SP 800-63B-4 demande aux applications évaluées AAL2 de proposer une option d’authentification résistante au phishing. C’est un point sur la norme, pas l’annonce d’une règle parue aujourd’hui ni une obligation légale automatique pour chaque service privé.
Un code à usage unique peut être relayé depuis une fausse page. Demandez quelle méthode précise résiste au phishing et si votre type de compte y a accès. La mention « double facteur » ne suffit pas.
La récupération compte aussi : une connexion forte perd son intérêt si la perte du téléphone ouvre une procédure faible. Vérifiez plusieurs authentificateurs, la révocation d’un appareil perdu et l’historique du compte.
Consignez méthode, compatibilité, récupération et règles administratives séparément. Les niveaux NIST ont un périmètre défini ; ils aident à comparer sans constituer un label juridique universel pour les applications grand public.