> ## Content Index
> Fetch the complete content index at: https://www.klaerenn.fr/llms.txt
> Use this file to discover other available public pages before exploring further.

# I'll be back
- URL: https://www.klaerenn.fr/ill-be-back/
- Published: 2026-09-08T08:00:45.000Z
- Updated: 2026-09-08T08:00:45.000Z
- Description: Le 14 août 2026, Bercy invoque la sophistication de l'attaque. Les identifiants qui l'ont permise se vendent quelques dollars l'unité, la session survit au second facteur, et la règle qui aurait fermé le chemin date de 2014. Le facteur répond à une question que l'attaquant ne pose plus.
- Author: Franck Rouxel
- Tags: Tribunes

*Le 14 août 2026, Bercy confirme l'extraction des données de 678 000 particuliers et professionnels. Le communiqué explique que les contrôles d'accès n'ont pas permis de détecter le vol, en raison de la sophistication de l'attaque¹. Les identifiants qui l'ont rendu possible se vendent à l'unité, sur un marché ouvert, et l'inventaire des portails de l'État s'y consulte en une requête.*

Le 5 septembre 2026, la base de Hudson Rock, éditeur israélien de renseignement qui achète les logs d'infostealers sur les marchés où ils se vendent, recense trois cent cinquante-six comptes en adresse professionnelle du ministère de l'Intérieur, extraits de machines infectées, la compromission la plus récente datée du 19 août². Pour le domaine racine des Finances, quarante-huit comptes agents, dernière capture le 19 août également, cinq jours après la confirmation publique de l'intrusion à la DGFiP. La requête est publique et ne demande aucune authentification, et d'autres éditeurs tiennent des corpus comparables. Chaque enregistrement porte l'adresse exacte du formulaire où l'identifiant a été saisi — webmail, portail VPN, application métier : l'inventaire des points d'entrée de l'État, indexé, daté, ouvert.

Cette exposition préexiste aux intrusions qu'elle rend possibles, se mesure gratuitement et se renouvelle chaque semaine. Elle n'a jamais été invisible.

### Le contenu d'un log volé

Un infostealer est un logiciel malveillant qui vole les données stockées sur une machine. Son produit unitaire est le log, un paquet structuré extrait de la machine infectée. Il contient les mots de passe enregistrés dans le navigateur, les entrées de remplissage automatique, les fichiers de portefeuilles de cryptomonnaie, les identifiants VPN, et une pièce dont la valeur a dépassé toutes les autres, le cookie de session actif. Chaque secret est accompagné de l'URL où il servait.

Le cookie de session a pris la première place. Un mot de passe volé se heurte encore, parfois, à un second facteur. Un cookie de session est une authentification déjà consommée : le rejouer ouvre le compte sans présenter de facteur, puisque le facteur a été présenté à l'ouverture. Constella compte 51,7 millions de paquets traités par les infostealers en 2025, en hausse de 72 % sur un an, et situe leur dangerosité dans les cookies de session vivants qu'ils contiennent, lesquels permettent de contourner entièrement l'authentification multifacteur³.

### L'industrie de la collecte

L'infostealer moderne procède à une extraction ponctuelle et exhaustive des secrets déjà présents sur la machine, puis disparaît ; le keylogger, son ancêtre, supposait une session interactive et une journalisation de la frappe dans la durée. La différence est économique avant d'être technique, et elle a produit un marché.

Ce marché tient sur une séparation des rôles que Sekoia, entreprise française, a documentée dès 2022⁴. Au sommet, des développeurs vendent l'infostealer en abonnement mensuel, sur le modèle du malware-as-a-service, avec un panneau de contrôle qui compile le logiciel, suit les infections et exporte les données. Au-dessous, une masse de distributeurs, les traffers, souvent jeunes, avec des connaissances de base et peu d'expérience, qui rejoignent une équipe par un canal Telegram, reçoivent un exécutable généré à la demande et le diffusent par vidéos YouTube, logiciels piratés ou publicités frauduleuses⁵. Leur métier consiste à générer du trafic. Les administrateurs organisent des concours de volume, récompensent les meilleurs par des primes et l'accès à un second infostealer. Un opérateur peu compétent hérite d'un savoir-faire qu'il n'a pas produit et qu'il n'a pas besoin de comprendre.

