Un tenant Microsoft 365 livré par défaut n’est pas un tenant sécurisé : il est configuré pour que tout fonctionne tout de suite, pas pour résister à un attaquant qui dispose déjà d’un mot de passe volé. Voici les dix réglages qui font réellement la différence dans une PME, dans l’ordre où il faut les appliquer, en commençant par ceux qui ne coûtent rien.
Ce guide suppose que vous disposez d’un rôle Administrateur général et d’une licence Microsoft 365 Business Premium ou équivalente. Certains réglages existent aussi en Business Standard ; ils sont signalés au fil du texte. Comptez une demi-journée pour l’ensemble, hors phase de communication aux utilisateurs.
Avant de commencer : les trois consoles à connaître
Les réglages de sécurité Microsoft 365 sont répartis entre trois interfaces, et c’est la première cause d’abandon. Le centre d’administration Microsoft Entra (entra.microsoft.com) gère les identités, l’authentification multifacteur et l’accès conditionnel. Le portail Microsoft Defender (security.microsoft.com) gère la messagerie, l’anti-hameçonnage et les alertes. Le centre d’administration Microsoft 365 (admin.microsoft.com) gère les utilisateurs, les licences et le partage SharePoint.
Ouvrez les trois dans des onglets séparés avant de commencer. Activez également l’audit unifié si ce n’est pas déjà fait : sans journal, aucun des réglages qui suivent ne sera vérifiable après un incident.
Étapes 1 à 3 : verrouiller l’identité
Étape 1 : imposer l’authentification multifacteur à 100 % des comptes
C’est le seul réglage qui bloque à lui seul la majorité des compromissions de comptes. Dans Entra, activez les paramètres de sécurité par défaut si vous n’avez pas de licence Premium, ou une stratégie d’accès conditionnel « MFA pour tous les utilisateurs » si vous en avez une. Le piège classique : les comptes de service et les boîtes partagées oubliés dans une exclusion temporaire qui devient permanente. Faites la liste des exclusions, datez-les, et supprimez-les à échéance.
Privilégiez l’application Microsoft Authenticator avec correspondance de numéro plutôt que le SMS, vulnérable au détournement de carte SIM. Si vous partez de zéro sur ce sujet, notre guide de déploiement du MFA en PME détaille l’ordre de déploiement et les pièges de communication.
Étape 2 : bloquer l’authentification héritée
Les protocoles anciens — POP3, IMAP, SMTP AUTH, Exchange ActiveSync historique — ne savent pas présenter un second facteur. Tant qu’ils restent ouverts, votre MFA est contournable : l’attaquant se connecte simplement par un canal qui ne le demande pas. Dans Entra, créez une stratégie d’accès conditionnel qui bloque les clients d’authentification hérités.
Avant de basculer, consultez les journaux de connexion filtrés sur « Client legacy authentication » pendant sept jours pour identifier les applications encore concernées : photocopieurs multifonctions qui scannent vers la messagerie, vieux logiciels métier, sondes de supervision. Traitez-les un par un avant le blocage général.
Étape 3 : réduire et isoler les comptes administrateurs
Un tenant de PME n’a pas besoin de cinq administrateurs généraux. Descendez à deux, plus un compte de secours « bris de glace » non nominatif, exclu de l’accès conditionnel mais doté d’un mot de passe long stocké hors ligne. Les administrateurs nominatifs doivent utiliser un compte séparé de leur compte de messagerie quotidien : un administrateur qui lit ses courriels avec des droits d’administration transforme un hameçonnage réussi en prise de contrôle du tenant.
Étapes 4 à 6 : couper les chemins d’attaque dans la messagerie
Étape 4 : supprimer le consentement libre aux applications tierces
Par défaut, un utilisateur peut autoriser une application externe à lire ses courriels et ses fichiers, sans validation. C’est le vecteur du hameçonnage par consentement OAuth : la victime ne donne pas son mot de passe, elle donne un jeton d’accès permanent, que le changement de mot de passe ne révoque pas. Dans Entra, passez le consentement utilisateur sur « Ne pas autoriser » ou limitez-le aux éditeurs vérifiés, et activez le flux de demande d’approbation pour ne pas bloquer le travail.
