MFA et accès conditionnel Microsoft 365 : le guide pour une PME

L'authentification multifacteur demande, en plus du mot de passe, une deuxième preuve d'identité (une notification sur le téléphone, une clé de sécurité). L'accès conditionnel décide quand cette preuve est exigée et qui peut se connecter, depuis quel appareil et dans quelles conditions. Dans Microsoft 365, une PME commence par l'authentification multifacteur pour tous, le blocage des anciens protocoles de connexion et deux comptes d'urgence, puis affine avec l'accès conditionnel si sa licence le permet.

Un mot de passe volé suffit aujourd'hui à prendre le contrôle d'une messagerie. Voici comment fermer cette porte sans bloquer vos équipes.

Authentification multifacteur et accès conditionnel : de quoi parle-t-on ?

L'authentification multifacteur (souvent appelée MFA) ajoute une vérification au mot de passe : une validation dans l'application Microsoft Authenticator, une clé de sécurité physique ou une clé d'accès enregistrée sur l'appareil. Un escroc qui a récupéré un mot de passe par un faux écran de connexion ne peut plus se connecter avec lui seul.

L'accès conditionnel est le moteur de règles de Microsoft Entra ID, l'annuaire qui gère les comptes de Microsoft 365. Chaque règle dit : pour tels utilisateurs, telles applications et telles conditions (lieu, appareil, niveau de risque), exiger la double vérification, imposer un appareil géré ou bloquer l'accès.

Selon Microsoft, plus de 99,9 % des attaques liées à l'identité, comme la pulvérisation de mots de passe, le rejeu ou l'hameçonnage, sont arrêtées par l'authentification multifacteur et le blocage de l'authentification héritée.

Paramètres de sécurité par défaut ou accès conditionnel : que choisir ?

Microsoft propose deux façons de protéger les connexions.

Les paramètres de sécurité par défaut : un réglage unique, sans coût supplémentaire et sans licence particulière. Ils imposent l'inscription de tous les utilisateurs à l'authentification multifacteur, l'exigent pour les administrateurs et bloquent les anciens protocoles de connexion. Ils s'activent ou se désactivent, sans aucune personnalisation.
L'accès conditionnel : des règles que vous écrivez vous-même, avec des exceptions, des groupes pilotes et des conditions sur l'appareil ou le lieu. Il demande au moins une licence Microsoft Entra ID P1, comprise notamment dans Microsoft 365 Business Premium.

Les deux ne se cumulent pas : pour passer à l'accès conditionnel, il faut désactiver les paramètres par défaut, puis activer aussitôt des règles qui assurent au moins la même protection. Une PME sans licence adaptée garde les paramètres par défaut ; une PME équipée de Microsoft 365 Business Premium a tout intérêt à passer à l'accès conditionnel, qui permet de traiter les exceptions sans tout désactiver.

Les premières règles à mettre en place

Microsoft crée lui-même des règles d'accès conditionnel dans les environnements éligibles, d'abord en mode « rapport uniquement » : elles n'agissent pas, elles notent ce qu'elles auraient fait. Si vous les laissez dans cet état, Microsoft les active au plus tôt 30 jours après leur arrivée, et prévient par courriel et dans le centre de messages deux semaines avant. Mieux vaut les relire et décider vous-même.

Les règles à poser en premier sont les mêmes pour la plupart des PME :

Bloquer l'authentification héritée, ces anciens protocoles de messagerie qui ne savent pas demander de deuxième vérification.
Exiger l'authentification multifacteur pour les administrateurs, sur les portails d'administration de Microsoft.
Exiger l'authentification multifacteur pour tous les utilisateurs.
Bloquer le flux de code d'appareil, une méthode de connexion détournée dans certaines campagnes d'hameçonnage, si vous ne l'utilisez pas.

Viennent ensuite les règles plus fines : imposer un appareil géré pour accéder aux données de l'entreprise, limiter les connexions depuis certains pays, ou demander une méthode résistante à l'hameçonnage (clé de sécurité, clé d'accès) aux administrateurs.

