Ouvrez la console d'administration de votre Microsoft 365 et posez-vous une question simple : si demain un seul de ces comptes tombait entre de mauvaises mains, que pourrait-il atteindre ? Pour la plupart des PME, la réponse est vertigineuse. La messagerie, les fichiers partagés, les échanges avec les clients, parfois la comptabilité et les identités de toute l'entreprise sont regroupés au même endroit. Microsoft 365 est devenu le système nerveux numérique de l'organisation, et c'est précisément ce qui en fait une cible de choix.
Le problème n'est plus vraiment technique. Aujourd'hui, un attaquant ne « force » plus grand-chose : il se connecte. Un mot de passe réutilisé, un e-mail de phishing bien tourné, un ancien protocole oublié, et le voilà à l'intérieur avec les mêmes droits que votre collaborateur. Or, la configuration par défaut d'un tenant Microsoft 365 privilégie la facilité de mise en route, pas la sécurité maximale. Plusieurs portes restent entrouvertes tant que personne ne les ferme volontairement.
La bonne nouvelle : durcir Microsoft 365 ne demande ni budget conséquent ni équipe dédiée. La plupart des réglages ci-dessous se pilotent depuis les consoles d'administration Microsoft, en une après-midi de travail méthodique. Voici la checklist essentielle, expliquée sans jargon, avec pour chaque point l'intention derrière le réglage. L'ensemble se transpose presque à l'identique sur Google Workspace, dont la logique de sécurité est très proche.
Verrouiller les identités : MFA partout, passkeys en priorité
La première ligne de défense n'est pas un pare-feu, c'est l'authentification. Un mot de passe seul ne protège plus rien : il finit tôt ou tard dans une fuite de données ou au bout d'un hameçonnage. L'authentification multifacteur (MFA) ajoute une seconde preuve d'identité et bloque l'écrasante majorité des connexions frauduleuses.
- Activez la MFA pour tous les comptes, sans exception, y compris les comptes de service et les boîtes partagées quand c'est possible.
- Traitez les comptes d'administration en priorité absolue : ce sont eux qui ouvrent tout le reste.
- Privilégiez les passkeys (FIDO2/WebAuthn) ou une application d'authentification, plutôt que le code par SMS. Les passkeys sont résistantes au phishing par conception : elles ne peuvent pas être rejouées sur un faux site.
- Évitez autant que possible la validation par SMS, contournable par interception ou par échange de carte SIM.
Concrètement, dans une PME de quinze personnes, cela revient à équiper chaque collaborateur de l'application Microsoft Authenticator, et à remettre une clé de sécurité physique ou une passkey aux deux ou trois comptes administrateurs.
Couper l'authentification héritée
C'est le point le plus souvent négligé, et l'un des plus dangereux. Les anciens protocoles (POP, IMAP, SMTP AUTH, EWS historique) ne savent pas présenter de second facteur : ils contournent purement et simplement votre MFA. Tant qu'ils restent actifs, un attaquant peut tenter de se connecter avec un mot de passe volé sans jamais rencontrer votre second facteur.
- Consultez les journaux de connexion (Microsoft Entra) pour repérer quels comptes utilisent encore ces protocoles.
- Désactivez l'authentification héritée, via les paramètres de sécurité par défaut ou une règle d'accès conditionnel dédiée.
- Vérifiez au préalable qu'aucune application métier ou photocopieur multifonction n'en dépend, puis migrez-les vers une authentification moderne.
Accès conditionnel et comptes d'administration dédiés
L'accès conditionnel permet de décider dans quelles conditions une connexion est autorisée : depuis quel pays, quel type d'appareil, avec quel niveau de risque. C'est le cœur d'une approche Zero Trust accessible aux PME.
- Bloquez ou renforcez les connexions venant de zones géographiques où vous n'avez aucune activité.
- Exigez un appareil conforme ou une MFA renforcée pour accéder aux données sensibles.
- Créez des comptes d'administration dédiés, distincts des comptes de travail quotidiens. Un administrateur ne consulte jamais ses e-mails ni ne navigue sur le web avec son compte à privilèges.
- Appliquez le moindre privilège : n'attribuez les rôles élevés que lorsqu'ils sont nécessaires, et activez leur élévation à la demande quand votre licence le permet.
Dans les faits, le dirigeant qui cumule « compte de tous les jours » et « super-administrateur » est le scénario à éliminer en priorité : un seul clic malheureux compromettrait alors l'ensemble du tenant.
Journalisation, anti-phishing et maîtrise du partage
On ne défend bien que ce que l'on voit. Sans journalisation, une intrusion peut passer des semaines inaperçue, et l'enquête après incident devient impossible.
- Activez l'audit et la journalisation unifiée : ils tracent les connexions, les envois de courrier et les accès aux fichiers.
- Renforcez les politiques anti-hameçonnage et anti-usurpation de Microsoft Defender, et publiez vos enregistrements SPF, DKIM et DMARC pour que vos partenaires puissent détecter les e-mails qui usurpent votre domaine.
- Reprenez la main sur le partage externe SharePoint et OneDrive : évitez les liens « accessibles à tous », préférez le partage nominatif avec date d'expiration.
- Surveillez les applications tierces connectées via OAuth. Un salarié peut autoriser en un clic une application externe à lire toute sa boîte : c'est une forme de Shadow IT qui échappe souvent au dirigeant. Encadrez le consentement aux applications.
Votre plan d'action
Une checklist à dérouler dans l'ordre, du plus urgent au plus fin :
- Activer la MFA sur tous les comptes, en commençant par les administrateurs.
- Déployer des passkeys ou des clés de sécurité pour les comptes à privilèges.
- Désactiver l'authentification héritée, après vérification des dépendances.
- Créer des comptes d'administration dédiés et retirer les privilèges des comptes quotidiens.
- Mettre en place au moins une règle d'accès conditionnel (géographie, appareil, risque).
- Activer l'audit et la journalisation unifiée du tenant.
- Configurer SPF, DKIM, DMARC et renforcer les politiques anti-hameçonnage.
- Restreindre le partage externe et encadrer le consentement aux applications OAuth.
Ces huit points couvrent l'essentiel des chemins d'attaque réellement empruntés contre les PME. Ils s'appliquent tels quels à Google Workspace, où les mêmes réglages existent sous d'autres noms.
Comment Sedona peut aider
Durcir Microsoft 365 se joue à l'intérieur de votre tenant, mais une partie de votre exposition reste visible depuis Internet : enregistrements SPF, DKIM et DMARC absents ou mal configurés, services de messagerie exposés, sous-domaines oubliés. Sedona Radar cartographie cette surface d'attaque externe et vous en livre un état clair, assorti d'un score de conformité indicatif pour situer vos priorités, sans prétendre certifier quoi que ce soit. Pour la configuration interne ou pour sensibiliser vos équipes, notre audit de surface, nos simulations d'hameçonnage et nos formations (via partenaire Qualiopi) prennent le relais. Commencez par un scan gratuit, explorez nos ressources ou parlons-en.
