Points clés
- Imposez le MFA sur chaque compte administrateur, y compris les utilisateurs d’intégration et d’API, afin de bloquer les accès non autorisés et de prévenir les attaques de phishing ou de credential stuffing.
- Utilisez des outils d’authentification robustes basés sur une application, comme Salesforce Authenticator, Microsoft Authenticator ou Google Authenticator, ou des clés de sécurité matérielles (FIDO2/U2F).
- Désactivez les options MFA les plus faibles, comme le MFA par SMS.
- Mettez en place des politiques MFA conditionnelles ou adaptatives, qui ne se déclenchent qu’en cas de situation à risque, pour améliorer la protection sans provoquer de fatigue MFA.
- Formez régulièrement vos administrateurs à repérer les tentatives de phishing, à résister aux attaques par fatigue MFA et à appliquer les bonnes pratiques d’approbation des demandes d’authentification légitimes.
- Auditez et surveillez les journaux MFA dans Salesforce et chez votre IdP pour vérifier la conformité, détecter les tentatives de contournement et intégrer ces contrôles à vos revues de sécurité trimestrielles.
Salesforce occupe une place centrale dans les activités de nombreuses PME (petites et moyennes entreprises), puisqu’il héberge des données clients et commerciales sensibles. Comme les administrateurs Salesforce contrôlent les accès et les configurations, leurs comptes constituent des cibles de choix pour le phishing et le credential stuffing.
Il est donc essentiel d’activer le MFA (authentification forte) Salesforce pour vos comptes administrateurs. Vous garantirez ainsi que vos données restent protégées des violations de sécurité et des acteurs malveillants.
Guide pour renforcer la conformité MFA des administrateurs
📌 Prérequis :
- Vous devez disposer d’un accès à un compte administrateur Salesforce.
- Vous devez posséder une licence Salesforce compatible avec le MFA (authentification forte) (incluse dans la plupart des éditions).
- Vous devez avoir défini des politiques d’onboarding et d’offboarding pour les utilisateurs Salesforce.
💡 Remarque : facultatif : vous pouvez utiliser un IdP (fournisseur d’identité) tiers (Okta, Azure AD, Google) pour centraliser vos politiques MFA.
Étape 1 : imposer le MFA à tous les rôles d’administration
Le MFA doit être obligatoire sur chaque compte administrateur, y compris, dans la mesure du possible, sur les comptes d’intégration. Les options MFA intégrées à Salesforce (applications d’authentification, clés U2F, SMS en solution de repli) vous permettent de l’imposer.
Chaque personne doit également disposer de son propre compte de connexion. Évitez autant que possible d’utiliser ou d’autoriser des connexions partagées.
Étape 2 : renforcer les facteurs d’authentification
Les applications d’authentification (Microsoft Authenticator, Google Authenticator, Salesforce Authenticator) constituent la méthode à privilégier. Utilisez-les dès que possible. Désactivez aussi les méthodes d’authentification les plus faibles, comme les codes par SMS, afin de prévenir les violations de sécurité.
Dans les environnements à haut niveau de sécurité, vous pouvez également recourir à des clés matérielles. Ces petits appareils physiques ajoutent une couche d’authentification supplémentaire et rendent les violations de sécurité beaucoup plus difficiles. Le personnel autorisé doit se rendre sur place et insérer physiquement la clé ou l’approcher de l’appareil pour accéder à son contenu, ce qui complique nettement la tâche des acteurs malveillants.
Étape 3 : mettre en place des politiques MFA conditionnelles (via Salesforce ou un IdP)
Toutes les situations ne se valent pas. Certaines exigent davantage de sécurité que d’autres. Lorsqu’un administrateur se connecte depuis un nouvel appareil, un lieu inhabituel ou une zone géographique inconnue, par exemple, appliquez des règles MFA plus strictes. Vous empêchez ainsi les acteurs malveillants de se connecter avec des identifiants volés ou piratés.
Dans le même esprit, privilégiez des politiques MFA adaptatives plutôt qu’excessivement restrictives. Les utilisateurs peuvent se lasser de devoir se reconnecter sans arrêt à leurs appareils. Plutôt que de multiplier les prompts, veillez à ce que les politiques MFA ne se déclenchent que lorsque c’est réellement nécessaire.