Les comptes d'accès d'urgence

Une règle mal écrite peut bloquer tout le monde, administrateurs compris. Microsoft recommande donc de garder au moins deux comptes d'accès d'urgence :

des comptes créés directement dans Microsoft 365 (adresse en .onmicrosoft.com), sans lien avec un annuaire local ;
exclus des règles d'accès conditionnel qui bloquent ou limitent la connexion ;
protégés par une authentification forte, de préférence une clé d'accès FIDO2, différente de celle des autres administrateurs ;
surveillés : chaque connexion à l'un de ces comptes doit déclencher une alerte ;
testés au moins tous les 90 jours.

Leurs identifiants se rangent à part, dans un endroit sûr, et leur existence est connue de la direction, pas seulement du prestataire.

Déployer sans bloquer vos équipes

Faites l'inventaire : comptes administrateurs, comptes partagés, imprimantes et applications qui envoient des courriels, anciens logiciels de messagerie.
Demandez à chacun d'enregistrer sa méthode de vérification avant l'activation, et prévenez les équipes de ce qui va changer.
Laissez chaque nouvelle règle quelques jours en mode « rapport uniquement » et lisez les journaux de connexion : ils montrent qui aurait été bloqué.
Activez d'abord sur un groupe pilote, puis sur toute l'entreprise.
Prévoyez la perte de téléphone : qui réinitialise la méthode d'un salarié, et comment il prouve son identité.

Les erreurs fréquentes

Activer une règle de blocage pour tous sans avoir exclu les comptes d'urgence.
Laisser les comptes partagés ou de service sans protection, parce qu'ils « posent problème ».
Garder l'authentification héritée ouverte pour un vieux logiciel, ce qui laisse une porte sans double vérification.
Se contenter de codes par SMS pour les administrateurs, alors que des méthodes résistantes à l'hameçonnage existent.
Laisser les règles créées par Microsoft s'activer seules, sans les avoir relues.
Ne jamais relire les journaux de connexion une fois la mise en place terminée.

Comment IT Systèmes vous accompagne

Nous sécurisons les environnements Microsoft 365 des PME et des ETI : authentification multifacteur, règles d'accès conditionnel, comptes d'urgence, blocage des anciens protocoles et surveillance des connexions. Notre article sur la fraude à la fausse facture montre ce qui se passe quand une messagerie n'est pas protégée.

Pour un premier point, notre Diag cyber (forfait de 1 000 €) fait l'état des lieux de votre exposition, sans remplacer un audit de sécurité complet ; si vous souscrivez ensuite à notre infogérance, ces 1 000 € vous sont remboursés. Dans l'infogérance, un audit de sécurité et un audit Microsoft 365 sont réalisés une fois par an, sans supplément.

Pour en parler : notre page prestataire en sécurité informatique.

Frequently asked questions

L'authentification multifacteur est-elle gratuite dans Microsoft 365 ?

Oui, avec les paramètres de sécurité par défaut, sans licence particulière. L'accès conditionnel, qui permet des règles personnalisées, demande au moins une licence Microsoft Entra ID P1, comprise notamment dans Microsoft 365 Business Premium.

Peut-on garder les paramètres de sécurité par défaut et l'accès conditionnel en même temps ?

Non. Il faut désactiver les paramètres par défaut pour utiliser l'accès conditionnel, puis activer aussitôt des règles qui protègent au moins autant.

À quoi sert un compte d'accès d'urgence ?

À reprendre la main si une règle d'accès conditionnel bloque tous les administrateurs. Microsoft recommande d'en garder au moins deux, exclus des règles de blocage, protégés par une authentification forte et surveillés.

Que se passe-t-il si un salarié perd son téléphone ?

Un administrateur réinitialise sa méthode de vérification après avoir vérifié son identité, et le salarié en enregistre une nouvelle. Cette procédure se prévoit avant l'activation.