Un mot de passe seul peut ouvrir la porte à un intrus : l’authentification à deux facteurs ajoute une vérification supplémentaire aux connexions Office 365. Entre configuration individuelle, paramètres de sécurité par défaut et politiques d’accès conditionnel, le bon choix dépend des besoins de l’organisation et des licences disponibles.
L’article en bref
La MFA renforce la sécurité des comptes Microsoft 365 en ajoutant une preuve d’identité au mot de passe. Voici comment la configurer et choisir les bons outils de gestion selon votre organisation.
- Protection des accès : Ajouter une vérification pour réduire les risques liés aux mots de passe compromis.
- Configuration utilisateur : Associer une méthode de secours et Microsoft Authenticator au compte.
- Choix administrateur : Comparer sécurité par défaut, accès conditionnel et MFA héritée.
- Suivi et récupération : Gérer les méthodes, réinitialiser l’accès et surveiller les connexions.
Une stratégie MFA efficace combine une configuration simple pour les utilisateurs et un contrôle adapté aux risques de l’organisation.
Pourquoi activer l’authentification multifacteur dans Office 365
Un mot de passe peut être deviné, réutilisé après une fuite ou dérobé par hameçonnage. L’authentification multifacteur (MFA) ajoute une preuve supplémentaire lors de la connexion : une notification à approuver, un code temporaire ou une autre méthode reconnue.
Pour une petite entreprise, le changement est concret. Si un compte Outlook ou SharePoint est compromis, l’intrus ne peut pas nécessairement poursuivre sa connexion sans franchir cette étape. La MFA ne rend pas un compte invulnérable, mais elle complique nettement l’accès non autorisé.
Authentification à deux facteurs : le principe en pratique
Le premier facteur est généralement le mot de passe. Le second peut être une notification dans Microsoft Authenticator, un code reçu par SMS ou une autre méthode configurée par l’organisation. Cette authentification à deux facteurs réduit la dépendance à un secret unique.
Concrètement, une employée qui se connecte depuis un nouvel appareil saisit son mot de passe, puis valide la demande dans l’application. Si la demande n’a pas été initiée par elle, elle peut la refuser et prévenir l’équipe informatique : un signal simple, mais utile.
Configuration MFA pour un compte Microsoft 365
Lorsqu’un utilisateur se connecte, Microsoft 365 peut afficher une demande de configuration de sécurité. Le parcours varie légèrement selon les paramètres de l’organisation, mais l’association d’une méthode de secours et de l’application Microsoft Authenticator constitue un scénario courant.
-
Dans l’écran de protection du compte, sélectionnez Suivant. Si l’application n’est pas installée, téléchargez Microsoft Authenticator sur le téléphone, puis revenez à l’assistant.
-
Choisissez une méthode de vérification par téléphone si elle est proposée, puis saisissez le code reçu par SMS. Cette étape peut servir de méthode de secours.
-
Ouvrez Authenticator, ajoutez un compte professionnel ou scolaire et scannez le code QR affiché à l’écran. Confirmez la notification de test envoyée sur le téléphone.
-
Terminez l’assistant et vérifiez que les méthodes enregistrées sont accessibles. Conservez une option de récupération appropriée, en particulier si le téléphone principal peut être perdu ou remplacé.
Le SMS est pratique pour démarrer, mais une application d’authentification est généralement préférable : elle évite de dépendre de la réception d’un message et facilite la validation des demandes. La méthode la plus adaptée reste toutefois celle que les utilisateurs peuvent réellement utiliser sans contourner les règles.
Gestion des méthodes d’authentification et récupération
Les méthodes enregistrées se gèrent dans les paramètres de sécurité du compte, selon les règles définies par l’administrateur. Les utilisateurs peuvent notamment devoir remplacer un numéro, ajouter une méthode autorisée ou retirer un ancien appareil. Cette gestion des méthodes d’authentification doit suivre les consignes internes de l’organisation.
Lorsqu’un téléphone est perdu ou qu’un nouvel appareil est utilisé, la réinitialisation de l’authentification peut être nécessaire. L’assistance informatique doit vérifier l’identité de la personne avant de supprimer ou de réenregistrer ses méthodes : une procédure de récupération trop facile devient une porte d’entrée pour un fraudeur.
Microsoft Entra ID : choisir une méthode de gestion MFA
Les administrateurs peuvent protéger les utilisateurs avec plusieurs mécanismes disponibles dans Microsoft Entra ID. Le choix dépend notamment de l’abonnement, du niveau de contrôle recherché et de la maturité de l’équipe informatique. Ces options ne doivent pas être activées en concurrence sans plan : les paramètres de sécurité par défaut et les politiques d’accès conditionnel ne sont pas conçus pour fonctionner simultanément comme deux couches indépendantes.
| Option | Disponibilité et usage | Point de vigilance |
|---|---|---|
| Sécurité par défaut | Disponible avec Microsoft Entra ID Gratuit ; protection de base pour l’organisation. | Réglage global, avec moins de personnalisation que l’accès conditionnel. |
| Politiques d’accès conditionnel | Microsoft Entra ID P1 ou P2 ; règles ajustées au contexte et aux besoins. | Planifier les stratégies et vérifier les exclusions avant activation. |
| MFA héritée par utilisateur | Option individuelle disponible avec Microsoft Entra ID Gratuit. | Ancienne méthode, généralement déconseillée face aux options modernes. |
Les offres Microsoft 365 Business Premium et E3 incluent généralement Microsoft Entra ID P1, tandis que Microsoft 365 E5 comprend P2. Les droits et fonctionnalités pouvant évoluer selon l’abonnement, l’administrateur doit vérifier les licences effectivement attribuées avant de concevoir le déploiement.
