Sécuriser Microsoft 365 en PME : les 10 réglages à vérifier

Pour sécuriser Microsoft 365 en PME, activez d’abord l’authentification multifacteur (MFA) pour tous les comptes, bloquez l’authentification héritée et limitez les comptes administrateurs. Ces trois réglages ferment les portes les plus utilisées par les attaquants. Microsoft indique que la MFA associée au blocage de l’authentification héritée stoppe plus de 99,9 % des attaques courantes visant les identités.

Cet article détaille les 10 réglages à vérifier, dans l’ordre où il vaut mieux les traiter. Il précise aussi ce que Microsoft ne fait pas à votre place et comment mesurer votre niveau. Il s’adresse aux dirigeants et responsables informatiques de PME qui n’ont pas d’expert sécurité en interne.

Checklist : les 10 réglages en bref

1. MFA pour tous les comptes, administrateurs compris.
2. Blocage de l’authentification héritée (anciens protocoles de messagerie).
3. Comptes administrateurs peu nombreux et séparés des comptes du quotidien.
4. Accès conditionnel, si votre licence l’inclut.
5. Protection anti-phishing de la messagerie.
6. SPF, DKIM et DMARC configurés sur votre domaine.
7. Partage externe SharePoint et OneDrive encadré.
8. Droits minimaux et revue des applications connectées.
9. Journal d’audit et alertes activés.
10. Sauvegarde indépendante des données Microsoft 365.

Sécurité Microsoft 365 en entreprise : ce qui est à votre charge

Microsoft assure la disponibilité de la plateforme. La configuration des comptes, des accès et la protection de vos données restent de votre responsabilité. Les conditions d’utilisation de Microsoft recommandent d’ailleurs de sauvegarder régulièrement ses contenus.

Dans les petites structures, ce travail repose souvent sur une seule personne. Selon une étude OpinionWay pour Cybermalveillance.gouv.fr, dans 82 % des TPE-PME, c’est le dirigeant qui gère l’informatique, et 68 % consacrent moins de 2 000 € à la sécurité. La même étude relève que 78 % des TPE-PME se jugent insuffisamment préparées et que 70 % n’ont pas de procédure de réaction.

Le risque est concret. Dans cette étude, 24 % des incidents venaient d’un hameçonnage (phishing), 35 % des attaques ont interrompu l’activité et 25 % ont entraîné un vol de données.

Avant de commencer : 4 vérifications

Quatre contrôles rapides évitent de perdre du temps ensuite.

• Paramètres de sécurité par défaut : dans le centre d’administration Microsoft Entra, ouvrez Vue d’ensemble puis Propriétés. S’ils sont actifs, vous avez déjà un socle gratuit (MFA, blocage de l’authentification héritée). C’est possible sans que vous l’ayez fait, car un tenant créé après octobre 2019 peut les avoir activés, selon la documentation Microsoft.
• Accès conditionnel : s’il est disponible chez vous (licence Entra ID P1), il remplace les paramètres par défaut. Les deux ne peuvent pas être actifs en même temps. Si vous basculez, recréez immédiatement les protections équivalentes.
• MFA par utilisateur : si cette ancienne méthode est encore en place, migrez vers l’une des deux options ci-dessus, car Microsoft la déconseille.
• Version d’Office : repérez les postes qui utilisent encore une version arrivée en fin de support, car elle ne reçoit plus de mises à jour de sécurité de Microsoft. Voir notre page sur la fin de support d’Office 2021.

Les 10 réglages détaillés

1. Activer la MFA pour tous les comptes

La MFA demande une seconde preuve d’identité en plus du mot de passe. Microsoft précise qu’elle bloque plus de 99,2 % des attaques ciblant les identités, d’après sa documentation sur les paramètres de sécurité par défaut. Activez-la pour tous les utilisateurs, pas seulement les administrateurs.

Privilégiez l’application d’authentification plutôt que le SMS ou l’appel, plus faciles à détourner, comme le rappelle le prestataire ited. Microsoft Authenticator affiche un numéro à saisir, ce qui limite les validations accidentelles lors des attaques par « fatigue MFA ». Pour aller plus loin sur ce sujet, voir notre page sur l’authentification multifacteur en entreprise.

