Sécuriser Microsoft 365 : comptes, MFA et accès.

Avant de changer un réglage, dressez la liste de ce qui se connecte à votre environnement Microsoft 365 : utilisateurs, administrateurs, prestataires, invités, applications et appareils. Une règle de sécurité bien choisie peut bloquer une application indispensable ou un collaborateur en déplacement si l’inventaire les a oubliés.

Comptez ensuite les administrateurs généraux. Microsoft recommande d’attribuer ce rôle à moins de cinq personnes et de limiter les attributions de rôles privilégiés à moins de dix. Ce rôle permet en effet de lire et de modifier presque tous les paramètres de l’organisation. Vérifiez qui détient ce rôle aujourd’hui, et pourquoi.

Repérez enfin deux cas qui poseront problème plus loin. Le premier : les comptes utilisateur dont se sert un script ou une application. Le second : les appareils ou logiciels qui se connectent avec un simple identifiant et un mot de passe, comme un copieur qui envoie des e-mails. Notez les arrivées et les départs récents, sans supprimer un accès dont le rôle n’est pas encore établi. Pour un départ, l’article Teams, SharePoint, OneDrive : où ranger quoi ? explique ce que deviennent les fichiers d’un compte supprimé.

• Nommer le responsable de chaque compte administrateur
• Vérifier les accès des prestataires, des invités et des anciens collaborateurs
• Lister les applications, les scripts et les appareils qui se connectent
• Séparer les comptes d’administration des comptes de travail quotidien

L’authentification multifacteur, ou MFA, ajoute au mot de passe une seconde preuve d’identité, par exemple une validation dans une application sur le téléphone. Microsoft l’impose désormais sur ses portails d’administration, quels que soient les réglages de votre locataire. Selon la page de Microsoft consacrée à la MFA obligatoire, l’application se fait en deux phases, déployées progressivement selon les locataires.

Tous les comptes qui se connectent à ces services sont concernés, y compris les comptes d’accès d’urgence. Microsoft recommande de les équiper d’une clé d’accès FIDO2 ou d’une authentification par certificat. Les comptes utilisateur qui servent à des scripts ou à des automatisations doivent aussi passer la MFA. Microsoft recommande de les remplacer par des identités de charge de travail, comme les identités managées, qui ne sont pas soumises à cette obligation.

Pour une PME, la question n’est donc plus de savoir si les administrateurs utiliseront la MFA, mais avec quelle méthode. Vérifiez aussi avec votre responsable IT qu’aucun script ne dépend encore d’un compte utilisateur protégé par un simple mot de passe.

Microsoft Authenticator convient à la plupart des utilisateurs. Pour les administrateurs, visez une méthode résistante au hameçonnage. Avec les paramètres de sécurité par défaut, les utilisateurs s’inscrivent avec Authenticator en mode notification et saisissent le numéro affiché à l’écran, ce qui évite de valider une demande par lassitude. Une application tierce qui génère des codes OATH TOTP est aussi acceptée.

Microsoft recommande de ne plus utiliser le SMS ni l’appel vocal pour la MFA, au profit de méthodes modernes comme Authenticator. Les codes et les notifications restent toutefois exposés. Selon la présentation des méthodes d’authentification de Microsoft, ces options sont sujettes à l’hameçonnage à distance : l’attaquant obtient un mot de passe ou un code ponctuel sans toucher à l’appareil de l’utilisateur.

Les méthodes résistantes au hameçonnage exigent une interaction directe entre la méthode et l’interface de connexion. Dans sa présentation des méthodes d’authentification, Microsoft cite Windows Hello Entreprise, les clés d’accès FIDO2, y compris celles enregistrées dans Microsoft Authenticator, les clés de sécurité FIDO2 et l’authentification par certificat. Avec Entra ID P1, une stratégie d’accès conditionnel peut les exiger pour les rôles d’administration : Microsoft place cette règle dans la première phase de son plan de déploiement.

Le chiffre le plus souvent cité vient de Microsoft. Selon les recherches mentionnées sur sa page consacrée à la MFA obligatoire, la MFA peut bloquer plus de 99,2 % des attaques de compromission de compte. C’est une donnée de l’éditeur, sans méthode détaillée sur cette page. Elle suffit à justifier la MFA pour tous. Le choix de la méthode compte surtout pour les comptes qui ont le plus de pouvoir.

• Utilisateurs : Microsoft Authenticator avec saisie du numéro, ou une clé d’accès dans Authenticator
• Administrateurs : clé d’accès FIDO2, Windows Hello Entreprise ou certificat
• Comptes d’urgence : clé FIDO2 ou certificat, différents des méthodes des autres administrateurs
• SMS et appel vocal : à remplacer, Microsoft recommande de ne plus les utiliser pour la MFA

Sans licence Entra ID P1, activez les paramètres de sécurité par défaut. Avec P1, l’accès conditionnel offre les mêmes protections avec des exceptions et des règles par groupe. Les deux ne se combinent pas : Microsoft indique dans son plan de déploiement de l’accès conditionnel que la création de stratégies d’accès conditionnel empêche d’activer les paramètres par défaut.

