2FA : double authentification pour logiciel comptable PME

La porte d'entrée la plus fréquente des pirates n'est pas une faille technique. C'est un mot de passe. Dans son Data Breach Investigations Report 2025, publié le 23 avril 2025, Verizon classe l'abus d'identifiants (mots de passe volés, devinés ou réutilisés) au premier rang des points d'entrée connus : 22 % des brèches, devant l'exploitation de failles logicielles (20 %). Dans un logiciel comptable, un mot de passe volé donne accès aux coordonnées bancaires de tes fournisseurs : de quoi changer un numéro de compte et détourner ton prochain paiement. La 2FA ajoute une deuxième preuve que le voleur n'a pas.

C'est quoi la 2FA exactement ?

La 2FA (authentification à deux facteurs) demande deux preuves d'identité à la connexion :

1. Quelque chose que tu connais : ton mot de passe
2. Quelque chose que tu possèdes : ton téléphone (code à 6 chiffres généré par une appli)

Quand un service demande ce code à chaque connexion, un fraudeur qui a ton mot de passe (hameçonnage, fuite de données, mot de passe réutilisé) bute sur la deuxième étape : il lui manque ton téléphone.

TOTP vs SMS : pourquoi TOTP est meilleur

Méthode	Sécurité	Recommandé
SMS (code texto)	Mieux que rien, mais le code peut être détourné par un échange de carte SIM (SIM swap)	Si c'est la seule option offerte
TOTP (Google Authenticator, Authy, Microsoft Authenticator)	Forte : le code est calculé sur ton téléphone, rien ne passe par ton opérateur	✅ Oui
Clé physique (YubiKey)	La plus forte des trois : elle résiste aussi à l'hameçonnage	Pour les comptes les plus exposés, là où le service l'accepte

Le TOTP n'appartient à personne : c'est une norme publique, la RFC 6238. Ton appli et le service échangent une clé secrète une seule fois, à la configuration. Ensuite, chacun calcule de son côté le même code de 6 chiffres, qui change toutes les 30 secondes. Aucun code ne voyage par texto. C'est la méthode que Forge Tech utilise.

Activer la 2FA dans Forge Tech

1. Ouvre Pilotage → Sécurité 2FA, puis clique Configurer 2FA.
2. Dans ton appli (Google Authenticator, Authy, Microsoft Authenticator ou 1Password), ajoute un compte en tapant la clé secrète affichée à l'écran. Forge Tech l'affiche en texte, pas en code QR : choisis l'ajout manuel.
3. Avant d'aller plus loin, descends à l'étape 3 de l'écran et recopie tes 8 codes de récupération sur papier. Dès que l'activation réussit, cette zone disparaît et les codes ne sont plus réaffichés.
4. Entre le code à 6 chiffres de ton appli et clique Vérifier et activer. Forge Tech accepte aussi le code précédent et le suivant, pour absorber un petit décalage d'horloge entre ton téléphone et le serveur.

Trois moments laissent une trace : la configuration commencée, l'activation et une éventuelle désactivation sont inscrites au journal des événements sensibles (Pilotage → Journal d'audit), la désactivation marquée comme avertissement. Le détail est dans l'article sur les audit logs.

Ce que la 2FA de Forge Tech fait aujourd'hui, et ce qu'elle ne fait pas encore

Je te dois une précision avant que tu comptes dessus. Aujourd'hui, l'écran Sécurité 2FA prépare ton appli, vérifie ton premier code et te remet tes codes de récupération. Mais la connexion au logiciel ne demande pas encore ce code. Elle demande ta clé de licence, ton courriel et ton mot de passe, et elle bloque les essais pendant 15 minutes après 5 mots de passe erronés. Ce blocage arrête quelqu'un qui devine. Il n'arrête pas quelqu'un qui a ton vrai mot de passe : c'est précisément le trou que la 2FA doit boucher. D'ici là, ta meilleure protection dans Forge Tech est un mot de passe long, unique, que tu n'utilises nulle part ailleurs et que tu ranges dans un gestionnaire de mots de passe.

