Un niveau est une exigence posée par un service. Ce n'est pas un grade que tu portes.
Une page de vente promet de « faire passer ton entreprise au niveau 3 de sécurité ». Elle vend un gestionnaire de mots de passe. Le niveau 3 dont elle parle existe, il a une définition écrite, et un gestionnaire de mots de passe n'y donne accès sous aucune condition. Le vocabulaire des niveaux circule beaucoup, souvent détaché de ce qu'il désigne.
La question que pose cette page, « à quel niveau es-tu », n'a pas de réponse. Ce sont les services qui posent des exigences, et ce que tu détiens y répond ou n'y répond pas. Le reste du sujet se déplie à partir de là.
Ce que le NIST appelle un niveau
Le NIST, l'agence de normalisation américaine, publie les Digital Identity Guidelines. La partie qui traite de l'authentification est SP 800-63B, dont la révision 4 est parue le 31 juillet 2025. Elle définit trois niveaux d'assurance d'authentification, les Authentication Assurance Levels.
| Niveau | Confiance | Ce qu'il exige |
|---|---|---|
| AAL1 | de base | la preuve de possession et de contrôle d'un authentificateur ; un seul facteur suffit |
| AAL2 | élevée | la preuve de possession et de contrôle de deux facteurs distincts ; le service doit proposer au moins une option résistante à l'hameçonnage |
| AAL3 | très élevée | la preuve de possession d'une clé par un protocole cryptographique à clé publique, plus un second facteur distinct ; la clé privée doit être non exportable et vivre dans un environnement d'exécution isolé, protégé par du matériel ou par un processeur séparé |
Le point que la plupart des articles ratent : ces niveaux qualifient une exigence, pas une personne. Un service décide que telle transaction demande AAL2. Toi, tu détiens des méthodes qui satisfont ou ne satisfont pas cette exigence. La phrase « je suis en AAL3 » n'a pas de référent. La phrase « ma clé physique satisfait AAL3, et ce service ne l'exige nulle part » en a un.
Conséquence pratique : on ne monte pas un compte d'un palier tout seul. On prend ce que le service a implémenté, et rien au dessus. Si ton service ne propose que le mot de passe et le SMS, aucune dépense de ta part n'ouvre AAL3 sur ce compte.
Cette dépendance explique une frustration courante : tu achètes une clé physique et ta banque ne la propose nulle part. Le niveau atteignable sur un compte est borné par ce que le service a implémenté, et aucun achat ne déplace cette borne. Reste à demander, et à changer de fournisseur quand le sujet compte assez.
Résistant à l'hameçonnage : une définition, pas un slogan
L'expression est devenue un argument commercial, avec le défaut des arguments commerciaux : elle sert autant à vendre qu'à décrire. Elle a pourtant une définition précise dans SP 800-63B-4 : la capacité du protocole d'authentification à empêcher la divulgation des secrets d'authentification et des sorties valides d'authentificateur à un vérificateur imposteur, sans reposer sur la vigilance de la personne.
Cette dernière partie fait tout le travail. Une méthode résistante à l'hameçonnage ne demande pas de reconnaître un faux domaine. Elle refuse de fonctionner sur le mauvais domaine, toute seule, avant qu'un humain ait à juger quoi que ce soit. La norme décrit deux mécanismes qui satisfont ce critère : lier la sortie au canal chiffré (channel binding), ou la lier au nom du vérificateur authentifié (verifier name binding).
Une méthode qui repose sur la vigilance reporte la charge sur la personne, et une charge posée sur une personne finit toujours par tomber un soir de fatigue.
Ce qui l'est :
- la clé d'accès (passkey) et la clé physique, qui signent pour un domaine précis et ne signent pour aucun autre ;
- plus généralement FIDO2 et WebAuthn, que la CISA désigne dans sa fiche d'octobre 2022 comme la forme de double facteur résistante à l'hameçonnage la plus largement disponible.
Ce qui ne l'est pas, quoi qu'en dise le vendeur :
- le code par SMS, qui se dicte, se lit et se retape ailleurs ;
- le code temporaire à six chiffres, pour la même raison ;
- l'approbation par notification, même avec rapprochement de nombre. La CISA recommande ce rapprochement comme mesure d'attente pour ceux qui ne peuvent pas encore passer au FIDO, en disant que ça reste en dessous ;
- le code reçu par email, et le lien de connexion.
Aucune de ces méthodes n'est inutile. Aucune ne coche cette case précise.
Exportable ou non : la ligne qui sépare AAL2 d'AAL3
Une clé d'accès résiste à l'hameçonnage. Elle n'atteint pourtant pas AAL3, et c'est déroutant tant qu'on n'a pas vu où passe la ligne.
Une clé d'accès synchronisée vit dans un trousseau que ton fournisseur recopie sur tes appareils. La commodité vient de là : tu changes de téléphone, la clé suit. Cette copie suppose que la clé privée puisse sortir de l'appareil où elle est née. SP 800-63B-4 tranche : les authentificateurs synchronisables ne doivent pas être utilisés à AAL3. Ils restent admis à AAL2.
Une clé liée à l'appareil, celle d'une clé physique ou d'une puce sécurisée, ne sort jamais. Elle est générée dans un environnement isolé et y meurt. C'est la différence entre une clé dont le serrurier peut refaire un double et une clé dont l'empreinte n'existe nulle part. Cette non exportabilité est ce qu'AAL3 exige, et elle seule sépare les deux niveaux, à résistance à l'hameçonnage identique.
