Sécuriser Microsoft 365 : les 10 réglages à vérifier en priorité

Microsoft 365 est devenu le cœur de la Digital Workplace : messagerie, documents, réunions, échanges avec les partenaires. C'est aussi la première cible des attaquants, car un seul compte compromis donne accès à des années d'e-mails et de fichiers. Bonne nouvelle : une grande partie des risques se réduit avec des réglages déjà disponibles dans votre tenant. Voici les dix réglages à vérifier en priorité.

1. L'authentification multifacteur pour tous les comptes

C'est la mesure la plus efficace contre le vol de mots de passe. Activez-la pour tous les utilisateurs, sans exception, et privilégiez les méthodes résistantes à l'hameçonnage (clés FIDO2, passkeys, Windows Hello Entreprise) pour les administrateurs. Les SMS restent préférables à l'absence de MFA, mais ce sont les facteurs les plus faibles.

2. Les paramètres de sécurité par défaut ou l'accès conditionnel

Si votre tenant ne dispose pas de licences Entra ID P1, activez les paramètres de sécurité par défaut : ils imposent la MFA et bloquent l'authentification héritée. Avec Entra ID P1 ou P2, remplacez-les par des stratégies d'accès conditionnel, plus fines : exigence de MFA selon le contexte, blocage de pays où vous n'opérez pas, accès réservé aux appareils conformes pour les données sensibles.

3. Le blocage de l'authentification héritée

L'authentification héritée (identifiant et mot de passe envoyés tels quels, sans authentification moderne) ne supporte pas la MFA et reste massivement utilisée pour les attaques par pulvérisation de mots de passe. Microsoft l'a déjà désactivée dans Exchange Online pour POP, IMAP, ActiveSync et EWS ; la dernière exception, l'envoi SMTP authentifié (SMTP AUTH), est en cours de retrait. Bloquez l'authentification héritée au niveau d'Entra ID (paramètres de sécurité par défaut ou accès conditionnel), identifiez les imprimantes et applications qui utilisent encore SMTP AUTH, et désactivez POP, IMAP et SMTP AUTH sur les boîtes qui n'en ont pas besoin.

4. Des comptes administrateurs séparés et limités

Un administrateur ne lit pas ses e-mails avec son compte d'administration. Créez des comptes dédiés, sans boîte aux lettres, et attribuez des rôles au plus juste : administrateur Exchange, administrateur SharePoint, administrateur du support… plutôt que des administrateurs généraux. Limitez ces derniers à quelques personnes.

5. Deux comptes d'accès d'urgence

Si une stratégie d'accès conditionnel est mal configurée ou si le service MFA est indisponible, vous devez pouvoir reprendre la main. Prévoyez au moins deux comptes d'urgence, uniquement dans le cloud (domaine .onmicrosoft.com), protégés par une méthode résistante à l'hameçonnage (clé FIDO2 ou passkey) différente de celle des autres administrateurs et conservée en lieu sûr. Excluez-les des stratégies d'accès conditionnel qui bloquent ou restreignent la connexion, et faites en sorte que chaque connexion déclenche une alerte.

6. Le consentement des utilisateurs aux applications

Par défaut, un utilisateur peut autoriser une application tierce à accéder à ses données. Les attaquants exploitent ce mécanisme avec de fausses applications. Restreignez le consentement aux éditeurs vérifiés et aux autorisations à faible risque, ou mettez en place un circuit d'approbation par l'administrateur.

7. Le transfert automatique vers l'extérieur

Une règle de transfert créée discrètement sur une boîte compromise permet d'exfiltrer des e-mails pendant des mois. Bloquez le transfert automatique vers des domaines externes dans la stratégie de filtrage du courrier sortant, et n'autorisez que les exceptions justifiées. Ne laissez pas la valeur par défaut « Automatique – contrôlé par le système », dont le comportement varie selon l'ancienneté du tenant : choisissez explicitement « Désactivé ».

8. Le partage externe SharePoint et OneDrive

Les liens « Tout le monde » permettent d'accéder à un document sans authentification. Limitez le partage aux invités authentifiés, fixez une date d'expiration aux liens et réduisez le niveau de partage par défaut à « Personnes de votre organisation ».

9. L'authentification de la messagerie : SPF, DKIM et DMARC

Ces trois mécanismes empêchent l'usurpation de votre nom de domaine dans les e-mails. Ils se configurent dans votre zone DNS et dans le portail Microsoft Defender. Nous y consacrons un article dédié sur notre blog.

10. Le suivi : journal d'audit et Secure Score

Vérifiez que le journal d'audit unifié est actif (il l'est par défaut sur les tenants entreprise, mais il a pu être désactivé) et que sa durée de conservation, 180 jours en standard, correspond à vos besoins d'investigation. Consultez régulièrement le Microsoft Secure Score : il mesure votre niveau de sécurité et propose des actions classées par impact. C'est un bon tableau de bord pour suivre vos progrès dans le temps.

Par où commencer ?

Si vous ne deviez retenir que trois actions cette semaine : la MFA pour tous, le blocage de l'authentification héritée et des comptes administrateurs séparés. Le reste peut suivre selon un plan sur quelques semaines, en testant chaque changement sur un groupe pilote pour ne pas bloquer les utilisateurs.

Certains réglages dépendent de votre niveau de licence Microsoft 365 et les intitulés des menus évoluent régulièrement. Vérifiez leur disponibilité dans votre tenant avant tout déploiement.

Gazeltech accompagne les entreprises dans l'audit et le durcissement de leur environnement Microsoft 365, de l'état des lieux au plan d'action. Contactez nos consultants Digital Workplace pour faire le point sur votre tenant.