Cette structure explique les attaquants très jeunes des affaires françaises récentes, et les intrusions décrites comme mûres qu'ils réussissent. La maturité réside dans l'outillage et dans le marché qui le distribue, l'individu en est l'exécutant. Le prix d'un log ordinaire va de un à dix dollars, jusqu'à cent pour un log contenant un compte bancaire ou professionnel⁶. La sophistication a un prix unitaire de quelques dollars, et rien de ce qui se vend à ce tarif n'est imprévisible.

Le vecteur de distribution dominant coûte encore moins, parce qu'il n'exploite aucune faille. La technique dite ClickFix, un faux CAPTCHA, retourne la logique de l'attaque en faisant de la cible celle qui l'exécute. La page invite à copier un texte, à le coller dans la fenêtre Exécuter de Windows et à valider ; ce qui s'exécute est PowerShell, ou un autre interpréteur signé livré avec le système, avec les droits de l'utilisateur⁷. Le rapport de défense numérique de Microsoft pour 2025 attribue quarante-sept pour cent des intrusions initiales observées à cette seule technique, devant l'hameçonnage⁸. Elle fonctionne contre un poste entièrement à jour et équipé d'un EDR, parce qu'aucune vulnérabilité n'est exploitée et qu'aucun binaire étranger n'est déposé avant l'exécution. Il n'y a rien à corriger, et rien à détecter par signature. Le problème sort du champ du correctif et de l'antivirus.

### Une règle en vigueur, une pratique qui l'a quittée

Cette économie moissonne des millions de machines sans discrimination. Les identifiants des portails de l'État s'y retrouvent parce que des postes infectés les atteignent, et la présence de ces postes dans le paysage a une date d'origine.

La règle précède la menace. La politique de sécurité des systèmes d'information de l'État, la PSSIE, approuvée par circulaire du Premier ministre du 17 juillet 2014 avec conformité exigée sous trois ans, énonce que les postes sont fournis, gérés et configurés par l'entité, et que la connexion d'équipements non maîtrisés, non administrés ou non mis à jour par l'entité sur les réseaux professionnels est interdite. Une seconde règle complète la première : seuls les équipements gérés et configurés par les équipes habilitées peuvent être connectés au réseau de l'entité. Le nomadisme doit passer par les infrastructures nationales⁹.

Cette règle est restée en vigueur et a cessé d'être appliquée. La bascule en télétravail de 2020 a introduit dans les systèmes de l'État des postes que l'entité ne maîtrisait pas, sans qu'aucun acte ne vienne le décider. La PSSIE prévoit pourtant un mécanisme propre de dérogation, motivée, accordée par le haut fonctionnaire de défense et de sécurité du ministère, tenue à disposition de l'ANSSI. Une dérogation est une décision assumée, avec un risque résiduel nommé et une autorité qui l'endosse. Son absence signale l'absence de toute décision. La règle a continué d'exister pendant que la pratique la contredisait, sans arbitrage.

Les textes postérieurs maintiennent la règle. Le cadre de gouvernance de la sécurité numérique de l'État, qui doit à terme se substituer à la circulaire de 2014, cohabite avec elle et la complète sur les règles de sécurité¹⁰. En décembre 2020, neuf mois après la bascule, l'ANSSI écrit dans ses recommandations pour les systèmes d'information essentiels qu'un système maîtrisé ne peut pas intégrer les pratiques de BYOD, où l'utilisateur connecte des équipements personnels dont la configuration échappe à l'opérateur, et décrit le scénario : l'attaquant prend le contrôle de l'ordinateur personnel, y trouve les informations de connexion au système, et y accède à son tour à l'insu de l'utilisateur¹¹. Le guide Zero Trust de juin 2025 part du constat de l'essor du télétravail et du BYOD, pose qu'un équipement personnel et un équipement géré par l'entité n'ont pas, par défaut, le même niveau de confiance, et retient l'évaluation dynamique de l'état de sécurité du poste à chaque accès¹². Aucun de ces textes ne concède l'exception. La doctrine a suivi la menace, la pratique l'a laissée derrière.

