-m\u00eame a rendu l\u2019authentification \u00e0 deux facteurs obligatoire pour chaque d\u00e9veloppeur de plugin et de th\u00e8me avec un acc\u00e8s valid\u00e9 \u00e0 partir d\u2019octobre\u00a02024.<\/p>\n\n\n\n Les frictions auxquelles la plupart des propri\u00e9taires sont confront\u00e9s surviennent une heure apr\u00e8s la connexion. Il s’agit du moment o\u00f9 l’automatisation qui servait auparavant \u00e0 s\u2019authentifier par elle-m\u00eame cesse de fonctionner.<\/p>\n\n\n\n L\u2019activation de la 2FA sur WordPress brise g\u00e9n\u00e9ralement les recettes IFTTT et les outils de sauvegarde, et la r\u00e9paration est un mot de passe d\u2019application g\u00e9n\u00e9r\u00e9 \u00e0 partir du profil utilisateur. <\/p>\n\n\n\n Cette fonctionnalit\u00e9 est au c\u0153ur de WordPress depuis la version 5.6, et la complication fr\u00e9quente est qu\u2019un plugin de s\u00e9curit\u00e9 l\u2019a d\u00e9sactiv\u00e9e, donc l\u2019\u00e9cran d\u00e9crit dans la documentation n\u2019y figure pas. <\/p>\n\n\n\n Le m\u00eame type de probl\u00e8me existe du c\u00f4t\u00e9 du panneau. Les requ\u00eates API authentifi\u00e9es par mot de passe peuvent contourner le d\u00e9fi 2FA \u00e0 moins que l\u2019h\u00f4te n\u2019active des politiques de s\u00e9curit\u00e9 pour elles. L\u2019activation de 2FA dans WHM peut d’ailleurs entra\u00eener l\u2019\u00e9chec d\u2019applications tierces.<\/p>\n\n\n\n La d\u00e9rive de l\u2019horloge provoque l\u2019autre d\u00e9faillance courante, et parce qu\u2019elle se pr\u00e9sente comme un verrouillage. Les propri\u00e9taires la diagnostiquent donc mal. <\/p>\n\n\n\n Un code correctement saisi est rejet\u00e9 et la configuration semble d\u00e9fectueuse. Surtout lorsque la cause est une horloge de serveur inexacte. cPanel attribue son erreur \u00ab\u00a0security code is invalid<\/em>\u00a0\u00bb exactement \u00e0 cela. La r\u00e9paration est une resynchronisation de l\u2019horloge avec ntpdate<\/em>.<\/p>\n\n\n\n L\u2019objection de verrouillage identifie la faiblesse correcte et en tire la mauvaise conclusion. La r\u00e9cup\u00e9ration est la partie la plus faible des d\u00e9ploiements cPanel et WordPress d\u00e9crits ici. Construire ce chemin supprime alors d\u00e9lib\u00e9r\u00e9ment la plupart des objections.<\/p>\n\n\n\n Trois d\u00e9cisions prises au moment de l\u2019inscription font la diff\u00e9rence entre un inconv\u00e9nient et un lock-out permanent.<\/p>\n\n\n\n Deux facteurs inscrits partout o\u00f9 la plateforme le permet. Une seule touche ou un seul appareil convertit un accident ordinaire en un verrouillage permanent.<\/p>\n\n\n\n Le secret d\u2019inscription captur\u00e9 alors que l\u2019\u00e9cran de configuration est encore ouvert. Sur cPanel, une photographie du code QR est la seule sauvegarde qui existera jamais.<\/p>\n\n\n\n Rangez bien loin de l\u2019appareil, le secret qui est r\u00e9cup\u00e9r\u00e9. Une seule perte physique prend g\u00e9n\u00e9ralement l’appareil, le compte de messagerie que le combin\u00e9 prot\u00e8ge et toute feuille de code conserv\u00e9e \u00e0 c\u00f4t\u00e9.