90% des cyberattaques réussies commencent par un compte compromis. Dans Microsoft 365, la configuration par défaut n'est pas sécurisée. Elle est conçue pour la facilité d'adoption, pas pour la protection de votre organisation. Résultat : des milliers de tenants Microsoft 365 tournent aujourd'hui avec des failles béantes — et leurs administrateurs ne le savent pas. Voici les 10 paramètres à activer aujourd'hui, sans budget supplémentaire pour la plupart.
Les 10 configurations à activer dès maintenant
1. Le MFA pour tous les comptes, sans exception
L'authentification multifacteur — vérification de votre identité via un second appareil en plus du mot de passe — réduit le risque de compromission de compte de 99,9% (chiffre Microsoft, mesuré sur des milliards de connexions). Un attaquant qui vole votre mot de passe ne peut pas se connecter sans votre téléphone. L'activer prend 30 minutes pour 100 utilisateurs via Entra ID > Security > Authentication methods. C'est le retour sur investissement le plus rapide de toute votre politique de sécurité.
2. Les Security Defaults, premier rempart gratuit
Si votre organisation n'a pas encore migré vers le Conditional Access, les Security Defaults sont un pack de sécurité de base inclus gratuitement dans tous les abonnements Microsoft 365. Ils activent automatiquement le MFA, bloquent les protocoles d'authentification anciens et imposent une protection renforcée sur les comptes administrateurs. Activation en un clic dans le portail Entra ID.
3. Le Conditional Access : bloquer les connexions hors périmètre géographique
Le Conditional Access — ou accès conditionnel — est un système de règles qui décide si une connexion est autorisée selon son contexte : lieu, appareil, heure, risque détecté. Si vos équipes travaillent en France, pourquoi autoriser des connexions depuis le Nigeria ou la Russie ? Une règle simple : bloquer toutes les connexions hors France (et hors pays de déplacement habituels déclarés). Cette configuration nécessite une licence Entra ID P1, incluse dans Microsoft 365 Business Premium.
4. Désactiver les protocoles d'authentification legacy
IMAP, POP3, SMTP basique — ces protocoles anciens permettent d'accéder aux emails sans passer par le MFA. Ils ne le supportent tout simplement pas. 40% des attaques par spray de mots de passe — technique consistant à tester un même mot de passe sur des milliers de comptes — utilisent ces protocoles pour contourner les protections modernes. Si personne dans votre organisation n'utilise un client mail ancien, les désactiver ne change rien pour vos utilisateurs. Mais cela ferme une porte d'entrée majeure pour les attaquants.
5. Protéger les comptes administrateurs de façon spécifique
Un Global Admin Microsoft 365 a des droits sur l'ensemble de votre tenant : emails, fichiers, utilisateurs, facturation. Utiliser ce compte au quotidien pour lire ses emails, c'est exposer les clés de votre entreprise à chaque clic. Les règles minimales : créer des comptes admin dédiés utilisés uniquement pour les tâches d'administration, protéger les Global Admins avec un token matériel (clé physique FIDO2), et auditer les permissions admin tous les 90 jours.
6. Activer Microsoft Defender for Office 365 Plan 1
Inclus dans Microsoft 365 Business Premium, Defender for Office 365 Plan 1 ajoute quatre protections critiques. L'anti-phishing avancé, qui détecte les tentatives d'usurpation d'identité même sans lien malveillant. Les Safe Links — chaque URL dans un email est analysée au moment du clic. Les Safe Attachments — chaque pièce jointe est ouverte dans un environnement isolé avant d'arriver dans votre boîte. Résultat concret : 97% des malwares transmis par pièce jointe sont bloqués avant même que l'utilisateur ne les ouvre.