La règle est devenue portante au moment où elle cessait d'être tenue. Tant que le poste restait dans le bâtiment, le contrôle d'accès physique, le zonage et le réseau local compensaient en partie le défaut de maîtrise logique. Quand le poste sort, ces compensations disparaissent d'un coup, et la maîtrise du terminal devient le dernier périmètre qui subsiste. Le compteur d'identifiants agents dans les logs d'infostealers en est la mesure directe. ClickFix infecte aussi des postes maîtrisés, de sorte que le compteur prouve l'exposition sans prouver à lui seul qu'un poste était hors périmètre. Il prouve qu'un chemin existe entre des machines infectées et les portails de l'État, et qu'il est emprunté.

### L'événement et l'état

Le dispositif présenté comme la réponse est l'authentification multifacteur. Elle règle un problème réel et adjacent, l'hameçonnage par reverse proxy, où un site sosie relaie en temps réel le mot de passe puis le second facteur vers le vrai service (les kits Evilginx ou Tycoon 2FA en sont l'industrialisation). Les clés matérielles FIDO2, YubiKey et équivalents, lient la signature au domaine d'origine, si bien qu'un site sosie n'obtient rien. C'est une vraie victoire, et c'est elle que le marché met en avant.

Cette victoire a déplacé l'attaque. À mesure que la porte d'entrée se durcit, l'attaquant passe par la porte de service, la session déjà ouverte. L'authentification est un événement, la session est un état. Le facteur intervient une fois, à l'ouverture. Ensuite le navigateur détient un jeton porteur, un bearer token au sens des protocoles web : quiconque le présente est authentifié, et le serveur ne distingue pas le titulaire d'un voleur. Ce choix date de 2009, et l'éditeur initial du standard l'a dénoncé avant même sa publication¹³. L'infostealer prélève ce que le facteur a produit, sans jamais toucher au facteur. Sur un poste de travail, Windows, macOS ou Linux, les applications ne sont pas isolées les unes des autres comme elles le sont sur un smartphone, et un programme malveillant qui s'exécute avec les mêmes droits que le navigateur accède à tout ce à quoi le navigateur accède, cookies compris¹⁴. Monter en gamme sur le facteur laisse ce chemin intact : une clé matérielle sérieuse résiste au reverse proxy et reste sans effet sur le vol de la session qu'elle a servi à ouvrir.

Une session a trois propriétés indépendantes, sa durée, sa révocabilité, sa portabilité. Le débat public ne parle que de la première, qui importe le moins. Sur Microsoft Entra ID, dont la documentation publique détaille ces durées, un access token vit entre soixante et quatre-vingt-dix minutes, mais le refresh token, qui permet d'en obtenir un nouveau sans se réauthentifier, vaut quatre-vingt-dix jours par défaut¹⁵, et c'est lui que l'infostealer emporte avec le reste. Raccourcir la durée des tokens ne ferme pas la voie : contre un poste durablement infecté, l'attaquant récupère la session suivante, et le vol permanent devient un vol répété. La révocabilité décide de ce que l'on peut faire une fois l'intrusion connue. Les access tokens déjà émis courent jusqu'à leur expiration, sauf si le client et le service supportent la Continuous Access Evaluation de Microsoft, qui révoque en quasi temps réel sur événement critique¹⁶ ; et la durée d'une session applicative dépend de l'application qui l'a émise, seule à pouvoir l'invalider¹⁷. Couper un compte ne coupe pas les sessions ouvertes. À la DGFiP, les comptes compromis ont été coupés à la détection, et l'exfiltration n'a été connue qu'à la revendication du 12 août¹⁸. Entre les deux, le sort des sessions ouvertes n'a pas été rendu public.

