Le verdict en trois phrases
Sur un portail ouvert à des clients externes, l'authentification forte (MFA) n'est plus une option après une première tentative de prise de compte : selon Microsoft, elle bloque plus de 99 % des attaques automatisées sur les mots de passe. Le bon choix en 2026 combine passkeys ou application d'authentification par défaut, et SMS OTP en secours seulement, pour garder un coût récurrent faible. Comptez 3 000 à 12 000 EUR HT d'intégration et 2 à 6 semaines selon l'état de votre brique d'identité.
Les méthodes MFA comparées pour un portail client
Un portail client n'est pas un intranet : vos utilisateurs ne sont pas formés, utilisent leurs propres téléphones et abandonnent vite si la connexion devient pénible. Le choix de la méthode conditionne à la fois la sécurité, le coût récurrent et le volume d'appels au support.
| Méthode | Résistance au phishing | Coût unitaire 2026 | Friction utilisateur | Usage recommandé |
|---|---|---|---|---|
| SMS OTP | Faible (SIM swap, interception) | 0,04 à 0,08 EUR par envoi | Faible | Secours uniquement |
| E-mail OTP | Faible | Quasi nul | Moyenne | Récupération de compte |
| Application TOTP (Google, Microsoft Authenticator) | Moyenne | 0 EUR | Moyenne à l'enrôlement | Clients réguliers |
| Notification push | Moyenne (fatigue MFA) | 0 à 3 EUR par utilisateur et par mois selon fournisseur | Faible | Applications mobiles maison |
| Passkeys (FIDO2 / WebAuthn) | Forte | 0 EUR | Très faible une fois créée | Méthode par défaut 2026 |
| Clé matérielle FIDO2 | Très forte | 25 à 60 EUR par clé | Moyenne | Comptes administrateurs |
La recommandation pratique : proposer la passkey à la première connexion, l'application TOTP comme alternative, et garder le SMS uniquement pour les clients qui n'ont rien d'autre. Sur 3 000 clients, cette stratégie ramène souvent la part de SMS sous 20 % des connexions.
Budget d'intégration et coût récurrent
Le coût dépend surtout de votre point de départ : authentification maison écrite il y a dix ans, ou fournisseur d'identité (Auth0, Microsoft Entra External ID, Keycloak, Supabase Auth) déjà en place.
| Poste | Fourchette 2026 (ordre de grandeur) | Commentaire |
|---|---|---|
| Audit du flux de connexion existant | 1 000 à 2 500 EUR HT | Sessions, reset de mot de passe, API |
| MFA sur fournisseur d'identité existant | 3 000 à 6 000 EUR HT | Configuration, écrans, tests |
| MFA sur authentification maison | 6 000 à 12 000 EUR HT | WebAuthn, TOTP, récupération de compte |
| Licence fournisseur d'identité externe | 0,02 à 0,25 EUR par utilisateur actif et par mois | Gratuit sous certains seuils |
| SMS OTP pour 3 000 clients (2 connexions par mois, 20 % SMS) | 50 à 100 EUR par mois | À 100 % SMS : 240 à 480 EUR |
| Support utilisateur le premier mois | 10 à 30 h | Prévoir une FAQ et un parcours de récupération |
Le poste le plus sous-estimé est la récupération de compte : un client qui change de téléphone doit pouvoir retrouver son accès sans appeler le support, sinon le service client absorbe le gain de sécurité. Prévoyez des codes de secours imprimables et une vérification d'identité renforcée pour la réinitialisation.
Planning de déploiement en 2 à 6 semaines
| Semaine | Livrable | Risque principal |
|---|---|---|
| 1 | Audit, choix des méthodes, maquettes d'écrans | Sous-estimer les accès API et les intégrations |
| 2 à 3 | Développement WebAuthn, TOTP, SMS de secours | Compatibilité navigateurs anciens |
| 4 | Tests de sécurité et parcours de récupération | Contournement par le reset de mot de passe |
| 5 | Déploiement progressif à 10 % des clients | Hausse des tickets support |
| 6 | Généralisation et MFA obligatoire pour les comptes sensibles | Abandon de connexion |
Déployez d'abord en mode volontaire, mesurez le taux d'adoption, puis rendez la MFA obligatoire pour les actions à risque : modification d'IBAN, export de données, ajout d'un utilisateur. Cette approche par le risque évite de bloquer tous les clients le même jour.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Scénario type : Claire, RSSI d'une ETI industrielle à Lyon, gère un portail de commandes utilisé par 3 000 clients professionnels. Après une tentative de prise de compte détectée sur un acheteur, elle chiffre deux options.
Option A, 100 % SMS : intégration 4 000 EUR HT, puis 3 000 clients x 2 connexions x 0,06 EUR = 360 EUR par mois, soit 4 320 EUR par an. Option B, passkeys et TOTP avec SMS de secours : intégration 8 000 EUR HT, SMS limités à 20 % des connexions, soit 72 EUR par mois et 864 EUR par an. Sur trois ans, l'option A coûte 16 960 EUR, l'option B 10 592 EUR, avec une protection nettement supérieure contre le phishing. Claire retient l'option B.
FAQ
La MFA par SMS est-elle encore acceptable en 2026 ?
Elle reste nettement meilleure qu'un mot de passe seul, mais elle est vulnérable au SIM swap. Utilisez-la comme méthode de secours et privilégiez passkeys ou TOTP, qui ne coûtent rien par connexion contre 0,04 à 0,08 EUR par SMS.
Faut-il imposer la MFA à tous les clients dès le premier jour ?
Non, un déploiement progressif sur 4 à 6 semaines limite les abandons. Commencez par les comptes administrateurs et les actions sensibles, puis généralisez quand le taux d'adoption dépasse 60 à 70 %.
Les passkeys fonctionnent-elles sur tous les appareils ?
Elles sont prises en charge par les versions récentes d'iOS, Android, Windows et macOS, soit la grande majorité des postes en 2026. Gardez TOTP ou SMS pour les 5 à 10 % d'utilisateurs sur des équipements anciens.
La MFA est-elle exigée par la réglementation ?
Le RGPD impose des mesures de sécurité adaptées au risque, et la directive NIS 2 renforce ces exigences pour les entités concernées. Après un incident, ne pas avoir activé la MFA sur un portail exposé est difficile à justifier auprès de la CNIL.
Combien de temps pour un portail déjà sur Auth0 ou Entra ?
Comptez 2 à 3 semaines et 3 000 à 6 000 EUR HT, car l'essentiel est de la configuration et des écrans. Une authentification maison demande plutôt 4 à 6 semaines.
Parlons de votre projet. Envoyez-nous votre architecture de connexion actuelle et votre nombre de clients actifs : nous chiffrons l'intégration MFA, le coût récurrent et le planning de déploiement. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