<\/p>\n\n\n\n Le canal de r\u00e9cup\u00e9ration est la partie que le propri\u00e9taire ne contr\u00f4le pas. Sur cPanel, il s\u2019agit d\u2019un ticket avec l\u2019h\u00e9bergeur, ce qui place le temps de r\u00e9ponse du support dans le mod\u00e8le de s\u00e9curit\u00e9. Ex2 propose un chat en direct tr\u00e8s r\u00e9actif 24h\/24 et 7j\/7 pour chaque forfait.<\/p>\n\n\n\n Une cl\u00e9 passe-partout supprime l\u2019attaque proxy l\u00e0 o\u00f9 la plateforme en propose une, car rien n\u2019est tap\u00e9 pour qu\u2019un attaquant puisse la relayer. Lorsque les cl\u00e9s d\u2019acc\u00e8s ne sont pas disponibles, une application d\u2019authentification bat le SMS, et le SMS bat le fait de laisser le compte derri\u00e8re un mot de passe qui appara\u00eet dans 5,3\u00a0milliards de paires d\u2019identifiants r\u00e9cup\u00e9r\u00e9s. <\/p>\n\n\n\n Un deuxi\u00e8me facteur prot\u00e8ge la connexion et ne fait rien \u00e0 propos d\u2019un plugin non corrig\u00e9 ou de la classe de d\u00e9faut pre-authorisation d\u00e9crite pr\u00e9c\u00e9demment.<\/p>\n\n\n\n L’authentification en deux facteurs est une excellente mesure de s\u00e9curit\u00e9. Elle n’est pas infaillible, mais peut grandement contribuer \u00e0 renforcer la protection de vos acc\u00e8s. <\/p>\n\n\n\n La 2FA est particuli\u00e8rement essentielle sur vos acc\u00e8s cl\u00e9s, comme celui de votre compte cPanel. Comme votre panneau de contr\u00f4le donne acc\u00e8s \u00e0 une vari\u00e9t\u00e9 de donn\u00e9es et de syst\u00e8mes, il est particuli\u00e8rement important de le s\u00e9curiser. <\/p>\n\n\n\n Nous esp\u00e9rons que cet article vous a plu et vous a \u00e9clair\u00e9 sur l’authentification \u00e0 deux facteurs. Si c\u2019est le cas, nous vous invitons \u00e0 consulter nos autres autres\u00a0articles et tutoriels<\/a>.<\/p>\n\n\n\nLes contr\u00f4les de connexion d\u2019un h\u00e9bergement web<\/h2>\n\n\n\n
Les arguments contre l\u2019activation de la 2FA<\/h2>\n\n\n\n
L’ing\u00e9nierie sociale utilis\u00e9e pour mener les attaques<\/h4>\n\n\n\n
Ce que l\u2019authentification \u00e0 deux facteurs arr\u00eate<\/h2>\n\n\n\n
WordPress est un cible privil\u00e9gi\u00e9e<\/h4>\n\n\n\n
Les pirates peuvent-ils contourner l\u2019authentification \u00e0 deux facteurs ?<\/h2>\n\n\n\n
Comment se d\u00e9roule une attaque de \u00ab\u00a0l\u2019adversaire du milieu\u00a0\u00bb ?<\/h2>\n\n\n\n
Comment un cookie de session vol\u00e9 survit \u00e0 une r\u00e9initialisation de mot de passe<\/h2>\n\n\n\n
TOTP, SMS et cl\u00e9s d\u2019acc\u00e8s compar\u00e9s<\/h2>\n\n\n\n
Fonctionnement du TOTP<\/h2>\n\n\n\n
La 2FA par SMS est-elle s\u00fbre ?<\/h2>\n\n\n\n
Comment les cl\u00e9s d\u2019acc\u00e8s r\u00e9sistent au phishing<\/h2>\n\n\n\n
Comment configurer 2FA sur cPanel et WordPress<\/h2>\n\n\n\n
Authentification \u00e0 deux facteurs dans cPanel<\/h3>\n\n\n\n
Trois conditions r\u00e9gissent le comportement de la configuration du cPanel.<\/h4>\n\n\n\n
Authentification \u00e0 deux facteurs sur WordPress<\/h3>\n\n\n\n
Automatisations et acc\u00e8s API apr\u00e8s l\u2019activation de l\u2019authentification \u00e0 deux facteurs<\/h2>\n\n\n\n
Planification d\u2019un appareil 2FA perdu ou cass\u00e9<\/h2>\n\n\n\n
Pour conclure sur l’authentification \u00e0 deux facteurs dans l’h\u00e9bergement web<\/h2>\n\n\n\n