Étape 4 : proposer une formation des administrateurs adaptée aux PME
Les administrateurs doivent bien sûr, eux aussi, contribuer à la sécurité de leurs comptes. Pour les y aider, organisez des sessions de formation destinées aux administrateurs Salesforce afin qu’ils repèrent facilement les tentatives de phishing et la fatigue MFA. Ils doivent également savoir comment réagir face à une activité suspecte et comment la signaler aux administrateurs informatiques.
Ces sessions doivent insister sur la vigilance : les utilisateurs ne doivent jamais approuver un prompt MFA inattendu, par exemple. Et pour aider chacun à retenir la bonne conduite à tenir, créez de courts guides de référence ou des articles de base de connaissance pour le dépannage des demandes MFA.
Étape 5 : surveiller et contrôler l’application du MFA
Pour vérifier que les administrateurs respectent vos exigences MFA, auditez régulièrement les journaux MFA dans Salesforce. Assurez-vous que le MFA est activé sur tous les comptes administrateurs. Si ce n’est pas le cas pour certains comptes, agissez immédiatement : contactez l’administrateur concerné et vérifiez qu’il active bien le MFA sur son compte.
Intégrez ces vérifications MFA à vos revues de sécurité trimestrielles. Vous éviterez ainsi que des éléments passent entre les mailles du filet et que des acteurs malveillants franchissent facilement vos défenses pour accéder aux données de votre entreprise.
Étape 6 : vérification
Vérifiez que toutes les connexions des administrateurs Salesforce exigent le MFA. Examinez les journaux d’audit pour détecter les tentatives de contournement ou les cas où le MFA n’a pas été appliqué. Si vous identifiez des comptes non conformes, contactez immédiatement l’utilisateur et assurez-vous qu’il active le MFA au plus vite.
Confirmez que les administrateurs utilisent des méthodes MFA approuvées (applications ou clés, pas de SMS). Si vous recourez à des clés matérielles, veillez à en assurer le suivi et à ne les remettre qu’à des personnes de confiance.
Points complémentaires pour faire appliquer le MFA à vos administrateurs Salesforce
- Certaines applications connectées à Salesforce ne prennent pas en charge le MFA. Dans ce cas, utilisez des utilisateurs d’intégration à périmètre limité et une authentification par token.
- L’application du MFA fait généralement partie des exigences de conformité des PME, en particulier pour HIPAA, PCI DSS et le RGPD (règlement général sur la protection des données).
- Uniformisez l’application du MFA sur l’ensemble des clients Salesforce gérés par le MSP.
⚠️ Points de vigilance
| Risques | Conséquences possibles | Comment y remédier |
| Les administrateurs contournent le MFA via des applications héritées | Les applications héritées peuvent être moins sécurisées et le contournement du MFA risque de permettre à des acteurs malveillants d’accéder aux données de vos services. | Vous devez restreindre ou mettre à niveau ces intégrations. Les administrateurs ne doivent accéder à leurs comptes qu’via des applications à jour et approuvées. |
| Plaintes liées à la fatigue MFA | Les utilisateurs peuvent être moins enclins à utiliser le MFA et chercher à le contourner. | Optimisez les règles d’accès conditionnel et réduisez les prompts inutiles. |
| Perte d’un token matériel | Sans le token matériel, l’accès à des données importantes devient impossible. | Prévoyez des méthodes de secours sous le contrôle des administrateurs. |
Les intégrations NinjaOne pour appliquer vos politiques MFA
- Documentation : conservez les procédures d’application du MFA destinées aux administrateurs Salesforce dans la plateforme de documentation NinjaOne.
- Automatisation : déclenchez des tâches d’offboarding pour supprimer les comptes administrateurs et imposer la réattribution du MFA.
- Surveillance : utilisez les alertes NinjaOne pour suivre les problèmes d’authentification chez tous vos clients.
- Reporting : intégrez l’application du MFA à vos QBR pour démontrer les progrès en matière de conformité.
Renforcez la sécurité pour protéger les comptes administrateurs Salesforce
Les administrateurs Salesforce représentent une surface de risque critique pour les PME. Ils disposent d’autorisations importantes, dangereuses entre les mains d’acteurs malveillants. Renforcer les politiques MFA garantit que ces comptes à privilèges élevés sont protégés contre les attaques modernes, tout en soutenant la conformité et la confiance des clients.
Liens connexes :
- Qu’est-ce que l’authentification multifacteur (MFA) ?
- Attaque par fatigue MFA : définition et moyens de la prévenir
- Comment suivre les exceptions MFA sur plusieurs tenants sans perdre le contrôle
- Comment expliquer à vos clients les différences entre MFA, authentification unique (SSO) et accès conditionnel