Que faire si tu perds ton téléphone ?

Sur un service qui demande le code à la connexion, c'est à ça que servent les codes de récupération, en général à usage unique. Garde-les hors de ton téléphone : sur papier ou dans ton gestionnaire de mots de passe. À l'ARC, la grille de codes d'accès imprimée joue un rôle semblable.

Dans Forge Tech, comme la connexion ne demande pas encore le code, perdre ton téléphone ne te bloque pas l'accès. Installe ton appli sur le nouveau téléphone, retourne dans Pilotage → Sécurité 2FA et relance Configurer 2FA : une nouvelle clé remplace l'ancienne, avec 8 nouveaux codes. Refais les étapes, et l'ancien téléphone ne produit plus aucun code valide.

Le premier compte à protéger n'est pas ton logiciel comptable

C'est ta boîte courriel. La plupart des services en ligne, l'espace client de Forge Tech compris, envoient le lien « mot de passe oublié » par courriel. Qui contrôle ta boîte peut donc réinitialiser presque tout le reste. Active la 2FA là en premier, puis sur ta banque en ligne et ton gestionnaire de mots de passe.

Côté gouvernement, l'ARC a déjà tranché : sa page d'aide sur l'authentification multifacteur (canada.ca, mise à jour le 25 septembre 2026) indique qu'elle est obligatoire pour tous les utilisateurs de ses comptes en ligne, dont Mon dossier d'entreprise. Trois options : une appli d'authentification, une grille de codes d'accès à imprimer, ou un code par texto ou par appel. Si tu as le choix, prends l'appli. Une seule appli garde les codes de tous tes comptes, ARC et Forge Tech compris.

Devrait-on rendre la 2FA obligatoire ?

Pour les comptes qui peuvent :

• Modifier les coordonnées bancaires d'un fournisseur
• Émettre des paiements ou virements
• Modifier les permissions utilisateurs
• Accéder aux données fiscales

Oui, obligatoire. Exige-la de tous les administrateurs et de tous ceux qui touchent à la comptabilité. Pour les accès en lecture seule, elle peut rester optionnelle. Dans Forge Tech, chaque personne l'active depuis sa propre session : l'exigence, c'est toi qui la poses à ton équipe.

Conformité : Loi 25, LPRPDE (PIPEDA), SOC 2, ISO 27001

On lit souvent que ces règles « exigent » la 2FA. Voici ce que leur texte dit vraiment :

• Au Québec, l'article 10 de la Loi sur la protection des renseignements personnels dans le secteur privé, celle que la Loi 25 a modernisée, demande des mesures de sécurité raisonnables compte tenu de la sensibilité des renseignements, de leur quantité et de leur support. Aucune méthode n'y est nommée.
• Au fédéral, la LPRPDE (PIPEDA en anglais) demande, à son principe 4.7, des mesures de sécurité adaptées à la sensibilité des renseignements, et cite l'usage de mots de passe et le chiffrement parmi ses exemples. La 2FA n'y est pas écrite.
• SOC 2 et ISO/IEC 27001 ne sont pas des lois, mais des référentiels d'audit que de grands clients exigent parfois de leurs fournisseurs. ISO/IEC 27001:2022 consacre un contrôle à l'« authentification sécurisée » (annexe A, 8.5), sans imposer de méthode unique. Forge Tech n'a ni rapport SOC 2 ni certification ISO 27001.

Aucun de ces textes n'écrit « 2FA obligatoire ». Tous demandent une protection à la hauteur de ce que tu gardes. Or ta comptabilité garde les numéros d'assurance sociale de tes employés, leurs salaires et les comptes bancaires de tes fournisseurs. Pour protéger ça, un mot de passe seul se défend mal.

La Sécurité 2FA est incluse dès le forfait Starter (49 $/mois). Essaie Forge Tech 30 jours, logiciel complet, sans carte de crédit : fais la configuration pendant l'essai, puis ouvre Pilotage → Journal d'audit. L'activation y est déjà inscrite, avec l'heure.

---

— Guillaume Régimbald, Fondateur, Forge Tech Inc.