Sécuriser Microsoft 365 en PME : la checklist

Dans une petite entreprise, un compte Microsoft 365 ouvre la messagerie, les fichiers partagés, le calendrier et souvent Teams. Un seul mot de passe volé par hameçonnage suffit pour lire les échanges, envoyer de fausses factures aux clients depuis une adresse légitime ou poser une règle de redirection silencieuse. C'est pourquoi la sécurisation commence par l'identité : qui se connecte, avec quoi, depuis où.

Microsoft indique que plus de 99,9 % des attaques d'identité courantes (pulvérisation de mots de passe, rejeu, hameçonnage) sont stoppées par l'authentification multifacteur et le blocage de l'authentification héritée (Microsoft Learn, Security defaults). Ce chiffre est celui de l'éditeur, mais il explique l'ordre des priorités de cette checklist.

Tout part de la licence. Il existe deux mécanismes distincts pour imposer l'authentification multifacteur, et ils ne sont pas compatibles entre eux :

• Les paramètres de sécurité par défaut (security defaults) : gratuits, sans licence, tout ou rien. Ils imposent l'enregistrement MFA, exigent le MFA des administrateurs, bloquent l'authentification héritée et le flux par code d'appareil.
• L'accès conditionnel : personnalisable règle par règle, mais il exige au moins Microsoft Entra ID P1. Cette licence est incluse dans Microsoft 365 Business Premium, pas dans Business Basic ni Business Standard.

Source : Microsoft Learn, Security defaults, qui précise le tableau de comparaison et le fait qu'il faut désactiver les paramètres par défaut pour passer à l'accès conditionnel. Pour une vue d'ensemble de l'accès conditionnel, voir aussi la page Conditional Access de Microsoft Learn.

L'objectif est simple : aucun compte, y compris les comptes de direction et les comptes partagés, ne se connecte avec un mot de passe seul. Les points concrets :

1. Méthode : l'application Microsoft Authenticator avec correspondance de numéros, plutôt que le SMS. Le SMS vaut mieux que rien, mais il est vulnérable au détournement de carte SIM et à l'hameçonnage.
2. Administrateurs : si possible une clé de sécurité FIDO2 ou une passkey, résistantes à l'hameçonnage.
3. Comptes partagés (accueil, contact@) : à supprimer. Une boîte aux lettres partagée n'a pas besoin de mot de passe de connexion, les personnes y accèdent avec leur propre compte.
4. Inscription : faites-la en présentiel ou en visio avec chaque utilisateur. Un courriel d'instructions seul laisse toujours quelques personnes bloquées dans le doute, et ce sont elles qui appelleront le jour J.

C'est l'erreur la plus répandue en PME : le dirigeant ou le prestataire utilise son compte de messagerie quotidien comme administrateur global. Si ce compte est piégé par un faux message, l'attaquant obtient le contrôle du tenant entier.

• Un compte administrateur dédié par personne qui administre, distinct de son compte de travail, sans boîte aux lettres ni licence de productivité. Microsoft lui-même le recommande : des comptes séparés pour l'administration et pour la productivité.
• Le moins de rôles possible : un administrateur de messagerie n'a pas besoin d'être administrateur global.
• Deux comptes de secours (« break glass ») : comptes cloud uniquement, sur le domaine .onmicrosoft.com, avec rôle d'administrateur global permanent, authentification par clé FIDO2, exclus des règles d'accès conditionnel qui bloquent. Leur identifiant est rangé dans un coffre, leur connexion déclenche une alerte, et on teste leur fonctionnement au moins tous les 90 jours.

Ces recommandations viennent de la page Manage emergency access admin accounts de Microsoft Learn. Sans compte de secours, une règle d'accès conditionnel mal écrite ou la perte du téléphone de l'administrateur peut vous enfermer hors de votre propre tenant.

L'authentification héritée regroupe les anciens clients et protocoles (IMAP, POP3, SMTP authentifié, anciens Office, ActiveSync basique) qui ne savent pas gérer le MFA. Même avec le MFA activé sur le compte, un attaquant qui connaît le mot de passe peut passer par ces protocoles et contourner la seconde étape. Microsoft écrit que la plupart des tentatives de connexion malveillantes passent par l'authentification héritée.

Microsoft a par ailleurs désactivé progressivement l'authentification de base pour Exchange Online (calendrier officiel). Ce qui reste à vérifier chez vous :

• Les imprimantes multifonctions et scanners qui envoient des courriels par SMTP avec un compte Microsoft 365. Ce sont les appareils qui cassent quand on bloque l'authentification héritée. Prévoir un connecteur de messagerie ou un relais dédié plutôt qu'un compte avec mot de passe.
• Les logiciels métier anciens (comptabilité, CRM) qui s'authentifient en SMTP ou IMAP.
• Les boîtes aux lettres configurées en POP/IMAP sur des téléphones ou des clients de messagerie tiers.