Les paramètres de sécurité par défaut sont gratuits et ne se personnalisent pas : on les active ou on les désactive. Ils imposent l’inscription de tous les utilisateurs à la MFA et la MFA à chaque connexion pour seize rôles d’administration. Les autres utilisateurs passent la MFA quand Microsoft l’estime nécessaire, et tous la passent pour gérer Azure.

Ils bloquent aussi l’authentification héritée et le flux de code d’appareil, une méthode de connexion prévue pour les appareils sans clavier et détournée dans des attaques par hameçonnage. Depuis le 29 juillet 2024, les utilisateurs n’ont plus de délai de grâce de 14 jours pour s’inscrire : préparez-les avant d’activer.

L’accès conditionnel applique des règles selon le contexte de connexion : utilisateur, application, appareil ou emplacement IP, jusqu’au pays. Il demande au moins Entra ID P1, inclus dans Microsoft 365 Business Premium. Les stratégies fondées sur le risque de connexion ou d’utilisateur demandent Entra ID P2, avec Microsoft Entra ID Protection. Vérifiez les licences réellement attribuées aux personnes concernées, pas seulement le nom de l’abonnement.

Microsoft crée aussi lui-même des stratégies d’accès conditionnel gérées dans les locataires éligibles, par exemple pour bloquer l’authentification héritée ou exiger une authentification résistante au hameçonnage des administrateurs. Elles arrivent en mode rapport uniquement et sont en général activées au moins 30 jours plus tard, avec un préavis de deux semaines par e-mail et dans le Centre de messages. Microsoft signale dans ces messages les cas où le délai est plus court. Excluez-en vos comptes d’urgence comme de toute autre stratégie.

L’authentification héritée désigne les connexions par des protocoles qui ne prennent pas en charge la MFA, par exemple l’authentification de base, avec un simple identifiant et un mot de passe. Exchange Online l’a déjà supprimée pour POP et IMAP, mais elle reste possible pour l’envoi d’e-mails en SMTP AUTH. Un attaquant qui connaît un mot de passe peut les utiliser pour contourner la MFA. Microsoft recommande de les bloquer. Selon son analyse, plus de 99 % des attaques par pulvérisation de mots de passe et plus de 97 % des attaques par bourrage d’identifiants passent par ces protocoles.

Avant de bloquer, regardez qui s’en sert. Dans le centre d’administration Microsoft Entra, les journaux de connexion se filtrent par application cliente pour afficher les protocoles hérités. Faites la même recherche dans l’onglet des connexions non interactives.

Pensez aux appareils qui envoient des e-mails, comme un copieur multifonction ou un logiciel métier qui utilise l’identifiant et le mot de passe d’une boîte aux lettres. Microsoft indique que l’envoi SMTP avec authentification de base n’est pas compatible avec les paramètres de sécurité par défaut. Les solutions décrites sont l’authentification moderne OAuth, si l’appareil la prend en charge, ou un connecteur de relais SMTP authentifié par certificat TLS ou par adresse IP publique. Microsoft a déjà désactivé SMTP AUTH dans les locataires où il n’était pas utilisé, et a annoncé le retrait de l’authentification de base pour SMTP AUTH dans Exchange Online. Son calendrier a déjà été modifié : consultez la dernière annonce officielle avant de planifier, et vérifiez ce que vos appareils prennent en charge.

Annoncez les changements avant de les appliquer : ce qui change à la connexion, la date, la méthode à inscrire et la personne à appeler en cas de blocage. Les utilisateurs inscrivent leurs méthodes sur la page Informations de sécurité du portail Mon profil (myprofile.microsoft.com).

Testez ensuite sur un groupe pilote qui couvre des situations différentes : bureau, déplacement, applications métier et administration. Pour l’accès conditionnel, chaque nouvelle stratégie peut d’abord passer en mode rapport uniquement : elle est évaluée à chaque connexion sans être appliquée, et le résultat apparaît dans les journaux de connexion. Microsoft conseille de laisser chaque stratégie au moins une semaine dans ce mode avant de l’appliquer, en examinant ces journaux. Il propose un déploiement en trois phases sur environ quatre semaines. D’abord le blocage de l’authentification héritée et la protection des administrateurs, puis la MFA pour tous les utilisateurs et les invités, enfin les règles fondées sur le risque avec P2.

Ne laissez pas de trou entre l’ancien et le nouveau socle. Microsoft demande d’activer les stratégies d’accès conditionnel immédiatement après la désactivation des paramètres par défaut. Préparez donc tout avant le basculement : comptes d’urgence, méthodes inscrites, stratégies rédigées. Activez dans la foulée au moins celles qui reprennent les protections par défaut. Les règles plus fines passent d’abord leur semaine en mode rapport uniquement.

Dans l’autre sens, si vous activez les paramètres par défaut, Microsoft recommande de révoquer les sessions ouvertes pour que chaque utilisateur se reconnecte et s’inscrive. Ce cadrage fait partie de la gestion de Microsoft 365 que nous menons avec vos équipes.

