Sécuriser Microsoft 365 en PME : les 10 réglages indispensables

Microsoft 365 dispose de bonnes protections, mais beaucoup ne sont pas actives au départ, ou sont réglées de façon très permissive pour ne gêner personne. Dans les PME où nous intervenons après un incident, l'histoire commence presque toujours de la même façon : un compte Microsoft 365 mal protégé, puis une fraude au virement, une fuite de documents ou un ransomware.

Nous avons sélectionné les dix réglages qui font le plus de différence, du plus important au moins urgent. Un administrateur peut appliquer chacun d'eux en moins d'une heure, et la plupart ne demandent aucune licence supplémentaire.

1. L'authentification à deux facteurs pour tout le monde

Si vous ne deviez faire qu'un seul réglage, ce serait celui-là. Il bloque la très grande majorité des piratages de comptes par mot de passe volé.

Sans licence particulière, vous pouvez activer les « paramètres de sécurité par défaut » dans le centre d'administration Microsoft Entra, dans la page des propriétés de l'annuaire. Chaque utilisateur devra alors installer l'application Microsoft Authenticator. Avec Business Premium, utilisez plutôt l'accès conditionnel, plus souple : vous pouvez exclure un compte de secours, exiger un appareil géré par l'entreprise ou bloquer certains pays.

Microsoft impose déjà la double authentification pour accéder aux portails d'administration. Il ne reste qu'à l'étendre à tous vos utilisateurs.

2. Bloquer les anciens protocoles de connexion

Les anciens protocoles de messagerie (POP, IMAP et l'envoi SMTP avec mot de passe simple) ne savent pas gérer la double authentification. Un attaquant qui connaît un mot de passe peut s'en servir pour passer à côté. Microsoft les a en grande partie désactivés et termine de retirer l'envoi SMTP authentifié par mot de passe.

Les paramètres de sécurité par défaut bloquent déjà ces anciens protocoles. Si vous utilisez l'accès conditionnel, créez une règle qui bloque les « autres clients ». Et si aucun appareil (imprimante multifonction, logiciel métier) n'envoie de mails par SMTP authentifié, coupez-le pour toute l'organisation :

Connect-ExchangeOnline
Set-TransportConfig -SmtpClientAuthenticationDisabled $true

Avant de le faire, consultez le rapport d'utilisation SMTP AUTH dans le centre d'administration Exchange, pour voir quels appareils s'en servent encore.

3. Des comptes administrateurs à part, et peu nombreux

Un administrateur devrait avoir deux comptes : un compte normal pour son travail quotidien, et un compte d'administration séparé, sans boîte mail, qui ne sert qu'à administrer. Si son compte habituel est piraté par un mail piégé, l'attaquant n'obtient pas les droits d'administration.

Limitez aussi le nombre d'administrateurs généraux. Microsoft recommande d'en avoir moins de cinq, et deux suffisent généralement dans une PME. Les autres peuvent recevoir des rôles plus limités, comme administrateur Exchange ou administrateur des utilisateurs. Prévoyez un compte de secours, avec un mot de passe très long rangé en lieu sûr, pour ne jamais perdre l'accès à votre environnement. Et vérifiez qu'un ancien prestataire informatique n'a pas gardé un accès administrateur.

4. Interdire le transfert automatique vers l'extérieur

Quand un attaquant prend le contrôle d'une boîte mail, l'une de ses premières actions est souvent de faire transférer tous les messages vers une adresse à lui. C'est le point de départ de nombreuses fraudes au président.

Dans le portail Microsoft Defender, ouvrez les stratégies anti-spam, puis la stratégie de filtrage du courrier sortant. Les règles de transfert automatique doivent être sur « Désactivé », ou sur « Automatique », qui bloque aussi le transfert externe. Si un service a vraiment besoin d'un transfert, créez une exception pour ce seul compte.

5. Appliquer les stratégies de sécurité prédéfinies

Plutôt que de régler une par une les protections contre l'hameçonnage, le spam et les logiciels malveillants, Microsoft propose deux profils tout prêts, « Standard » et « Strict », dans le portail Defender.

Appliquez le profil Standard à tout le monde, et le profil Strict aux personnes les plus visées : direction, comptabilité, assistantes de direction. Avec Defender for Office 365, inclus dans Business Premium, ces profils activent aussi l'analyse des liens au moment du clic et l'ouverture des pièces jointes dans un environnement isolé. Ajoutez enfin la protection contre l'usurpation d'identité pour le nom du dirigeant et vos domaines.

6. Configurer SPF, DKIM et DMARC

Ces trois enregistrements DNS empêchent un fraudeur d'envoyer des mails avec votre adresse exacte, par exemple au nom de votre dirigeant ou de votre comptabilité à destination de vos clients.

SPF déclare les serveurs autorisés à envoyer des mails pour votre domaine : Microsoft 365, mais aussi votre logiciel de facturation ou de newsletter. DKIM ajoute une signature à vos messages ; il s'active pour chaque domaine dans le portail Defender. DMARC indique aux destinataires ce qu'ils doivent faire des mails qui échouent à ces contrôles. Commencez en mode observation (p=none), puis passez progressivement en quarantaine et enfin en rejet.

