Ses exigences portent bel et bien sur la longueur des mots de passe, les authentificateurs synchronisables, l'e-mail, les codes envoyés par téléphone ou par SMS, ainsi que sur les délais d'expiration de session. Les éléments examinés pour cet article ne définissent pas ce qui peut être qualifié de résistant à l'hameçonnage. Cet article explicatif s'en tient donc à ce que dit le texte de la ligne directrice et signale chaque fois qu'il s'agit de notre propre lecture.
La ligne directrice d'authentification du NIST : de quoi s'agit-il et à qui s'adresse-t-elle ?
La version finale de la SP 800-63B-4 est datée du 31 juillet 2025 dans l'historique du document, comme l'indique la page de publication du NIST sur csrc.nist.gov. Lorsque cet article cite une exigence, il précise à qui elle incombe, car la ligne directrice fait peser ses obligations sur des acteurs bien déterminés.
Bon nombre d'exigences s'appliquent aux vérificateurs et aux CSP (fournisseurs de services d'identité), les acteurs désignés dans la section du NIST consacrée aux authentificateurs sur pages.nist.gov. D'autres visent les agences fédérales. Par exemple, le texte de la ligne directrice du NIST sur pages.nist.gov précise que les agences fédérales doivent retenir au minimum le niveau AAL2 lorsque des informations personnelles sont rendues accessibles en ligne.
Notre lecture : ces règles sont rédigées pour les organisations qui gèrent des systèmes de connexion, et non comme des consignes destinées aux titulaires de comptes de courtage, de plateformes d'échange ou de messagerie. Elles peuvent néanmoins aider le lecteur à comprendre quelles options de connexion un service propose, et pourquoi. À elles seules, elles ne montrent pas comment un service donné protège ses utilisateurs.
Mot de passe ou MFA : ce que le texte exige des mots de passe
Parmi les affirmations examinées, la règle la plus nette concerne les mots de passe utilisés seuls. Selon la section du NIST consacrée aux authentificateurs sur pages.nist.gov, les vérificateurs et les CSP doivent exiger que les mots de passe utilisés comme mécanisme d'authentification à facteur unique comptent au moins 15 caractères.
Pour la mise en perspective historique, la FAQ du NIST sur l'identité numérique décrit l'ancien modèle LOA. Elle indique que, pour les authentificateurs, la principale différence entre LOA1 et LOA2 tenait au passage de la taille minimale du mot de passe de six à huit caractères.
| Règle figurant dans les affirmations examinées | Source |
|---|---|
| Mots de passe à facteur unique : au moins 15 caractères, exigés par les vérificateurs et les CSP | Section du NIST sur les authentificateurs |
| Ancien modèle LOA : taille minimale du mot de passe passée de six à huit caractères entre LOA1 et LOA2 | FAQ du NIST |
Notre lecture : lorsque le mot de passe est le seul facteur, le texte actuel exige un minimum bien plus long que les anciens seuils LOA. Les affirmations examinées ne fixent aucune longueur précise pour les mots de passe utilisés comme l'un des facteurs d'une MFA ; cet article n'en avance donc aucune.
Clés d'accès, authentificateurs synchronisables et AAL3
Les affirmations examinées n'emploient jamais le terme « passkey » (clé d'accès). Elles traitent en revanche d'une catégorie voisine : les authentificateurs synchronisables. Le texte de la ligne directrice du NIST sur pages.nist.gov indique que les authentificateurs synchronisables ne doivent pas être utilisés au niveau AAL3, parce qu'ils exigent que la clé privée soit exportable.
Cette phrase énonce à la fois une règle et sa justification :
- La règle : les authentificateurs synchronisables sont exclus au niveau AAL3.
- La justification avancée : ils exigent que la clé privée soit exportable.
Ce que les affirmations examinées ne permettent pas de trancher :
- Si un produit vendu ou présenté comme une clé d'accès est un authentificateur synchronisable.
- Comment la ligne directrice traite les authentificateurs synchronisables aux niveaux autres qu'AAL3.
- Si une clé d'accès, quelle qu'elle soit, répond à une définition de la résistance à l'hameçonnage.
Notre lecture : quiconque compare une clé d'accès à une MFA par mot de passe devrait d'abord vérifier si la clé d'accès en question synchronise sa clé. C'est sur cette propriété que repose la règle. Comme les affirmations s'arrêtent là, nous laissons ouverte la classification de clés d'accès précises.
