Mot de passe, SMS ou passkey : les cinq niveaux de sécurité des accès selon l'OFCS

Mot de passe, code par SMS, application d'authentification, passkey, clé de sécurité : les moyens de protéger un accès sont nombreux, mais ils n'offrent pas la même protection. Le 19 octobre 2026, l'Office fédéral de la cybersécurité (OFCS) a publié une considération technologique qui les classe en cinq niveaux de sécurité.

La classification s'appuie sur les Authentication Assurance Levels (AAL 1–3) du NIST américain, légèrement adaptés et complétés pour tenir compte des attaques d'hameçonnage en temps réel. Ce n'est pas une certification, mais selon l'OFCS elle peut servir de référence pratique aux organisations et aux entreprises pour établir des consignes, des recommandations et de bonnes pratiques.

Les cinq niveaux en bref

Il y a trois niveaux de base, « faible », « moyen » et « élevé ». Les deux derniers ont une variante marquée d'un astérisque (*), réservée aux méthodes qui résistent aussi à l'hameçonnage en temps réel et aux attaques où un tiers s'interpose entre l'utilisateur et le service.

• Faible. L'information utilisée pour se connecter est statique et toujours la même : nom d'utilisateur et mot de passe, clé API fixe, identifiant de session stocké dans un cookie. Le niveau reste faible même avec une connexion chiffrée ou un gestionnaire de mots de passe. Selon l'OFCS, ces méthodes sont à éviter et, si possible, à remplacer.
• Moyen. L'information change à chaque connexion et dépend d'au moins un autre élément de sécurité. Exemples : mot de passe avec code SMS, applications à codes à usage unique comme Google ou Microsoft Authenticator.
• Moyen*. Comme le niveau moyen, mais l'accès reste lié à l'appareil ou à la session où il a eu lieu, et ne peut donc pas être réutilisé ailleurs. On y trouve les passkeys synchronisables entre appareils et le mot de passe lié à l'appareil.
• Élevé. Il faut en plus une clé cryptographique conservée dans un module matériel dont elle ne peut pas être extraite, déverrouillée par une vérification supplémentaire et remise personnellement selon une procédure traçable. Exemples : jetons matériels à codes à usage unique et Mobile ID.
• Élevé*. Le niveau élevé avec résistance à l'hameçonnage en temps réel : par exemple des clés FIDO2 qui ne peuvent être ni synchronisées ni exportées, c'est-à-dire des clés de sécurité physiques, ou des certificats stockés dans du matériel.

Trois précisions utiles

Cumuler des méthodes du même niveau n'élève pas le niveau. L'OFCS donne un exemple : les passkeys restent au niveau moyen même combinées avec un mot de passe et un code SMS.

Le SMS est le dernier recours. Le document rappelle que la sécurité des méthodes basées sur le SMS est remise en question et qu'elles ne devraient être utilisées qu'en l'absence de meilleure alternative.

Une clé matérielle ne se copie pas. Justement parce que la clé ne peut pas être extraite, on ne peut pas la sauvegarder : une sauvegarde exige un second appareil.

Il y a aussi une indication pour qui utilise des intégrations et des automatisations : les clés API doivent être conservées dans des systèmes dédiés, ne pas transiter par une URL ou des cookies envoyés automatiquement, et il vaut mieux privilégier des clés et des identifiants de courte durée.

Ce que cela signifie pour une PME au Tessin

La classification vise aussi les grandes organisations, mais sa logique vaut pour toute entreprise. Cinq étapes concrètes :

1. Dressez la liste des accès qui comptent : messagerie, e-banking, logiciel de gestion, comptabilité, administration du site, domaine et hébergement, comptes de réseaux sociaux. Pour chacun, notez la méthode de connexion actuelle.
2. Supprimez le mot de passe seul pour les accès importants. C'est le niveau faible : lorsque le service le permet, ajoutez au moins un second facteur.
3. Préférez les passkeys ou les applications d'authentification au SMS. Le SMS vaut mieux qu'un mot de passe seul, mais l'OFCS le considère comme une solution de repli.
4. Protégez mieux les comptes administrateur. Pour le domaine, l'hébergement, la messagerie du dirigeant et l'e-banking, envisagez une clé de sécurité physique, avec une seconde clé de réserve conservée à part.
5. Mettez de l'ordre dans vos clés API. Hors du code, des e-mails et des documents partagés, avec les droits minimaux nécessaires et une date d'expiration.

Le sujet n'a rien de théorique : l'OFCS a récemment enregistré un nombre record de signalements, surtout du phishing et des escroqueries, comme nous l'avons expliqué dans 1587 signalements en une semaine.

Notre approche

ElaraTeq Sagl développe des sites, des logiciels de gestion et des services numériques pour les PME et les collectivités au Tessin, avec hébergement en Suisse, connexions chiffrées et accès protégés. Si vous voulez savoir à quel niveau se situent aujourd'hui les accès de votre entreprise et quoi améliorer en premier, écrivez-nous.

Sources

• OFCS, « Considérations technologiques : Cinq étapes pour une authentification sécurisée », 19 octobre 2026 : https://www.bacs.admin.ch/fr/26-tb-authentifizierung-fr
• OFCS, « Niveaux de sécurité pour les procédures, moyens et services d'authentification » (PDF), septembre 2026 : document complet