Écrivez la procédure de récupération avant d’en avoir besoin : qui peut la déclencher, comment l’identité du demandeur est vérifiée et quelle trace est conservée. Un message envoyé depuis une adresse inhabituelle ou un appel pressant ne prouvent pas l’identité. C’est précisément ce qu’un attaquant tentera pour obtenir l’accès à un compte.

Le passe d’accès temporaire, ou TAP, est l’outil prévu par Microsoft. C’est un code limité dans le temps qui permet de se connecter et d’inscrire une nouvelle méthode, par exemple Authenticator sur un nouveau téléphone ou une clé FIDO2. La méthode doit être activée dans la stratégie des méthodes d’authentification pour les utilisateurs concernés. Un administrateur d’authentification peut créer un TAP pour un utilisateur. Pour un administrateur, il faut le rôle d’administrateur d’authentification privilégié. Personne ne peut en créer un pour soi-même.

Par défaut, un TAP est valable une heure, et la stratégie peut autoriser de 10 minutes à 30 jours. Activez l’usage unique si chaque code ne doit servir qu’une fois. Seuls les invités internes peuvent en recevoir un : il ne sert pas aux invités externes.

• Vérifier l’identité selon une procédure écrite, par exemple une confirmation par le responsable direct
• Délivrer un TAP de courte durée, à usage unique si possible
• Faire inscrire la nouvelle méthode, puis retirer l’ancienne du compte
• Consigner l’intervention : demandeur, vérification effectuée, administrateur, date

Un compte d’accès d’urgence sert quand plus aucun administrateur ne peut se connecter : stratégie mal configurée, méthodes MFA indisponibles, départ du dernier administrateur général. Microsoft recommande au moins deux comptes, réservés à ces situations et protégés par une méthode résistante au hameçonnage.

Ces comptes ne sont associés à aucune personne en particulier. Leurs identifiants sont rangés dans des lieux séparés et sûrs, accessibles à plusieurs personnes autorisées. Ne gardez pas la procédure uniquement dans un espace qui dépend du compte à récupérer, comme un dossier SharePoint ou une boîte aux lettres du même locataire. Microsoft conseille de les placer dans un groupe dédié, pour les exclure facilement des stratégies. La MFA obligatoire s’applique aussi à eux : un compte d’urgence protégé par un simple mot de passe n’ouvre plus les portails d’administration.

• Au moins deux comptes cloud en .onmicrosoft.com, sans fédération ni synchronisation
• Rôle d’administrateur général attribué de façon permanente, et non éligible dans Privileged Identity Management
• Une clé d’accès FIDO2 ou un certificat, différents des méthodes des autres administrateurs
• Exclus de toutes les stratégies d’accès conditionnel qui bloquent ou restreignent la connexion, y compris celles gérées par Microsoft
• Une alerte à chaque connexion de ces comptes
• Un test de connexion au moins tous les 90 jours

L’exemple suivant est fictif, construit pour illustrer les étapes précédentes. Une fiduciaire de 25 personnes utilise Microsoft 365 Business Premium. L’inventaire révèle trois administrateurs généraux : la directrice, qui a créé l’abonnement, le responsable informatique et le compte d’un ancien prestataire, jamais désactivé. Le copieur envoie les documents scannés par SMTP avec le mot de passe d’une boîte aux lettres.

L’entreprise retire le rôle au compte du prestataire, puis désactive ce compte. Elle crée deux comptes d’urgence avec des clés FIDO2 rangées dans deux lieux différents, et fait passer le copieur par un connecteur de relais SMTP. Elle active ensuite trois stratégies sur un groupe pilote de cinq personnes, puis sur tout le monde : blocage de l’authentification héritée, méthode résistante au hameçonnage pour les administrateurs, MFA pour tous.

Trois semaines plus tard, un commercial perd son téléphone en déplacement. Sa responsable confirme son identité lors d’un appel vidéo, puis le responsable informatique lui délivre un TAP d’une heure à usage unique. Le commercial inscrit Authenticator sur son nouveau téléphone, l’ancien appareil est retiré de son compte et l’intervention est consignée.

Sans cette préparation, le compte du prestataire serait resté une porte d’entrée vers tout le locataire. Le copieur aurait cessé d’envoyer des e-mails le jour du blocage, et la perte du téléphone aurait été réglée par une réinitialisation décidée au téléphone, sans vérification.

Réunissez l’inventaire des accès, les licences et les procédures existantes, puis décidez des réglages, des responsabilités et du calendrier. Si l’état de vos comptes est mal connu, préparer un audit informatique ou demander un audit IT donne une base de départ.

• Combien d’administrateurs généraux avons-nous, et qui les utilise ?
• Les comptes d’urgence existent-ils, et quand ont-ils été testés ?
• Quelles applications ou quels appareils utilisent encore l’authentification héritée ?
• Les licences couvrent-elles l’accès conditionnel, et pour quels utilisateurs ?
• Qui peut délivrer un TAP, et selon quelle procédure ?
• Comment les utilisateurs seront-ils prévenus et aidés le jour du changement ?