Seule la troisième propriété ferme le chemin. Un jeton non portable est inutile hors de la machine qui le détient. Les Device Bound Session Credentials, en disponibilité générale sur Chrome depuis avril 2026, réalisent cette liaison : à l'ouverture de session, le navigateur génère une paire de clés dont la clé privée est scellée dans la puce de sécurité du poste, TPM sous Windows ou Secure Enclave sous macOS, non exportable, et prouve périodiquement au serveur qu'il la détient ; un cookie volé et rejoué depuis une autre machine cesse de fonctionner¹⁹. Microsoft offre l'équivalent avec Token Protection dans Entra ID, Okta avec son SSO lié à l'appareil, en attachant le jeton à un appareil enregistré²⁰.

La seule défense efficace contre le vol de session est donc une propriété du terminal, un secret matériel non exportable et un appareil inscrit à l'annuaire. Le facteur d'authentification reste étranger à cette propriété. On ne déploie pas cette défense sur une machine dont on ne maîtrise ni la puce de sécurité, ni la configuration, ni l'inscription. Le terminal conditionne le facteur : sans maîtrise du poste, le meilleur facteur protège une ouverture de session dont la suite est à prendre.

L'État possède la brique. La carte agent et l'infrastructure de gestion de clés, l'IGC, sont déployées depuis longtemps. Une clé privée qui ne quitte pas la carte à puce satisfait la condition de non-portabilité aussi bien qu'un TPM soudé, et suit l'agent plutôt que la machine. La propriété ne tient qu'à une condition d'architecture : la preuve de possession doit être exigée à chaque requête, ce que fait une session en TLS mutuel, où le certificat de la carte signe chaque connexion. Si l'application vérifie le certificat une fois, à l'ouverture, puis émet un cookie porteur pour la suite de la session, le bénéfice s'annule et le vol de session reprend ses droits. L'application héritée décide du résultat.

### Le prix de la règle

La réponse doctrinale existe, écrite par l'État pour l'État. Elle est difficile à tenir, pour quatre raisons.

La première est l'adhérence applicative. La liaison au matériel suppose une chaîne complète, une puce de sécurité côté poste, un appareil inscrit à l'annuaire, une application qui exige une preuve de possession à chaque requête. Le maillon applicatif est le plus rétif. Beaucoup d'applications métier authentifient une fois puis vivent sur un cookie porteur, le modèle même que la liaison au matériel corrige. Le TLS mutuel, qui fermerait la voie, traverse mal les reverse proxies, les load balancers et les CDN placés entre le poste et l'application ; c'est pour cette raison que les Device Bound Session Credentials opèrent à la couche HTTP plutôt qu'à la couche TLS, là où le Token Binding avait échoué¹⁹. Adapter un parc hérité à cette exigence est un chantier, dont le coût n'a pas été chiffré quand la règle de 2014 a cessé d'être tenue.

La deuxième est l'exhaustivité du périmètre. Une stratégie de confinement du poste, sans accès direct à Internet et avec une liste blanche de domaines joignables à travers un proxy, casse l'exfiltration d'un infostealer classique au moment où il tente d'envoyer le log à son serveur. La logique est saine : puisque la détection sur le poste est contournée, le pari porte sur l'impossibilité de sortie. Mais le confinement ne protège que ce qu'il enferme entièrement. Un domaine légitime laissé sur la liste blanche, un service cloud autorisé par nécessité métier, devient un canal d'exfiltration à travers la porte laissée ouverte, puisque le proxy ne distingue pas un usage légitime d'un usage détourné du même domaine. Le DNS suffit à un canal discret dès que les requêtes de résolution peuvent atteindre un serveur non maîtrisé. Surtout, le vol de session ne requiert aucune exfiltration depuis le poste confiné — il suffit que le même agent, ou un tiers habilité, atteigne le portail depuis un poste non maîtrisé, hors confinement, pour que le cookie soit pris là. Un périmètre tenu à quatre-vingt-dix-neuf pour cent se contourne par le pour cent laissé dehors, et le marché des logs, par construction, remonte d'abord les points les plus bas.