2. Bloquer l’authentification héritée

L’authentification héritée désigne les anciens clients et les protocoles de messagerie comme IMAP, POP3 ou SMTP. Elle ne gère pas la MFA : un attaquant peut contourner votre MFA en passant par un vieux protocole. Microsoft note que la plupart des connexions frauduleuses passent par là.

Dans une étude citée sur son blog Microsoft 365, Microsoft relève que plus de 99 % des attaques par password spray et plus de 97 % des attaques par credential stuffing exploitent l’authentification héritée. Les clients qui l’avaient désactivée ont subi 67 % de compromissions en moins.

Avant de bloquer, vérifiez les imprimantes, scanners et applications métier qui envoient des mails avec ces protocoles. Ils devront être reconfigurés, comme l’indique la documentation Microsoft.

3. Limiter et séparer les comptes administrateurs

Un compte administrateur général donne accès à tout le tenant. Microsoft recommande de réserver ce rôle aux situations d’urgence et d’utiliser des rôles aux permissions plus étroites au quotidien. Gardez deux comptes d’accès d’urgence (« break glass »), non nominatifs, exclus des règles de MFA et réservés aux situations de blocage.

Séparez aussi les comptes : un compte pour administrer, un autre pour lire ses mails, ce qui réduit les sollicitations de MFA selon la documentation Microsoft. Pour les administrateurs, Microsoft propose un modèle d’accès conditionnel exigeant une MFA résistante au phishing, selon sa page sur la MFA dans Microsoft 365.

4. Mettre en place l’accès conditionnel

L’accès conditionnel applique des règles du type « si l’utilisateur se connecte depuis tel appareil ou tel pays, alors exiger telle vérification ». Il suppose une licence Entra ID P1.

Commencez par les modèles de la catégorie « Secure foundation » : MFA pour tous, MFA pour les administrateurs, blocage de l’authentification héritée et MFA pour la gestion Azure. Ils reproduisent les paramètres par défaut. Une politique peut d’abord être testée en mode « rapport seul » avant d’être activée, ce qui évite de bloquer des utilisateurs par erreur.

5. Activer la protection anti-phishing de la messagerie

Exchange Online Protection filtre le spam et les logiciels malveillants pour tous les utilisateurs. Selon la licence, Microsoft Defender for Office 365 ajoute des politiques anti-phishing, Safe Links et Safe Attachments, qui analysent les liens et les pièces jointes, comme le décrit le guide d’Acronis.

D’autres éditeurs, comme Proofpoint, proposent des couches de filtrage complémentaires. Pour approfondir, voir notre page sur la protection de la boîte mail d’entreprise.

6. Configurer SPF, DKIM et DMARC

Ces trois protocoles protègent l’identité de votre domaine contre l’usurpation. SPF liste les serveurs autorisés à envoyer en votre nom. DKIM signe vos messages. DMARC indique au destinataire quoi faire quand un message échoue aux contrôles, selon l’explication d’Acronis. Ils se règlent dans la zone DNS de votre domaine, avec votre hébergeur ou votre prestataire.

7. Encadrer le partage externe

Le partage externe est activé par défaut dans SharePoint et OneDrive. Microsoft recommande de le laisser actif, car il est plus facile à contrôler que l’envoi de pièces jointes par mail. L’enjeu est de le cadrer, pas de l’interdire.

• Limitez le partage à un groupe de sécurité précis si nécessaire.
• Faites expirer les liens « Anyone » (accessibles sans connexion).
• Choisissez la lecture seule comme permission par défaut.

Depuis mars 2026, Microsoft déploie aussi des politiques d’expiration pour les liens « Personnes de votre organisation », configurables par les administrateurs.

8. Appliquer le principe des droits minimaux

Chaque collaborateur ne doit accéder qu’à ce dont il a besoin. Revoyez les droits régulièrement et retirez les accès dès un départ, comme le conseille Acronis. Les groupes dynamiques permettent d’automatiser l’attribution et le retrait des permissions, selon ited.