_dmarc.votredomaine.fr  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@votredomaine.fr"

7. Signaler les mails venant de l'extérieur

Une simple mention « Externe » dans Outlook sur chaque message venu de l'extérieur permet de repérer tout de suite un faux mail du dirigeant envoyé depuis une adresse qui ressemble à la sienne. Elle s'active en une commande :

Set-ExternalInOutlook -Enabled $true

Comptez jusqu'à 48 heures pour qu'elle apparaisse partout.

8. Encadrer les autorisations données aux applications

Certaines attaques ne volent pas de mot de passe. Elles poussent l'utilisateur à autoriser une application malveillante, qui obtient alors un accès durable à sa boîte mail ou à ses fichiers, même après un changement de mot de passe.

Dans le centre d'administration Entra, à la rubrique des applications d'entreprise, réglez le consentement des utilisateurs : autorisez-le seulement pour les applications d'éditeurs vérifiés et des droits limités, ou désactivez-le complètement. Activez aussi la demande d'approbation par un administrateur, pour que les utilisateurs aient une solution légitime quand ils ont besoin d'une application. Profitez-en pour passer en revue les applications déjà autorisées et supprimer celles que vous ne reconnaissez pas.

9. Limiter le partage de fichiers vers l'extérieur

Les liens « Toute personne disposant du lien » permettent souvent d'envoyer un document à n'importe qui, sans que la personne ait besoin de s'identifier. Dans le centre d'administration SharePoint, ouvrez les paramètres de partage. Limitez le partage externe aux invités, qui doivent se connecter pour ouvrir le document. Si vous gardez les liens anonymes, imposez une date d'expiration, par exemple 30 jours, et un accès en lecture seule par défaut. Choisissez enfin les liens réservés aux personnes de votre organisation comme option par défaut.

10. Activer l'audit et lire les alertes

Sans surveillance, un compte piraté peut passer inaperçu pendant des semaines. Vérifiez dans le portail Microsoft Purview que l'audit est bien actif. Regardez ensuite les alertes prévues par défaut (création de règles de transfert, ajout de droits d'administration, activité suspecte) et assurez-vous qu'elles arrivent dans une boîte que quelqu'un lit vraiment.

Le Microsoft Secure Score, dans le portail Defender, est aussi un bon outil de suivi : il liste les réglages qu'il vous reste à faire, classés par importance. Si vous voulez aller plus loin et croiser ces journaux avec ceux de vos postes et serveurs, notre tutoriel explique comment surveiller Microsoft 365 avec Wazuh.

Récapitulatif

Réglage	Où le trouver	Licence	Impact
Double authentification	Entra	Toutes (Business Premium pour l'accès conditionnel)	Très élevé
Anciens protocoles bloqués	Entra, Exchange	Toutes	Élevé
Comptes administrateurs séparés	Centre d'administration Microsoft 365	Toutes	Élevé
Transfert externe interdit	Defender	Toutes	Élevé
Stratégies prédéfinies	Defender	Toutes (Business Premium pour l'analyse des liens et pièces jointes)	Élevé
SPF, DKIM, DMARC	DNS, Defender	Toutes	Élevé
Mention « Externe »	Exchange (PowerShell)	Toutes	Moyen
Autorisations des applications	Entra	Toutes	Moyen
Partage externe limité	SharePoint	Toutes	Moyen
Audit et alertes	Purview, Defender	Toutes	Élevé

Questions fréquentes

Les paramètres de sécurité par défaut suffisent-ils pour une PME ?
C'est un très bon point de départ, gratuit, qui active la double authentification et bloque les anciens protocoles. Leur défaut, c'est le manque de souplesse : pas d'exception possible, pas de règle par pays ou par appareil. Avec Business Premium, l'accès conditionnel fait mieux.

Microsoft 365 Business Premium vaut-il le surcoût ?
Pour la plupart des PME, oui. Il ajoute l'accès conditionnel, la gestion des appareils avec Intune, Defender for Office 365 pour la messagerie et Defender for Business pour les postes. Acheter ces outils séparément coûterait plus cher.

Microsoft sauvegarde-t-il mes données Microsoft 365 ?
Microsoft garantit que le service fonctionne, pas que vous pourrez récupérer vos données dans tous les cas. Les éléments supprimés restent récupérables un certain temps, mais une suppression volontaire par un attaquant ou des fichiers chiffrés par un ransomware puis synchronisés peuvent être perdus. Une sauvegarde indépendante reste recommandée.

Combien de temps faut-il pour appliquer ces 10 réglages ?
Pour une PME de 10 à 50 utilisateurs, comptez une à deux journées. Le plus long n'est pas la technique : c'est d'accompagner chaque utilisateur dans l'activation de la double authentification, et de repérer les appareils qui utilisent encore les anciens protocoles.

Ces réglages réduisent fortement le risque, mais aucun ne le supprime complètement. Pour repérer ce qui passe malgré tout, notre service MDR 24/7 surveille en continu vos comptes Microsoft 365, vos postes et vos serveurs. Et pour fixer les règles côté utilisateurs, vous pouvez partir de notre modèle de charte informatique.