La troisième tient au tiers. La PSSIE couvre les prestataires et les personnels non permanents, et impose des clauses de sécurité dans tout contrat ouvrant un accès⁹. Un tiers habilité qui se connecte depuis son propre poste est soit couvert par une clause qui impose la maîtrise du terminal, soit hors du cadre. Savoir de quel côté il se trouve dépend de la convention d'accès de ce tiers, de ce qu'elle stipulait sur la maîtrise du terminal, et de qui en contrôlait l'application.

La quatrième est un plancher qu'aucune technologie ne franchit. Si l'attaquant pilote le poste, par un outil de prise en main à distance ou en dirigeant le navigateur lui-même, il n'a plus rien à exfiltrer, il opère depuis la machine authentifiée. La puce de sécurité signe pour lui, la clé fait son travail, elle authentifie une machine légitime qui n'est plus conduite par son propriétaire. L'authentification protège contre l'usurpation depuis ailleurs, et reste sans effet contre un attaquant qui agit depuis l'intérieur du poste légitime. Il ne reste que le terminal, son intégrité, sa maîtrise.

### Ce que je ne sais pas

Je ne connais pas la distribution temporelle de cette exposition. Le corpus interrogé est cumulatif et non daté par enregistrement, et il commence en 2020, ce qui interdit d'y lire une rupture liée au télétravail. La bascule de 2020 est établie par la doctrine et par la généralisation connue du travail à distance ; cette mesure ne l'établit pas. La répartition par famille d'infostealer suggère un flux récent et continu, elle ne le prouve pas.

Je ne sais pas s'il existe une dérogation formelle à la règle de maîtrise des matériels sur les périmètres concernés. La PSSIE prévoit qu'un tel acte, s'il existe, est tenu à disposition de l'ANSSI, et que son existence est donc vérifiable même si son contenu est protégé. Si la dérogation existe, l'État a accepté un risque nommé. Si elle n'existe pas, la règle a cessé d'être appliquée sans décision.

Je ne connais pas l'architecture réelle des portails concernés, en particulier si la preuve de possession du certificat de la carte agent y est exigée à chaque requête ou consommée une seule fois. C'est la variable qui décide si la brique déjà déployée par l'État protège ou non contre le vol de session.

Je ne sais pas si les sessions actives ont été révoquées lors de la coupure des comptes compromis à la DGFiP, ni par quel mécanisme. Le débat public ne regarde pas cet endroit. C'est pourtant là, entre l'authentification et la session, que se joue l'écart entre couper un accès et fermer une porte.

### Conclusion

L'affaire est décrite comme une attaque sophistiquée. Les pièces qui l'ont rendue possible sont une marchandise à prix unitaire de quelques dollars, un vecteur qui n'exploite aucune faille, une session qui survit à l'authentification, et un poste que l'entité ne maîtrisait pas. Chacune de ces pièces était connue et mesurable, et trois d'entre elles étaient couvertes par une règle que l'État s'est donnée en 2014\. L'authentification multifacteur, seul objet du discours public, porte sur une case manquante au milieu de cette chaîne. Elle laisse le marché fournir les identifiants, le vecteur infecter le poste, la session survivre au facteur, et le poste rester hors de toute maîtrise. Une case cochée se contrôle et s'annonce ; un parc de terminaux se tient.

Merci de m’avoir lu.

Si vous ne voulez manquer aucune de ces analyses, vous pouvez vous abonner à La lettre Klaerenn : les membres les reçoivent par mail, dès parution. Sur LinkedIn, un algorithme décide de ce que vous voyez. Ici, vous reprenez la main.

S’inscrire 

C’est fait — vérifiez votre boîte mail pour confirmer votre inscription. 

Désinscription en un clic, adresse jamais partagée.

