Un mot de passe volé suffit encore trop souvent à ouvrir une boîte mail ou un espace client. Microsoft Authenticator ajoute une seconde preuve d’identité, fournie par le téléphone : une notification à approuver, un code qui change toutes les 30 secondes ou une clé d’accès. L’application est gratuite sur Android et iOS. Ce guide détaille, d’après la documentation officielle de Microsoft, comment elle fonctionne, à qui elle sert et ce qu’il faut savoir avant de la déployer dans une entreprise.
Quel problème Microsoft Authenticator règle, et pour qui
Le premier public est celui des particuliers. Un compte Microsoft personnel (Outlook, OneDrive, Office) peut se passer totalement de mot de passe : l’utilisateur tape son identifiant, puis valide la demande sur son téléphone avec son empreinte, Face ID ou son code PIN. La même application génère aussi les codes de vérification en deux étapes de services tiers comme Google, Facebook, Amazon, Dropbox, LinkedIn ou GitHub. Si vos identifiants ont déjà circulé, notre guide pour vérifier si votre adresse e-mail fait partie d’une fuite vous aidera à mesurer l’urgence.
Le second public est celui des organisations qui utilisent Microsoft Entra ID, l’annuaire d’identités derrière Microsoft 365. Authenticator y sert de méthode d’authentification multifacteur (MFA), d’outil de réinitialisation du mot de passe en libre-service et de support pour les clés d’accès professionnelles. Microsoft indique que les fonctions de base de la MFA sont disponibles sans frais pour les utilisateurs de Microsoft 365 et d’Entra ID, via les paramètres de sécurité par défaut.
Fonctionnement et prise en main
L’installation passe par l’App Store ou Google Play. On ajoute ensuite un compte en scannant le code QR affiché par le service à protéger, ce qui explique la demande d’accès à l’appareil photo. Pour un compte professionnel, l’inscription se fait depuis la page Informations de sécurité de l’organisation. L’application propose ensuite quatre façons de prouver son identité.
- La notification avec saisie d’un nombre : l’écran de connexion affiche un nombre, que l’utilisateur doit retrouver dans l’application pour valider. Une approbation donnée par réflexe, sans regarder, devient donc impossible.
- Le code à usage unique : un code à six chiffres, renouvelé toutes les 30 secondes, à recopier sur la page de connexion. Il fonctionne sans réseau.
- La connexion sans mot de passe : réservée aux comptes Microsoft et Entra, elle remplace le mot de passe par une approbation biométrique sur le téléphone.
- La clé d’accès : créée dans la Secure Enclave sur iOS, ou dans l’élément sécurisé ou l’environnement d’exécution fiable sur Android, elle ne quitte jamais l’appareil.
Les clés d’accès méritent une attention particulière, car elles résistent au hameçonnage : il n’y a plus de code à intercepter ni de mot de passe à saisir sur une fausse page. Pour comprendre le principe, notre article sur les passkeys et leur fonctionnement en explique les bases. Côté conformité, Microsoft précise que les versions récentes de l’application utilisent un chiffrement validé FIPS 140 sur iOS comme sur Android, un point qui compte pour les secteurs régulés.
Dernier réglage à faire dès le premier jour : la sauvegarde dans le cloud. Sur iPhone, elle passe par iCloud ; sur Android, par un compte Microsoft personnel, que Microsoft prévoit de remplacer par la sauvegarde Google One à partir de janvier 2027. Sans elle, un téléphone perdu oblige à reconfigurer chaque compte tiers un par un.
Cas d’usage concrets par profil
- Indépendant ou particulier : réunir dans une seule application les codes 2FA de ses comptes Google, réseaux sociaux et outils en ligne, en complément d’une sécurisation de son compte Google.
- PME sous Microsoft 365 : activer les paramètres de sécurité par défaut d’Entra ID, qui imposent la MFA à tous les comptes, avec Authenticator comme méthode principale et sans licence en plus.
- DSI d’une entreprise de taille intermédiaire : passer à Entra ID P1 pour écrire des règles d’accès conditionnel (pays, état de l’appareil, application visée) et suivre les alertes de fraude.
- Organisation exposée au hameçonnage ciblé : déployer des clés d’accès Entra dans Authenticator, liées au téléphone de chaque salarié, y compris sur des appareils personnels.
Face à Google Authenticator, Okta Verify et Duo Mobile
Pour un particulier, Google Authenticator remplit le même rôle de générateur de codes, centré sur l’écosystème Google. Authenticator prend l’avantage dès qu’un compte Microsoft est en jeu, grâce à la connexion sans mot de passe et aux notifications d’approbation ; pour les comptes tiers, les deux se limitent aux codes à usage unique.
En entreprise, la comparaison se fait surtout avec Okta Verify et Duo Mobile, qui accompagnent les plateformes d’identité d’Okta et de Cisco Duo. Le choix dépend moins de l’application que de l’annuaire d’identités retenu : une organisation déjà sous Microsoft 365 et Entra ID n’a guère de raison d’ajouter un autre fournisseur, quand une entreprise qui centralise ses accès chez Okta utilisera logiquement Okta Verify.
Les limites à connaître
Authenticator n’est plus un gestionnaire de mots de passe. Microsoft a cessé l’ajout de nouveaux mots de passe en juin 2025, coupé le remplissage automatique en juillet, puis retiré l’accès aux données enregistrées à la mi-août. Les mots de passe et adresses ont été synchronisés avec le compte Microsoft et restent consultables dans Edge, mais les informations de paiement ont été supprimées. Pour un coffre-fort complet, mieux vaut se tourner vers un logiciel de gestion de mots de passe dédié.
La sauvegarde a aussi ses angles morts. Elle ne se restaure que sur un appareil du même système : passer d’un iPhone à un Android impose de tout reconfigurer. Et même dans le bon cas, seuls les codes des comptes personnels et tiers reviennent ; les comptes professionnels ou scolaires doivent être réinscrits auprès de l’organisation. Enfin, l’application existe pour Android, iOS, iPadOS et visionOS, mais pas pour Windows ni macOS.
Quelle licence choisir côté entreprise
L’application ne coûte rien ; ce sont les contrôles côté administrateur qui se paient. Avec Entra ID Free ou un abonnement Microsoft 365 standard, les paramètres de sécurité par défaut imposent la MFA à tous, sans réglage fin. Entra ID P1, facturé 6,10 € HT par utilisateur et par mois en paiement annuel, ajoute l’accès conditionnel, les alertes de fraude, les rapports MFA et les adresses IP approuvées ; il est déjà inclus dans Microsoft 365 Business Premium, Microsoft 365 E3 et EMS E3. Entra ID P2, à 8,70 € HT, ajoute l’accès conditionnel en fonction du risque de connexion.
Pour une TPE, les paramètres par défaut suffisent souvent. Une PME qui doit distinguer les accès depuis le bureau ou l’étranger, ou exempter certains comptes de service, a intérêt à vérifier si elle dispose déjà de P1 via Business Premium avant d’acheter une licence séparée.