Regardez aussi les applications tierces auxquelles vos utilisateurs ont donné accès à leur compte. Des consultants spécialisés les citent comme un angle mort fréquent des audits.

9. Activer le journal d’audit et les alertes

Le journal d’audit enregistre les connexions et les actions sensibles. Les alertes préconfigurées préviennent les administrateurs en cas d’activité suspecte, selon le guide d’Acronis. Vérifiez qu’il est actif et qu’une personne reçoit les alertes.

Surveillez en particulier les règles de redirection de boîte mail. Elles servent souvent à faire sortir des mails discrètement vers une adresse externe, comme le signale ce guide d’expert.

10. Sauvegarder Microsoft 365 en dehors de Microsoft

Beaucoup d’entreprises pensent que Microsoft sauvegarde tout. Microsoft réplique vos données pour assurer la disponibilité, mais une réplication n’est pas une sauvegarde, comme l’explique Veeam. Une suppression ou un chiffrement par ransomware peut donc être répliqué.

Plusieurs éditeurs proposent des sauvegardes tierces, dont Veeam et Acronis. Ce sont des vendeurs de sauvegarde, à lire avec ce recul. Quel que soit l’outil, testez régulièrement une restauration, un conseil que rappelle aussi ited.

Mesurer son niveau avec le Secure Score

Le Microsoft Secure Score mesure votre posture de sécurité : plus le nombre est élevé, plus vous avez appliqué d’actions recommandées. Il se consulte dans le portail Microsoft Defender, à l’adresse security.microsoft.com/securescore, d’après la documentation Microsoft.

L’onglet « Metrics & trends » permet de comparer votre score à celui d’organisations similaires, et l’historique montre l’effet de chaque action. Un bon score ne garantit pas l’absence de risque : il compte les actions recommandées, pas la vigilance de vos équipes ni la qualité de vos sauvegardes.

Former les équipes et préparer la réaction

Les réglages techniques ne couvrent pas l’erreur humaine. Les simulations de phishing aident les collaborateurs à reconnaître et signaler les mails suspects, recommande Acronis. Sur le même thème, voir notre contenu sur l’anti-phishing pour protéger la boîte mail en entreprise.

Préparez aussi une procédure d’une page : qui prévenir, comment désactiver un compte, qui contacte les clients. Cybermalveillance.gouv.fr propose un service de mise en relation avec des prestataires labellisés ExpertCyber, comme le rappelle son étude sur les TPE-PME.

Quand les réglages natifs ne suffisent plus

Microsoft 365 n’inclut pas toutes les couches de protection. Les outils tiers (filtrage de messagerie avancé, sauvegarde, détection et réponse managées) ont du sens pour les organisations qui traitent des données sensibles ou subissent beaucoup d’attaques, selon Acronis. Pour une PME, l’ordre logique reste le même : appliquer d’abord les dix réglages ci-dessus, puis ajouter un outil si un besoin précis apparaît.

Questions fréquentes

Sources

• Microsoft Learn : Security defaults in Microsoft Entra ID
• Microsoft Learn : Set up multifactor authentication for Microsoft 365
• Microsoft 365 Blog : Microsoft retires Basic Authentication in Exchange Online
• Microsoft Learn : Plan sharing and collaboration options in SharePoint and OneDrive
• Microsoft Learn : Track your Microsoft Secure Score history and meet goals
• Message Center MC1242772 : expiration des liens « Personnes de votre organisation »
• CIC : Améliorer la cybersécurité des TPE-PME (étude OpinionWay pour Cybermalveillance.gouv.fr)
• Acronis : Guide complet des pratiques de sécurité Microsoft 365
• ited : Microsoft 365 Security, protect your data and your business
• Ayi Nedjimi Consultants : Meilleures pratiques sécurité Microsoft 365
• Barracuda : Data in Microsoft 365 is at risk
• Veeam : The Microsoft 365 Shared Responsibility Model
• Proofpoint : Secure Microsoft 365