[Partager](#/share)

---

### Sources

¹ Communiqué du ministère chargé des Comptes publics du 14 août 2026, cité par IT-Connect, « DGFiP, cadastre, Éducation nationale : la France enchaîne les fuites de données », août 2026\. Citation exacte du communiqué sur l'absence de détection. [https://www.it-connect.fr/fuites-donnees-etat-francais-dgfip-education-nationale/](https://www.it-connect.fr/fuites-donnees-etat-francais-dgfip-education-nationale/?ref=klaerenn.fr)

² Mesure de l'auteur, 5 septembre 2026, revérifiée le 6 septembre (valeurs inchangées), via l'API publique en lecture seule de Hudson Rock (endpoint « search-by-domain », résultats agrégés, sans identifiants). Hudson Rock est une société israélienne de renseignement sur la cybercriminalité qui acquiert des logs d'infostealers sur les marchés où ils se vendent ; le corpus déclare 36,3 millions de machines infectées. Les compteurs sont cumulatifs, non datés par enregistrement, et calculés sur le domaine de l'adresse électronique, non sur l'URL visitée. Donnée périssable, à revérifier la veille de parution. [https://docs.hudsonrock.com/](https://docs.hudsonrock.com/?ref=klaerenn.fr) · [https://www.hudsonrock.com/free-tools](https://www.hudsonrock.com/free-tools?ref=klaerenn.fr)

³ Constella Intelligence, « Google Fixed Session Cookie Theft in Chrome. Here Is What It Cannot Stop », 10 avril 2026\. Source commerciale ; chiffres issus du rapport Identity Breach 2026 de l'éditeur. [https://constella.ai/blog/google-just-fixed-session-cookie-theft-in-chrome-here-is-what-it-still-cannot-stop/](https://constella.ai/blog/google-just-fixed-session-cookie-theft-in-chrome-here-is-what-it-still-cannot-stop/?ref=klaerenn.fr)

⁴ Sekoia.io, « Traffers: a deep dive into the information stealer ecosystem ». Première description structurée du modèle développeur / équipe de distribution, avec les concours de volume et les paliers de récompense. [https://blog.sekoia.io/traffers-a-deep-dive-into-the-information-stealer-ecosystem/](https://blog.sekoia.io/traffers-a-deep-dive-into-the-information-stealer-ecosystem/?ref=klaerenn.fr)

⁵ Outpost24 (KrakenLabs), « Traffers and the growing threat against credentials », mai 2025\. Profil des distributeurs et canaux de diffusion (YouTube, publicités). [https://outpost24.com/blog/traffers-and-the-growing-threat-against-credentials/](https://outpost24.com/blog/traffers-and-the-growing-threat-against-credentials/?ref=klaerenn.fr)

⁶ DeepStrike, « Infostealer Malware in 2025: Credential Theft at Scale », décembre 2025\. Source secondaire (prestataire) pour les fourchettes de prix des logs ; ordres de grandeur concordants avec les observations de marché rapportées par plusieurs éditeurs. [https://deepstrike.io/blog/infostealer-malware-credential-theft-2025](https://deepstrike.io/blog/infostealer-malware-credential-theft-2025?ref=klaerenn.fr)

⁷ Hard2bit, « ClickFix and fake CAPTCHAs: defence guide 2026 », juin 2026, mis à jour juillet 2026\. Mécanique de la technique et exécution avec les droits de l'utilisateur via les interpréteurs livrés avec Windows. [https://hard2bit.com/en/blog/clickfix-fake-captcha-social-engineering-defence-guide/](https://hard2bit.com/en/blog/clickfix-fake-captcha-social-engineering-defence-guide/?ref=klaerenn.fr)

⁸ Microsoft Digital Defense Report 2025, chiffre relayé par CybelAngel (société française), « How ClickFix Uses Fake CAPTCHAs to Compromise Users », 2026 : 47 % des intrusions initiales observées par Microsoft Defender Experts attribuées à ClickFix, devant l'hameçonnage. [https://cybelangel.com/blog/how-clickfix-uses-fake-captchas-to-compromise-users/](https://cybelangel.com/blog/how-clickfix-uses-fake-captchas-to-compromise-users/?ref=klaerenn.fr)

