· Nouh Droussi · Cybersécurité · Maroc · 4 min de lecture · Mis à jour
Jetons OTP, application mobile, clés FIDO2 : comment FortiToken sécurise vos accès, et ce que change le passage de FortiToken Cloud à FortiIdentity Cloud.
FortiToken est la gamme de facteurs d'authentification de Fortinet : jetons physiques, application mobile et clés de sécurité FIDO2. Associé à un FortiGate, à FortiAuthenticator ou au service cloud FortiIdentity Cloud (anciennement FortiToken Cloud), il permet d'ajouter un second facteur aux accès VPN, aux portails d'administration et aux applications. Le choix du facteur conditionne directement le niveau de protection contre l'hameçonnage.
Pourquoi l'authentification multifacteur reste prioritaire
Un mot de passe seul peut être volé par hameçonnage, deviné, réutilisé depuis une fuite de données ou intercepté par un logiciel malveillant. L'authentification multifacteur (MFA) exige au moins deux éléments de nature différente : ce que l'on sait (mot de passe, code PIN), ce que l'on possède (téléphone, jeton, clé) et ce que l'on est (biométrie). Les accès distants, les comptes à privilèges et les interfaces d'administration des équipements de sécurité sont les premiers à protéger.
La gamme FortiToken
Fortinet décline plusieurs formats, qui ne répondent pas aux mêmes besoins :
FortiToken Mobile : une application iOS et Android qui génère des mots de passe à usage unique (OTP) et peut recevoir des notifications push d'approbation ;
les jetons matériels OTP : des porte-clés à écran qui affichent un OTP, utiles pour les utilisateurs sans smartphone professionnel ou dans les zones où le téléphone est interdit ;
FortiToken 310 : un jeton USB pour l'authentification par certificat client ;
FortiToken 410 et 411 : des clés de sécurité certifiées FIDO, compatibles U2F et FIDO2, qui permettent une authentification résistante à l'hameçonnage, voire sans mot de passe.
Les jetons OTP respectent le standard OATH et peuvent donc fonctionner avec un serveur d'authentification compatible, y compris hors de l'écosystème Fortinet.
Architecture : où valider le second facteur ?
Trois modes de déploiement sont courants :
directement sur le FortiGate : les jetons sont enregistrés sur le pare-feu et associés aux utilisateurs locaux ou distants (LDAP, RADIUS) pour le VPN et l'administration ; c'est la solution la plus simple pour un site unique ;
via FortiAuthenticator : ce serveur d'identité centralise les utilisateurs, les jetons, le RADIUS, le SAML et l'authentification unique ; il convient aux environnements multi-sites ou aux applications non Fortinet ;
via FortiIdentity Cloud : le service SaaS gère l'enrôlement et la validation sans serveur local.
Statut du produit en 2026 : FortiToken Cloud devient FortiIdentity Cloud
Le service FortiToken Cloud a été renommé FortiIdentity Cloud. Au-delà du nom, Fortinet a élargi le périmètre vers la gestion des identités et des accès : fédération SAML et OIDC pour l'authentification unique, authentification adaptative selon le contexte, options sans mot de passe. Selon Fortinet, les jetons, licences et intégrations existants continuent de fonctionner, et le renouvellement des abonnements se fait désormais avec les références FortiIdentity Cloud. Les jetons FortiToken eux-mêmes, matériels et mobiles, restent commercialisés.
Choisir le bon facteur selon le risque
Tous les facteurs n'offrent pas la même résistance. La CISA rappelle que les OTP peuvent être captés par une page d'hameçonnage, que les notifications push simples exposent à la fatigue MFA (des demandes répétées jusqu'à ce que l'utilisateur accepte), et que le SMS est vulnérable au détournement de carte SIM. Seules les méthodes FIDO/WebAuthn et celles fondées sur une PKI sont considérées comme résistantes à l'hameçonnage.
En pratique, une démarche graduée est raisonnable :
clés FIDO2 pour les administrateurs, les comptes à privilèges et les accès aux systèmes critiques ;
application mobile avec push, en activant la correspondance de numéro lorsque la plateforme le permet, pour la population générale ;
SMS ou e-mail uniquement comme solution transitoire ou de secours.
Bonnes pratiques de déploiement
Inventorier les points d'entrée : VPN, webmail, consoles cloud, interfaces d'administration, accès des prestataires.
Prévoir l'enrôlement et la perte de jeton : procédure de réinitialisation avec vérification d'identité, codes de secours stockés de façon sécurisée.
Journaliser les authentifications et surveiller les refus répétés, qui peuvent signaler une attaque par fatigue MFA.
Éviter les exceptions permanentes : un compte de service sans MFA doit être documenté, restreint et surveillé.
Sensibiliser les utilisateurs : une demande d'approbation inattendue doit être refusée et signalée.
Compétences et formation
Déployer une MFA robuste demande de maîtriser l'authentification sur le pare-feu, les annuaires et les protocoles d'identité fédérée. Ces parcours vous y préparent :
FortiOS / FortiGate Administrator (NSE 4) pour configurer l'authentification des utilisateurs, le VPN et les jetons sur FortiGate (préparation à la certification) ;
Microsoft SC-300 pour la gestion des identités, l'accès conditionnel et l'authentification sans mot de passe dans un environnement Microsoft ;
CompTIA Security+ pour les fondamentaux de l'authentification et du contrôle d'accès.
Conclusion
FortiToken couvre l'ensemble des besoins de second facteur, du simple OTP à la clé FIDO2. Retenez que FortiToken Cloud s'appelle désormais FortiIdentity Cloud, et que le niveau de protection dépend surtout du facteur choisi : réservez les méthodes résistantes à l'hameçonnage aux accès les plus sensibles.