Microsoft 365 est devenu le cœur numérique de nombreuses PME : messagerie, fichiers, Teams, agenda. C’est aussi une cible privilégiée : un seul compte compromis donne accès aux e-mails, aux documents partagés et permet de lancer des fraudes au virement crédibles depuis une vraie adresse de l’entreprise. L’ANSSI signale d’ailleurs une recrudescence des compromissions de services cloud.
La plateforme dispose d’outils de sécurité puissants, mais beaucoup ne sont pas activés par défaut, ou mal configurés. Voici les 15 réglages essentiels, classés par priorité, applicables à un tenant de PME.
L’essentiel en 30 secondes
- Priorité 1 : MFA pour tous et blocage de l’authentification héritée.
- Priorité 2 : comptes administrateurs séparés, protégés par une méthode résistante au phishing.
- Priorité 3 : interdire les transferts automatiques externes et encadrer les partages.
- Toujours : journal d’audit activé, DMARC et une sauvegarde indépendante.
Identités et authentification
1. La MFA pour tous les comptes
Activez les « valeurs de sécurité par défaut » (security defaults) si vous n’avez pas de licence permettant l’accès conditionnel : elles imposent la MFA et bloquent l’authentification héritée. Avec l’accès conditionnel, créez une politique équivalente, plus fine.
2. Bloquer l’authentification héritée
Les anciens protocoles (POP, IMAP, SMTP avec authentification basique) ne gèrent pas la MFA et sont massivement utilisés pour les attaques par pulvérisation de mots de passe. Bloquez-les et identifiez auparavant les appareils qui en dépendent (imprimantes multifonctions qui envoient des scans par e-mail, par exemple).
3. Des comptes administrateurs dédiés
Les droits d’administration global ne doivent pas être portés par le compte qui lit les e-mails au quotidien. Créez des comptes d’administration séparés, sans boîte aux lettres, limités à deux ou trois personnes, avec une méthode d’authentification résistante au phishing (clé FIDO2, passkey).
4. Le compte de secours (« break glass »)
Un compte d’urgence, exclu de certaines politiques pour éviter de s’enfermer dehors, avec un mot de passe très long conservé hors ligne et une alerte à chaque utilisation.
5. Le moindre privilège
Utilisez les rôles spécifiques (administrateur Exchange, administrateur utilisateur, support) plutôt que l’administration globale.
6. L’accès conditionnel
Selon la licence : bloquer les connexions depuis des pays où vous n’avez aucune activité, exiger un appareil conforme pour l’accès aux données sensibles, renforcer l’authentification pour les connexions à risque.
Messagerie
7. Interdire les transferts automatiques externes
Un attaquant qui compromet une boîte crée souvent une règle qui transfère discrètement les e-mails vers l’extérieur. Bloquez les transferts externes automatiques par défaut, et autorisez les exceptions au cas par cas.
8. Les politiques anti-hameçonnage et anti-programmes malveillants
Activez la protection contre l’usurpation d’identité des dirigeants et de vos domaines, les avertissements pour les expéditeurs externes et la vérification des liens et des pièces jointes selon votre niveau de licence.
9. SPF, DKIM, DMARC
Activez la signature DKIM pour votre domaine et publiez une politique DMARC, d’abord en observation, puis en quarantaine ou rejet. Voir notre guide détaillé SPF, DKIM et DMARC.
10. Le signalement des messages suspects
Déployez le bouton de signalement dans Outlook et traitez les signalements : c’est un capteur précieux.
Données et partage
11. Encadrer le partage externe
Dans SharePoint et OneDrive, limitez les liens « tout le monde » (anonymes), imposez une expiration aux liens externes, et restreignez le partage aux domaines partenaires si possible.
12. Les consentements d’applications
Empêchez les utilisateurs d’autoriser seuls des applications tierces à accéder à leurs données : les attaques par « consentement illicite » contournent la MFA en obtenant un jeton d’accès durable.
Surveillance et résilience
13. Le journal d’audit unifié
Vérifiez qu’il est activé. Sans lui, impossible de reconstituer ce qu’un attaquant a fait. Surveillez notamment la création de règles de boîte aux lettres, les connexions inhabituelles et les modifications de droits.
14. Les alertes
Configurez les alertes sur les événements critiques (élévation de privilèges, connexions à risque, règles de transfert, téléchargements massifs) et assurez-vous qu’elles arrivent dans une boîte lue.
15. Une sauvegarde indépendante
Microsoft assure la disponibilité du service et des rétentions limitées, pas une sauvegarde au sens strict. Une solution tierce de sauvegarde des boîtes, de OneDrive, SharePoint et Teams protège contre la suppression, le chiffrement ou l’erreur.
Tableau de priorisation
| Priorité | Réglages | Délai conseillé |
|---|---|---|
| Critique | 1, 2, 3, 7 | Cette semaine |
| Haute | 4, 5, 8, 9, 13 | Ce mois-ci |
| Moyenne | 6, 10, 11, 12, 14, 15 | Ce trimestre |
Vérifier son niveau
Le Secure Score de Microsoft donne un indicateur et des recommandations. Ne cherchez pas le score maximal à tout prix : certaines recommandations ne sont pas adaptées à une petite structure. Utilisez-le comme une liste de contrôle, en priorisant selon les risques réels.
Questions fréquentes
Les valeurs de sécurité par défaut suffisent-elles ?
Pour une très petite structure sans licence avancée, elles constituent une excellente base. Dès que l’on a besoin d’exceptions ou de règles fines, l’accès conditionnel est préférable.
Que faire si une boîte est compromise ?
Réinitialisez le mot de passe, révoquez les sessions, vérifiez et supprimez les règles de transfert, les applications autorisées et les méthodes MFA ajoutées, analysez le journal d’audit et prévenez les contacts ciblés.
Le blocage de l’authentification héritée va-t-il casser des choses ?
Parfois : anciens clients de messagerie, scanners, applications métier. D’où l’importance d’un inventaire préalable et de solutions alternatives (SMTP authentifié moderne, relais dédié).
Faut-il une licence plus élevée pour être bien protégé ?
Les réglages essentiels sont disponibles dès les licences de base. Les licences supérieures ajoutent l’accès conditionnel, la gestion des appareils et une protection avancée, utiles dès quelques postes.
Pouvez-vous auditer notre tenant ?
Oui, l’audit de la configuration Microsoft 365 fait partie de nos audits de cybersécurité.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