⁹ Circulaire du Premier ministre n° 5725/SG du 17 juillet 2014 relative à la politique de sécurité des systèmes d'information de l'État (Légifrance), et texte intégral de la PSSIE, règles EXP-MAIT-MAT (maîtrise des matériels), RES-MAITRISE (systèmes autorisés sur le réseau), PDT-NOMAD-ACCESS (accès nomades), RH-NPERM et ORG-TIERS (personnels non permanents, tiers), mécanisme de dérogation par le HFDS. [https://www.legifrance.gouv.fr/circulaire/id/38641](https://www.legifrance.gouv.fr/circulaire/id/38641?ref=klaerenn.fr) · [https://gist.github.com/jdauphant/69fed7d05e40e02e00016a69973136e2](https://gist.github.com/jdauphant/69fed7d05e40e02e00016a69973136e2?ref=klaerenn.fr)

¹⁰ ANSSI, « Cadre de gouvernance de la sécurité numérique de l'État (PSSIE) » : le cadre se substituera à terme à la circulaire de 2014 ; les deux cohabitent et se complètent, surtout sur les règles de sécurité. [https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/protection-du-service-numerique-de-letat/](https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/protection-du-service-numerique-de-letat/?ref=klaerenn.fr)

¹¹ ANSSI, « Recommandations pour la protection des systèmes d'information essentiels », ANSSI-PA-085, 18 décembre 2020\. Exclusion des pratiques BYOD d'un SI maîtrisé et scénario d'attaque par le poste personnel. [https://cyber.gouv.fr/publications/recommandations-pour-la-protection-des-systemes-dinformation-essentiels](https://cyber.gouv.fr/publications/recommandations-pour-la-protection-des-systemes-dinformation-essentiels?ref=klaerenn.fr)

¹² ANSSI, « Modèle Zero Trust : les fondamentaux », ANSSI-PA-111, 20 juin 2025\. Constat sur le télétravail et le BYOD ; niveau de confiance différencié entre équipement personnel et équipement géré ; évaluation dynamique de l'état de sécurité du poste. [https://cyber.gouv.fr/publications/zero-trust](https://cyber.gouv.fr/publications/zero-trust?ref=klaerenn.fr)

¹³ Le bearer token et le refresh token entrent dans OAuth par le brouillon OAuth WRAP (Hardt, Tom, Eaton, Goland ; Microsoft, Yahoo, Google), soumis à l'IETF fin 2009, qui abandonne les signatures d'OAuth 1.0 au profit d'un access token « court, opaque, porteur » et d'un refresh token long pour le renouveler. Le modèle passe dans OAuth 2.0 (RFC 6749, octobre 2012, D. Hardt éd., Microsoft). Eran Hammer, éditeur initial du standard, démissionne en juillet 2012 et publie « OAuth 2.0 and the Road to Hell », où il juge le protocole mauvais et vise le bearer token, secret utilisable par quiconque le détient, sans preuve de possession. La structure à deux étages existait depuis les années 1980 dans Kerberos, ticket-granting ticket et tickets de service (RFC 4120 pour la version 5), avec une différence : les tickets Kerberos sont liés au client par une clé de session, et valent typiquement dix heures, renouvelables une semaine. OAuth 2.0 reprend la structure sans la liaison et étend les durées. La correction, DPoP (RFC 9449, septembre 2023), rétablit la preuve de possession pour les access et refresh tokens ; Token Protection, DBSC et le TLS mutuel sont d'autres formes de la même liaison. [https://datatracker.ietf.org/doc/draft-hardt-oauth](https://datatracker.ietf.org/doc/draft-hardt-oauth?ref=klaerenn.fr) · [https://datatracker.ietf.org/doc/html/rfc6749](https://datatracker.ietf.org/doc/html/rfc6749?ref=klaerenn.fr) · [https://hueniverse.com/oauth-2-0-and-the-road-to-hell-8eec45921529](https://hueniverse.com/oauth-2-0-and-the-road-to-hell-8eec45921529?ref=klaerenn.fr) · [https://www.rfc-editor.org/info/rfc4120/](https://www.rfc-editor.org/info/rfc4120/?ref=klaerenn.fr) · [https://www.rfc-editor.org/info/rfc9449/](https://www.rfc-editor.org/info/rfc9449/?ref=klaerenn.fr)

