Authentik MFA et Passkeys : configuration complète 2026

📍 Article principal du cluster : Authentik 2026 : guide complet.

Sans 2FA obligatoire, votre Authentik est aussi sûr qu’un seul mot de passe. Ce tutoriel détaille la configuration complète des trois mécanismes MFA : TOTP (Aegis, Authy), WebAuthn (YubiKey, Solokey), et Passkeys (Apple, Google, Windows Hello). Politique organisationnelle, recovery codes, déploiement à une équipe de 30 personnes en 30 minutes.

Prérequis

• Authentik en production avec premier admin créé (voir tutoriel installation).
• Compréhension des protocoles MFA (TOTP, WebAuthn).
• Niveau attendu : intermédiaire/avancé.
• Temps estimé : 1-2 heures.

Étape 1 — Comprendre les trois mécanismes

TOTP (Time-based One-Time Password) : code 6 chiffres généré toutes les 30 secondes par une app (Aegis, Authy, Google Authenticator). Universel, fonctionne hors ligne, mais peut être phishé via fake login pages.

WebAuthn / FIDO2 : clés cryptographiques sur appareil (YubiKey, Solokey, Titan). Résistant au phishing par conception. Nécessite l’achat de clés matérielles (~50 USD/clé).

Passkeys : évolution moderne de WebAuthn, stockée dans iCloud Keychain, Google Password Manager, ou Microsoft Authenticator. Synchronisée entre appareils du même écosystème.

Étape 2 — Activer TOTP dans Authentik

Authentik admin → Stages → Create → Authenticator TOTP Setup Stage :

Name: setup-totp
Friendly Name: Configuration TOTP
Digits: 6
Configure flow: default-authentication-flow

Puis Stages → Create → Authenticator Validation Stage :

Name: validate-totp
Device classes: TOTP
Configuration stage: setup-totp

Étape 3 — Activer WebAuthn / Passkeys

Stages → Create → Authenticator WebAuthn Setup Stage
Name: setup-webauthn
User verification: preferred (allows Passkeys)
Authenticator attachment: cross-platform OR platform
Resident key requirement: preferred

« cross-platform » accepte YubiKey USB. « platform » accepte Apple/Google/Windows Hello (Passkey). « preferred » des deux accepte tout.

Étape 4 — Modifier le Flow d’authentification

Flows → default-authentication-flow → Stage Bindings → Add :

1. Stage 1 : Identification (email).
2. Stage 2 : Password.
3. Stage 3 : Authenticator Validation (existing user).
4. Stage 4 : Login.

Order important : Identification → Password → MFA → Login.

Étape 5 — Politique : MFA obligatoire

Policies → Create → Expression Policy :

Name: require-mfa
Expression:
return ak_user_has_authenticator(request.user, ['totp', 'webauthn'])

Lier à Flow Authentication. Tout utilisateur sans MFA configuré sera forcé de le faire avant de poursuivre le login.

Étape 6 — Onboarding utilisateur

Quand un nouvel employé est créé, Authentik envoie un email d’invitation. Au premier login :

1. Saisit email + mot de passe initial (force le changement).
2. Configure MFA : choix entre TOTP et WebAuthn/Passkey.
3. Reçoit recovery codes (6 codes uniques) à imprimer/stocker.
4. Confirme MFA via challenge.
5. Atterrit sur le dashboard.

Étape 7 — Recovery codes

Stages → Create → Authenticator Static Setup Stage :

Name: setup-static
Token count: 6
Token length: 12

L’utilisateur reçoit 6 codes à usage unique pour secours en cas de perte d’appareil. Imprimer ou Vaultwarden.

Étape 8 — Politique YubiKey pour admins

Pour le groupe admins, exiger spécifiquement WebAuthn (YubiKey ou Passkey) :

Policies → Expression Policy
Name: admins-require-webauthn
Expression:
if "admins" in [g.name for g in request.user.ak_groups.all()]:
    return ak_user_has_authenticator(request.user, ['webauthn'])
return True

Étape 9 — Déploiement à 30 personnes

Procédure recommandée :

1. Annoncer 7 jours à l’avance.
2. Tester sur 3 personnes pilote (admin + 2 devs) pendant 1 semaine.
3. Webinar 30 minutes pour expliquer.
4. Activer politique MFA obligatoire un mardi (pas vendredi).
5. Hotline pendant 48 heures pour les blocages.

Erreurs fréquentes

Adaptation au contexte ouest-africain

Trois précisions. Coût YubiKey : YubiKey 5C NFC à 50 USD via revendeur officiel ou 35 EUR via Amazon Allemagne (livraison Maroc/Tunisie possible). Pour économiser, Solokey (40 EUR) ou TrustKey (30 USD) sont équivalents en sécurité. Téléphones partagés : éviter installation TOTP sur téléphone partagé famille. Privilégier Aegis (open source) avec mot de passe app + sauvegarde chiffrée. Passkeys et iCloud : utilisateurs Apple synchronisent automatiquement entre Mac/iPhone/iPad. Utilisateurs Android : Google Password Manager.

Tutoriels frères

• Déployer Authentik sur Coolify
• SSO pour applications SaaS

FAQ

SMS comme MFA ? Non. SMS vulnérable au SIM-swapping, pas conforme NIST 800-63 niveau AAL2. Authentik supporte SMS mais nous le déconseillons fortement.

Coût pour 30 collaborateurs en YubiKey ? 30 × 35 € = 1050 €. Ne déployer que pour admins (5 × 35 = 175 €). Reste de l’équipe : TOTP gratuit.

Passkeys vs YubiKey ? Passkeys plus pratiques (sync entre appareils du même écosystème). YubiKey plus universelles (cross-platform, pas vendor lock-in).

Que faire si admin perd YubiKey + recovery codes ? Procédure « break-glass » : second admin dédié dont les credentials sont en coffre physique. Sans cela, full reinstall de l’instance.

MFA fatigue (push spam) ? Authentik n’utilise pas push notifications par défaut, donc pas de risque de fatigue. TOTP/WebAuthn nécessitent action utilisateur explicite.

Pour aller plus loin

• 🔝 Retour au pilier : Guide complet Authentik 2026
• Documentation MFA Authentik : goauthentik.io/docs/flow/stages/authenticator