Une nuance utile, publiée en août 2026 par des chercheurs et reprise par Unit 42 : sur un poste déjà compromis, un attaquant n'a pas besoin d'extraire la clé. Il peut demander à l'infrastructure légitime de produire une signature pour lui. La puce protège l'extraction, pas l'usage. Ça ne retire rien à la valeur d'AAL3 contre l'hameçonnage ; ça rappelle que le modèle de menace d'un poste sain et celui d'un poste compromis ne sont pas le même problème.
Le niveau réel d'un compte est celui de sa méthode la plus faible
Un compte protégé par une clé physique et qui accepte encore une réinitialisation par email sans second facteur n'est pas au niveau de sa clé. Il est au niveau de son email.
C'est le même raisonnement que le simulateur applique à tous ses chemins, et il vaut pour les niveaux du NIST. Deux pièges reviennent.
Le repli. Beaucoup de services gardent le mot de passe et le code temporaire actifs « au cas où » après l'ajout d'une clé d'accès. La méthode forte est disponible, la faible aussi, et l'attaquant choisit. Pourquoi désactiver l'ancienne plutôt que la laisser en réserve ? Parce qu'ajouter une porte n'améliore jamais la note : une clé d'accès posée à côté d'un mot de passe et d'un code temporaire ne ferme rien, elle s'ajoute aux anciennes.
La porte de service. Réinitialisation, questions secrètes, support humain, codes de secours. Ces chemins n'apparaissent jamais dans la discussion sur les niveaux, parce que la norme parle du protocole d'authentification et pas du parcours de récupération. Le simulateur, lui, les compte comme des chemins d'entrée à part entière. Le profil « cas courant » plafonne à 49 pour cette seule raison : sa réinitialisation par email coûte 0,40 à un attaquant, contre 0,15 pour son mot de passe.
Le geste correspondant tient en une phrase : après avoir ajouté une méthode forte, va désactiver les anciennes.
Où regarder, concrètement : la page des paramètres de sécurité liste en général les méthodes actives. Chacune est un chemin ouvert, y compris celle que tu as oublié avoir ajoutée il y a trois ans. Le numéro de téléphone laissé en récupération compte, l'ancienne adresse secondaire aussi, les codes de secours imprimés à une époque également. Le tri prend cinq minutes par compte et ne se refait pas.
L'échelle du simulateur
Le simulateur ne mesure pas un niveau. Il mesure un compte, portes comprises, et rend trois nombres.
La résistance va de 0 à 100 et se lit sur cinq paliers : 85 et plus, solide ; 65, correct ; 45, perméable ; 25, faible ; en dessous, ouvert. Elle vaut 100 moins la moyenne pondérée des réussites des trois attaquants, chacun prenant son chemin le moins cher.
La récupérabilité répond à l'autre question, celle qu'aucun niveau ne pose : y entres-tu encore ? Six scénarios sans attaquant, pondérés par fréquence : perte du téléphone (poids 3), de l'ordinateur (2), de la clé physique (1), domicile brûlé ou cambriolé (2), compte Google ou Apple suspendu (1), incapacité à te connecter (1). Chacun vaut 1, 0,5 ou 0.
L'effort dit ce que la configuration te coûte. Une unité vaut environ dix minutes, dix euros ou une friction quotidienne légère.
Ces paliers sont des bornes posées à la main, pas des mesures relevées sur une population. Ils servent à comparer deux configurations entre elles, pas à annoncer une probabilité de se faire prendre.
Une résistance de 83 avec une récupérabilité de 40 décrit le profil « prudent » : gestionnaire à deux facteurs, clé d'accès synchronisée, portes de service fermées, codes de secours sur papier chez soi. Il tient très bien contre les trois attaquants. Il perd le compte si l'appartement brûle, parce que tout dort au même endroit et que rien n'est transmissible. Ce chiffre de 40 n'est pas un défaut à corriger d'office : c'est un arbitrage à assumer, et il dépend de ce que le compte porte. Une copie des codes de secours chez un proche le déplace de vingt points pour quatre points d'effort.
Correspondances
Le tableau ci-dessous met en face les deux échelles, en s'appuyant sur les quatre profils types du simulateur.
| Configuration type | Niveau NIST atteignable | Profil | Résistance |
|---|---|---|---|
| Mot de passe seul, réutilisé, récupération par email et questions secrètes ouvertes | AAL1 | mot de passe seul | 3 |
| Mot de passe long en coffre, code temporaire en application, réinitialisation par email non protégée | AAL2 | cas courant | 49 |
| Idem, plus clé d'accès synchronisée, boîte email solide, portes de service fermées | AAL2, jamais AAL3 | prudent | 83 |
| Deux clés physiques liées à l'appareil, aucun mot de passe, aucune récupération ouverte | AAL3 | durci | 99 |
Les deux lignes du milieu portent le même niveau NIST et 34 points d'écart de résistance. C'est la limite d'un classement en trois crans : il qualifie la méthode de connexion, il ne dit rien de ce qui l'entoure. Les niveaux et la note ne se contredisent pas, ils ne répondent pas à la même question.
Ni l'un ni l'autre ne couvre le poste entièrement compromis, le vol d'une session déjà ouverte, la contrainte physique ou judiciaire. Ce n'est pas un oubli : les trois sortent du cadre de l'authentification, et un modèle qui prétendrait les couvrir mentirait sur ce qu'il sait faire.
Le geste ne consiste donc pas à viser un niveau, puisque le niveau ne dépend pas de toi. Prends le palier le plus haut que ce service propose, puis ferme tout ce qui reste derrière : c'est la moitié du travail sur laquelle tu décides seul.