E-mail, SMS et codes par téléphone dans la connexion multifacteur
Plusieurs secondes étapes courantes apparaissent dans les affirmations examinées. La section du NIST consacrée aux authentificateurs sur pages.nist.gov indique que l'e-mail ne doit pas être utilisé pour l'authentification hors bande. La même section précise que l'authentification hors bande doit être considérée comme invalide si elle n'est pas finalisée dans un délai de 10 minutes.
Les codes envoyés par téléphone et par SMS sont abordés dans la FAQ du NIST sur l'identité numérique. Celle-ci indique que les authentificateurs qui passent par le réseau téléphonique commuté public, y compris les codes à usage unique (OTP) transmis par téléphone ou par SMS, font l'objet de restrictions. Les affirmations examinées n'expliquent pas ce que recouvrent concrètement ces restrictions ; cet article n'en dit donc pas davantage.
| Méthode | Ce que disent les affirmations examinées |
|---|---|
| E-mail pour l'authentification hors bande | Ne doit pas être utilisé |
| Authentification hors bande en général | Invalide si elle n'est pas finalisée dans un délai de 10 minutes |
| OTP par téléphone et par SMS | Soumis à restrictions |
Notre lecture : le terme « MFA » recouvre plusieurs types de secondes étapes, que la ligne directrice traite différemment. Le lecteur qui examine les options de connexion d'un compte de messagerie, de courtage ou de plateforme d'échange pourra trouver cette distinction utile, mais ces règles n'indiquent ni quelle option un service donné utilise, ni son efficacité.
Délais de réauthentification aux niveaux AAL2 et AAL3
Les règles de session varient elles aussi selon le niveau. Le texte de la ligne directrice du NIST sur pages.nist.gov indique qu'au niveau AAL2, un délai global de réauthentification défini doit être fixé, et qu'il ne devrait pas dépasser 24 heures. Au niveau AAL3, le délai global de réauthentification ne doit pas dépasser 12 heures.
| Niveau | Délai global de réauthentification |
|---|---|
| AAL2 | Doit être fixé ; ne devrait pas dépasser 24 heures |
| AAL3 | Ne doit pas dépasser 12 heures |
Attention à la formulation. Au niveau AAL2, la limite est exprimée par « should » (devrait), alors qu'au niveau AAL3 elle l'est par « must » (doit). Cet article conserve cette nuance plutôt que de présenter les deux limites comme également contraignantes.
Notre lecture : si un service vous demande de vous reconnecter au bout d'un certain temps, cela peut refléter une politique d'expiration de ce type. Les affirmations ne disent pas comment un service en particulier fixe ses délais.
Qu'est-ce qui résiste à l'hameçonnage, et comment évaluer les affirmations à ce sujet ?
Les affirmations examinées, tirées du texte de la ligne directrice du NIST sur pages.nist.gov, ne comportent pas de définition de la résistance à l'hameçonnage. Elles ne disent pas non plus si les clés d'accès, les authentificateurs synchronisables ou toute autre méthode répondent à une telle définition. Cet article laisse délibérément la question ouverte. Il n'emprunte pas de définition à des synthèses secondaires que l'examen des sources n'a pas couvertes.
Cette prudence vaut pour les affirmations de sécurité en général. Le guide de conseils rapides du CERT.br indique qu'une rumeur adopte généralement un ton alarmiste, porte sur des sujets qui retiennent l'attention du moment et ne mentionne aucune source d'information ou cite des sources inconnues. Un réflexe voisin, selon notre lecture : lorsqu'un message ou une publication affirme qu'une méthode de connexion est sûre ou dangereuse, cherchez le texte primaire sur lequel il s'appuie et vérifiez si la formulation d'origine dit « must », « should » ou quelque chose de moins contraignant.
Voici ce que cet article permet, ou non, de répondre à la question posée :
- Ce que les affirmations permettent de répondre : les règles sur la longueur des mots de passe à facteur unique, sur l'e-mail et le délai de l'authentification hors bande, sur les codes par téléphone et par SMS, sur les authentificateurs synchronisables au niveau AAL3 et sur les délais de réauthentification.
- Ce qui reste ouvert : une définition de la résistance à l'hameçonnage, et la place qu'y occupent des clés d'accès précises.
Limites de cet article
Cet article fournit des informations pédagogiques sur des recommandations d'authentification publiées. Il ne constitue pas un conseil en investissement et ne recommande aucun produit, courtier, plateforme d'échange ou service. Il ne couvre pas les parties de la ligne directrice du NIST au-delà des affirmations énumérées ici et ne définit pas la résistance à l'hameçonnage. Il n'évalue pas la manière dont un compte ou un service particulier protège ses utilisateurs.