Méthode : consulter le journal des connexions (filtre « application cliente ») pendant 30 jours, repérer chaque appareil ou logiciel concerné, le migrer, puis bloquer par règle d'accès conditionnel ou par les paramètres par défaut.

La plupart des compromissions de messagerie en PME ne cherchent pas à détruire, elles cherchent à lire et à détourner des virements. Quelques réglages coupent les techniques courantes :

• Redirection automatique vers l'extérieur : la bloquer pour tous sauf cas validé. Une règle de transfert posée par un attaquant est son moyen de rester informé après un changement de mot de passe.
• SPF, DKIM et DMARC sur votre domaine : trois enregistrements DNS qui empêchent qu'on envoie des courriels en usurpant votre domaine. Commencez DMARC en mode surveillance (p=none), analysez les rapports, puis passez à quarantaine puis rejet.
• Protection contre l'hameçonnage (Defender pour Office 365 selon licence) : liens sécurisés, pièces jointes sécurisées et politiques anti-usurpation pour les dirigeants.
• Bandeau « expéditeur externe » : un simple avertissement visuel réduit les erreurs sur les faux messages de la direction.

Un tenant que personne ne regarde est un tenant compromis sans le savoir. Le journal d'audit unifié est activé par défaut et conserve 180 jours d'activité avec la protection de base, jusqu'à un an avec Audit (Premium) (Microsoft Learn, Audit solutions). Ce délai compte : une intrusion découverte au bout de huit mois n'a plus de trace exploitable.

Alertes minimales à activer, qui n'exigent pas de centre d'opérations de sécurité :

• Création d'une règle de transfert ou de redirection de boîte aux lettres.
• Connexion d'un compte administrateur, et surtout d'un compte de secours.
• Connexions impossibles (deux pays éloignés en quelques minutes) et connexions depuis des pays où vous n'avez aucune activité.
• Ajout d'une nouvelle méthode d'authentification sur un compte (technique d'un attaquant pour s'installer).
• Octroi de consentement à une application tierce.

Le Score de sécurité Microsoft (Secure Score) donne une note et une liste d'actions classées par impact, gratuitement. À consulter une fois par mois, sans courir après les 100 % : certaines actions n'ont pas de sens pour une structure de cinq personnes.

Microsoft protège l'infrastructure du service : données répliquées sur plusieurs centres, haute disponibilité. Cela ne veut pas dire que vos données sont sauvegardées au sens d'une restauration fiable à une date donnée. Ce que fournit le service, ce sont des mécanismes de récupération limités dans le temps : corbeilles, historique des versions, et pour OneDrive la restauration jusqu'à 30 jours en arrière. Microsoft documente ces limites dans sa page Cloud data security measures in SharePoint & OneDrive, y compris le recours au support dans un délai de 14 jours pour un élément vidé de la corbeille de collection de sites.

Concrètement, quatre situations dépassent ces mécanismes : l'employé qui supprime volontairement des fichiers puis vide les corbeilles, un ransomware qui chiffre des fichiers synchronisés et dont les versions sont écrasées, un compte compromis dont un attaquant efface la boîte aux lettres, et la simple découverte tardive d'une erreur, après la fenêtre de rétention.

Une sauvegarde tierce de Exchange Online, SharePoint, OneDrive et Teams doit se juger sur les mêmes critères que n'importe quelle sauvegarde : copie hors du tenant, durée de conservation choisie par vous, restauration granulaire (un courriel, un dossier), copie immuable, et surtout test de restauration. Le principe est celui expliqué dans notre guide sur la sauvegarde des données, appliqué à un service cloud.

• Appareils : chiffrement du disque (BitLocker) sur tous les portables, verrouillage d'écran, mises à jour. Avec Business Premium, Intune permet d'exiger un appareil conforme pour accéder aux données.
• Partage externe SharePoint et OneDrive : par défaut trop ouvert. Limiter aux invités authentifiés, avec liens qui expirent, et nommer un propriétaire pour chaque site Teams.
• Départ d'un salarié : procédure écrite. Bloquer la connexion le jour même, révoquer les sessions, récupérer la boîte aux lettres et le OneDrive, retirer la licence ensuite seulement. Une licence retirée trop vite supprime des données.
• Applications tierces : désactiver le consentement utilisateur libre aux applications, ou le soumettre à validation administrateur.

Pour le cadre général, le guide d'hygiène informatique de l'ANSSI reste la référence française : authentification, administration, mises à jour et sauvegarde y sont traitées. Cette checklist en est la traduction appliquée à Microsoft 365. Côté obligations, elle recoupe celles qu'on retrouve dans notre article sur la directive NIS2 et dans la checklist cybersécurité TPE/PME.