Étape 5 : durcir l’anti-hameçonnage et le marquage externe
Dans Defender, créez une stratégie anti-hameçonnage qui protège explicitement les utilisateurs à haut risque — dirigeants, comptabilité, ressources humaines — contre l’usurpation de leur nom d’affichage. Activez l’avertissement d’expéditeur externe sur tous les messages entrants : une simple bannière « message externe » réduit le taux de clic sur les fausses demandes de virement. Vérifiez au passage que vos enregistrements SPF, DKIM et DMARC sont publiés, DMARC au minimum en mode quarantine.
Étape 6 : bloquer les règles de transfert automatique vers l’extérieur
Le premier geste d’un attaquant qui prend une boîte aux lettres est de créer une règle qui transfère silencieusement le courrier vers une adresse externe, puis d’attendre une facture. Exchange Online bloque désormais ce comportement par défaut sur les nouveaux tenants, mais les tenants créés il y a plusieurs années gardent souvent l’ancien réglage. Vérifiez la stratégie de filtrage du courrier sortant dans Defender, et lancez un audit des règles de boîte aux lettres existantes.
Étapes 7 à 8 : reprendre le contrôle du partage de fichiers
Étape 7 : encadrer le partage SharePoint et OneDrive
Le réglage par défaut autorise les liens « toute personne disposant du lien », c’est-à-dire des documents accessibles sans authentification à quiconque récupère l’URL. Dans le centre d’administration SharePoint, passez le partage externe sur « Nouveaux invités et invités existants », et faites du lien « Personnes de votre organisation » le type par défaut. Ajoutez une expiration automatique des liens invités à 30 jours.
Étape 8 : activer et conserver les journaux d’audit
La recherche d’audit unifiée est activée par défaut sur les tenants récents, mais la durée de conservation dépend de la licence : 90 jours en E3 ou Business Premium, un an en E5 ou avec un module complémentaire. Après un incident, 90 jours suffisent rarement à reconstituer le point d’entrée. Si vos données valent une enquête, exportez les journaux vers un stockage externe, ou faites-les collecter en continu.
Étapes 9 à 10 : appareils et supervision
Étape 9 : conditionner l’accès à l’état de l’appareil
Avec Business Premium, Intune vous permet d’exiger un appareil conforme ou joint à Entra pour accéder aux données. Commencez par le périmètre le plus sensible — direction, finance, administrateurs — plutôt que par un déploiement global qui générera des tickets. Une règle simple et bien comprise appliquée à quinze personnes vaut mieux qu’une règle parfaite désactivée au bout d’une semaine.
Étape 10 : transformer les alertes en surveillance réelle
Les neuf réglages précédents produisent des signaux : connexions impossibles, consentements refusés, règles de transfert créées, appareils non conformes. Sans personne pour les lire, ces alertes s’accumulent dans un portail que plus personne n’ouvre après trois semaines. Définissez au minimum deux alertes envoyées par courriel à une boîte relevée quotidiennement : élévation de privilèges administrateur, et création de règle de transfert externe.
Si personne dans l’équipe ne peut traiter ces signaux en dehors des heures de bureau, c’est exactement la fonction d’une surveillance externalisée : découvrez notre SOC managé 24/7 pour PME et ETI.
Pour aller plus loin sur un vecteur d’attaque qui contourne précisément le MFA classique, lisez notre analyse du hameçonnage par code d’appareil sur Microsoft 365.
Ce qu’il faut retenir
- Le MFA généralisé et le blocage de l’authentification héritée vont ensemble : l’un sans l’autre laisse la porte ouverte.
- Le consentement OAuth libre permet un vol de données sans jamais voler de mot de passe.
- Les règles de transfert automatique sont le signal le plus fiable d’une boîte compromise.
- La conservation d’audit par défaut (90 jours) est souvent trop courte pour une enquête.
- Un réglage qui produit des alertes que personne ne lit n’est pas un contrôle de sécurité.
Sources
- Microsoft Learn — Paramètres de sécurité par défaut dans Microsoft Entra ID
- Microsoft Learn — Bloquer l’authentification héritée avec l’accès conditionnel
- Microsoft Learn — Stratégies de conservation des journaux d’audit
- CISA — SCuBA, lignes de base de configuration sécurisée Microsoft 365
- ANSSI — Recommandations sur l’authentification multifacteur