Sécurité par défaut : une base accessible
Les paramètres de sécurité par défaut sont activés sur de nombreux nouveaux locataires Microsoft 365. Ils fournissent une protection de base, notamment en imposant une vérification supplémentaire dans des scénarios sensibles et en limitant l’authentification héritée.
Pour consulter leur état, un administrateur autorisé ouvre le centre d’administration Microsoft Entra, puis la vue d’ensemble de l’identité et l’onglet des propriétés. La section dédiée indique si la sécurité par défaut est active et permet, lorsque l’option est disponible, de la modifier. Si des politiques d’accès conditionnel existent, l’interface peut empêcher cette gestion depuis ce panneau.
À retenir : ne désactivez pas cette protection sans avoir préparé une stratégie de remplacement. Une transition sans couverture MFA peut laisser des comptes exposés, même si l’intention est d’affiner les règles par la suite.
Politiques d’accès conditionnel : un contrôle plus précis
Avec les licences adaptées, les politiques d’accès conditionnel permettent d’appliquer des règles selon les utilisateurs, les applications et le contexte de connexion. Une entreprise peut, par exemple, exiger une vérification pour l’ensemble des utilisateurs, renforcer les exigences des administrateurs et bloquer les anciennes méthodes de connexion.
La migration depuis la sécurité par défaut demande de recréer d’abord ses protections essentielles dans l’accès conditionnel. Les modèles proposés dans Microsoft Entra ID peuvent servir de point de départ, notamment pour exiger la MFA de tous les utilisateurs ou des administrateurs et bloquer l’authentification héritée.
-
Préparer la transition : inventorier les comptes, les applications et les règles en place avant de modifier la protection.
-
Créer les stratégies de base : reproduire les contrôles indispensables avant d’ajouter des règles propres à l’organisation.
-
Prévoir des comptes d’urgence : créer au moins deux comptes dédiés, non attribués à des personnes, puis les exclure des politiques MFA conformément aux pratiques de sécurité de l’organisation.
-
Tester et surveiller : examiner les connexions et les résultats avant d’étendre les stratégies à tous les utilisateurs.
Les exclusions d’urgence doivent rester rares, documentées et surveillées. Avant de supprimer des politiques pour revenir aux paramètres de sécurité par défaut, enregistrez leur configuration : elles ne pourront être réactivées qu’après suppression des politiques existantes.
Gestion avancée : surveillance des connexions et sécurité des comptes
Activer la MFA ne suffit pas à définir une posture de sécurité complète. Les administrateurs doivent aussi suivre les événements de connexion, repérer les tentatives inhabituelles et vérifier que les méthodes d’authentification restent à jour. Une connexion inattendue depuis un nouvel emplacement ou une série de demandes refusées mérite une attention particulière.
Dans une société fictive de conseil, une collaboratrice reçoit une demande d’approbation alors qu’elle n’essaie pas de se connecter. En la refusant puis en signalant l’événement, elle donne à l’équipe un indice qu’un mot de passe pourrait avoir été compromis. La surveillance des connexions transforme ainsi une notification en mécanisme de détection, à condition que chacun sache comment réagir.
Pour renforcer la sécurité des comptes, les administrateurs peuvent s’appuyer sur cette routine :
-
Contrôler les connexions : examiner les événements suspects et les échecs répétés dans les outils d’administration disponibles.
-
Réagir aux alertes : demander aux utilisateurs de refuser toute validation qu’ils n’ont pas initiée et de signaler immédiatement l’incident.
-
Réviser les méthodes : supprimer les numéros et appareils obsolètes, en vérifiant l’identité avant toute modification.
-
Protéger les comptes privilégiés : appliquer des exigences renforcées aux administrateurs et limiter l’usage des rôles les plus puissants.
La technologie bloque une partie des tentatives, mais la qualité des procédures compte tout autant. Une équipe qui sait distinguer une vraie demande d’une sollicitation inattendue réduit le risque sans rendre chaque connexion pénible.
Questions fréquentes sur l’authentification à deux facteurs Office 365
La MFA est-elle obligatoire dans Office 365 ?
Cela dépend de la configuration de l’organisation. Les paramètres de sécurité par défaut peuvent imposer la vérification, tandis que les administrateurs peuvent définir des règles avec les politiques d’accès conditionnel si leur licence le permet.
Quelle méthode d’authentification choisir ?
Microsoft Authenticator offre une validation pratique et évite de dépendre uniquement des SMS. Le choix doit tenir compte des méthodes autorisées par l’organisation et prévoir une procédure de secours sécurisée.
Que faire si un utilisateur perd son téléphone ?
L’utilisateur doit contacter l’assistance informatique. Après vérification de son identité, un administrateur peut réinitialiser ou remplacer ses méthodes d’authentification selon la procédure de récupération de l’organisation.
Peut-on activer sécurité par défaut et accès conditionnel en même temps ?
Non, ces deux modes de gestion ne sont pas conçus pour être activés simultanément. Avant de passer à l’accès conditionnel, il faut recréer les protections essentielles dans les politiques, puis effectuer la transition.
