Comment limiter les tentatives de connexion ?
En bref
Pour limiter les tentatives de connexion, combinez une temporisation qui augmente après chaque échec, un blocage temporaire de l'adresse d'origine, une vérification supplémentaire au-delà d'un certain nombre d'essais, et une alerte pour les comptes visés. Ces mesures doivent freiner les essais automatisés sans permettre à un tiers de bloquer volontairement vos utilisateurs.
Une page de connexion accessible depuis Internet reçoit en permanence des essais automatisés. Deux méthodes dominent : tester un grand nombre de mots de passe sur un compte, ou rejouer des couples identifiant et mot de passe issus de fuites anciennes, en pariant sur le fait que la personne les a réutilisés. Dans les deux cas, la réponse consiste à rendre les essais lents et coûteux.
Ralentir plutôt que bloquer sèchement
Le verrouillage définitif d'un compte après quelques erreurs paraît logique, mais il crée un autre problème : un tiers peut provoquer volontairement ces échecs pour empêcher vos utilisateurs de travailler. Les mécanismes progressifs sont préférables.
- Temporisation croissante : quelques secondes d'attente après le troisième échec, davantage ensuite. Un humain ne le remarque presque pas, un automate perd tout intérêt.
- Blocage temporaire de l'origine : l'adresse qui multiplie les échecs est écartée pour une durée limitée, puis réadmise.
- Vérification supplémentaire au-delà d'un seuil, par exemple une question de contrôle destinée à distinguer un visiteur d'un programme.
- Déverrouillage autonome : prévoyez un moyen pour l'utilisateur légitime de revenir, sans dépendre d'une intervention immédiate.
Les réglages à décider
| Paramètre | Ce qu'il faut arbitrer |
|---|---|
| Seuil d'échecs | Assez haut pour tolérer les fautes de frappe, assez bas pour couper les essais en série. |
| Durée du blocage | Quelques minutes suffisent souvent : l'objectif est le coût en temps, pas la punition. |
| Portée | Compter les échecs par compte et par adresse d'origine, pour traiter les deux scénarios. |
| Message affiché | Rester neutre : ne pas indiquer si c'est l'identifiant ou le mot de passe qui est erroné. |
| Exceptions | Prévoir le cas des locaux où de nombreuses personnes partagent la même adresse de sortie. |
Ce qui compte encore plus que la limitation
Ralentir les essais est utile, mais ne change rien si le mot de passe figure déjà dans une fuite publique. Trois mesures pèsent davantage :
- Des mots de passe longs et uniques, gérés par un gestionnaire de mots de passe plutôt que mémorisés puis réutilisés.
- La double authentification, qui rend un mot de passe correct insuffisant à lui seul.
- Le stockage sûr des mots de passe côté serveur, par une fonction de hachage conçue pour être lente, afin qu'une base dérobée reste difficile à exploiter.
Surveiller et être prévenu
Les tentatives en série laissent une trace claire dans les journaux. Configurez au minimum une alerte lorsqu'un compte d'administration subit une série d'échecs, lorsqu'une connexion réussit après de nombreux essais, ou lorsqu'un même identifiant est testé depuis de nombreuses origines différentes. Ce dernier signal indique généralement une campagne automatisée plutôt qu'une erreur.
Étendre la mesure aux autres entrées
La page de connexion n'est pas la seule concernée. La récupération de mot de passe, la validation d'un code à usage unique, l'accès à une API ou un formulaire d'inscription méritent les mêmes limites de débit. Sans cela, la protection est contournée par la porte voisine.
NexSecure configure ces protections et surveille les connexions dans le cadre de la supervision à distance.
Questions fréquentes
Combien d'essais autoriser avant blocage ?
Il n'existe pas de valeur unique. Cinq à dix essais avant une temporisation notable conviennent à beaucoup de sites, avec un seuil plus strict pour les comptes d'administration. Observez vos journaux quelques semaines pour ajuster sans gêner les utilisateurs.
Bloquer par adresse IP est-il efficace ?
Partiellement. Cela arrête les essais venant d'une même source, mais les campagnes réparties sur de nombreuses origines y échappent. Combinez le comptage par adresse et par compte, et appuyez-vous surtout sur la double authentification.
Faut-il prévenir l'utilisateur des échecs ?
Oui, c'est utile : un message signalant des tentatives infructueuses sur son compte l'incite à changer son mot de passe. Évitez en revanche d'indiquer sur la page si l'identifiant existe, information qui aide à cibler.
Ces mesures protègent-elles des mots de passe volés ?
Non. Si le mot de passe correct est connu, la connexion réussit du premier coup et aucune limitation ne se déclenche. Seule une seconde preuve d'identité empêche l'accès dans ce cas.
Sources
Service lié
Articles liés
Rédigé par l'équipe NexSecure. Responsable de la publication : Yohann Toumine. Dernière mise à jour le 11 septembre 2026.
Une question sur votre situation ? Parler de votre projet