¹⁴ WICG, « Device Bound Session Credentials », dépôt de spécification. Énoncé du problème : les cookies ne permettent que des schémas de jeton porteur ; sur un poste de travail, un logiciel malveillant local accède à ce à quoi le navigateur accède. [https://github.com/wicg/dbsc](https://github.com/wicg/dbsc?ref=klaerenn.fr)

¹⁵ Microsoft Learn, « Configurable token lifetimes in the Microsoft identity platform ». Access token entre 60 et 90 minutes ; refresh token 90 jours par défaut hors cas particuliers ; durées de rafraîchissement et de session non configurables depuis janvier 2021\. [https://learn.microsoft.com/en-us/entra/identity-platform/configurable-token-lifetimes](https://learn.microsoft.com/en-us/entra/identity-platform/configurable-token-lifetimes?ref=klaerenn.fr)

¹⁶ Microsoft Learn, « Continuous access evaluation in Microsoft Entra ». Hors clients compatibles, l'access token reste valable une heure ; la révocation sur événement critique passe par la Continuous Access Evaluation. [https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-continuous-access-evaluation](https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-continuous-access-evaluation?ref=klaerenn.fr)

¹⁷ Cybersecurity World, « Microsoft Entra ID token lifetime and revocation », 2024, mis à jour 2025\. Source secondaire (praticien) sur les jetons de session contrôlés par l'application accédée. [https://www.cswrld.com/2024/06/microsoft-entra-id-token-lifetime-and-revocation/](https://www.cswrld.com/2024/06/microsoft-entra-id-token-lifetime-and-revocation/?ref=klaerenn.fr)

¹⁸ FrenchBreaches, alerte « Direction générale des Finances publiques (DGFiP) », publication du 12 août 2026 relayant la revendication et la confirmation officielle de l'intrusion intervenue fin juin. [https://frenchbreaches.com/alertes/direction-g-n-rale-des-finances-publiques-dgfip-msq5rgy4cql9o0l7cus](https://frenchbreaches.com/alertes/direction-g-n-rale-des-finances-publiques-dgfip-msq5rgy4cql9o0l7cus?ref=klaerenn.fr)

¹⁹ Google Security Blog, « Protecting Cookies with Device Bound Session Credentials », mai 2026 : disponibilité générale sur Chrome 146 pour Windows, extension à macOS annoncée. Sur le choix de la couche HTTP après l'échec du Token Binding à la couche TLS, voir Corbado, « Device Bound Session Credentials (DBSC) explained », décembre 2025 (source commerciale). [https://blog.google/security/protecting-cookies-with-device-bound-session-credentials/](https://blog.google/security/protecting-cookies-with-device-bound-session-credentials/?ref=klaerenn.fr) · [https://www.corbado.com/blog/device-bound-session-credentials-dbsc](https://www.corbado.com/blog/device-bound-session-credentials-dbsc?ref=klaerenn.fr)

²⁰ XenoSpectrum, « Account Takeover Without Breaking Two-Factor Authentication: The Session-Theft Loophole Chrome Just Closed », août 2026\. Source secondaire (presse spécialisée) sur Token Protection dans Entra ID et sur le SSO lié à l'appareil d'Okta, en accès anticipé en août 2026\. [https://xenospectrum.com/en/chrome-dbsc-cookie-theft-tpm/](https://xenospectrum.com/en/chrome-dbsc-cookie-theft-tpm/?ref=klaerenn.fr)