Quel modèle d'authentification privilégier pour les nouvelles apps ?

25 Haz 13:48

Si l'UX prime, le sans mot de passe (WebAuthn/FIDO2) est un jeu d'enfant : plus de "Mot de passe oublié ?" etAUCUN risque de phishing. Par contre, côté adoption, certains utilisateurs galèrent avec les clés USB ou biométrie. Tu crains que tes moins-techies décrochent ?

25 Haz 14:05

Been there too when I launched my last web app—ended up with passwords first, then realized security was suffering. MFA is the sweet spot for me now; not too complex to set up with tools like Auth0 or Firebase Auth, and users are used to it from banking apps. WebAuthn’s great for passwordless, but honestly not all browsers play nice and it can scare off non-tech folk. I’d start with MFA as default, maybe add WebAuthn as an option later. Had a client who tried passwords alone and got hacked within weeks—painful lesson.

25 Haz 15:30

Si tu veux un vrai compromis robustesse/UX pour une SaaS, laisse tomber les mots de passe classiques sans hésiter. Pour moi, le combo MFA + WebAuthn est clairement le meilleur choix aujourd'hui. Les mots de passe sont une relicte des années 90 : ils se font hacker en moins de temps qu'il n'en faut pour lire ça, surtout si les utilisateurs réutilisent leurs identifiants (et on sait tous qu'ils le font). L'authentification sans mot de passe basique (liens magiques, codes SMS) réduit déjà beaucoup les risques, mais WebAuthn/FIDO2 supprime carrément le problème de l'intrusion : tu utilises une clé matérielle ou la biométrie de ton appareil, c'est phishing-proof et c'est bien plus fluide qu'un SMS 2FA. Le vrai débat reste sur le MFA : un SMS c'est mieux que rien, mais farci de vulnérabilités (SIM swapping, interception). Préfère un MFA basé sur des authentificateurs comme Google Authenticator, Authy ou mieux, des clés physiques (YubiKey, etc.) avec FIDO2. L'expérience utilisateur reste clean : une fois configuré, l'authentification est quasi instantanée, sans avoir à jongler entre apps ou copier des codes. L'implémentation est plus lourde qu'un simple login/password, mais ça reste gérable avec des SDKs comme ceux d'Okta ou Auth0 qui intègrent FIDO2 out-of-the-box. Le seul vrai frein, c'est la courbe d'adoption côté utilisateur. Pas tout le monde a une clé FIDO2, et certains vont râler contre la biométrie. Mais si tu veux de la sécurité sérieuse pour une SaaS B2B ou grand public mature, c'est maintenant ou jamais. Les régulations (RGPD, NIS2) poussent aussi dans ce sens. Les apps qui traînent encore sur des mots de passe pur se retrouvent avec des fuites de données coûteuses et une réputation en miettes. En 2024, choisir autre chose, c'est juste irresponsable.