7. Configurer les politiques DLP pour les données sensibles
DLP — Data Loss Prevention, ou prévention de perte de données — est un système qui analyse le contenu des emails sortants et des fichiers partagés pour détecter des informations sensibles. Numéros IBAN, numéros de carte bancaire, données RH, numéros de sécurité sociale : une règle DLP peut bloquer automatiquement l'envoi non autorisé de ces informations. Configuration en deux heures via le portail Microsoft Purview. Indispensable pour répondre aux exigences RGPD sur la protection des données personnelles.
8. Activer les alertes de connexion suspecte
Si un compte se connecte depuis Paris à 9h00 et depuis São Paulo à 10h30, c'est physiquement impossible. Microsoft Defender détecte automatiquement ces situations — appelées "impossible travel" — et peut envoyer une alerte immédiate à votre équipe IT, voire bloquer la session suspecte automatiquement. La moyenne de détection sans système d'alerte est de 197 jours selon IBM. Autant dire que l'attaquant a eu le temps de faire des dégâts.
9. Définir une politique de rétention des emails
Conserver les emails entre 5 et 7 ans est une obligation légale pour de nombreuses entreprises françaises. Microsoft Purview permet de configurer des politiques de rétention automatique : les emails sont conservés dans une archive immuable, même si l'utilisateur les supprime. C'est aussi une protection en cas de litige. La configuration prend deux heures et s'applique à l'ensemble du tenant sans action des utilisateurs.
10. Auditer les accès et partages SharePoint
SharePoint accumule souvent des partages ouverts sans que personne ne le sache. Un utilisateur a partagé un dossier "Tout le monde avec le lien" il y a six mois pour un projet urgent. Le projet est terminé. Le lien est toujours actif. Dans nos audits, ce type de partage anonyme oublié est présent dans quasi tous les tenants non surveillés. Un audit des accès SharePoint tous les six mois permet d'identifier et de fermer ces accès non contrôlés avant qu'ils ne deviennent un incident.
Ce que ces configurations protègent concrètement
Ces 10 paramètres ne sont pas théoriques. Ils répondent à des attaques documentées, mesurées, répétées sur les PME françaises.
- Le BEC — Business Email Compromise : l'arnaque au virement ou à l'usurpation de PDG. Un attaquant accède à un compte email, surveille les conversations financières, et injecte au bon moment un RIB frauduleux. Le MFA, le Conditional Access et les alertes de connexion suspecte bloquent l'accès initial.
- Le ransomware via pièce jointe : une facture PDF piégée ouvre une porte dérobée sur un poste, puis chiffre l'ensemble des fichiers accessibles — y compris SharePoint. Safe Attachments analyse chaque pièce jointe dans un sandbox avant livraison. Les politiques de rétention permettent une restauration sans payer la rançon.
- La fuite de données : un employé mal informé envoie un fichier RH par email à une adresse externe. Les politiques DLP interceptent cet envoi avant qu'il ne quitte votre organisation. Vous évitez une notification RGPD à la CNIL et les pénalités associées.
Ce qu'un audit révèle en général
Chez les PME que l'on accompagne avant toute intervention, le constat est systématique : entre 3 et 5 configurations critiques manquantes sur ces 10 points. Ce n'est pas de la négligence. C'est le résultat d'une mise en service rapide de Microsoft 365, sans accompagnement spécialisé en sécurité.
Les lacunes les plus fréquentes que notre équipe identifie lors d'un audit de sécurité Microsoft 365 :
- Des comptes administrateurs utilisés au quotidien, sans MFA spécifique
- Des protocoles d'authentification legacy encore actifs sur des tenants récents
- Des partages SharePoint anonymes ouverts sur des documents confidentiels
- Pas de politique DLP configurée, malgré la présence de données RH ou financières
- Aucune alerte de connexion suspecte active
Un audit de sécurité Microsoft 365 dure une journée. Il produit un rapport détaillé avec chaque écart documenté, un score de maturité sécurité, et un plan de remédiation priorisé selon le niveau de risque.
Pour aller plus loin sur la sécurité de votre infrastructure cloud, consultez notre page Sécurité Cloud Azure. Et si vous souhaitez connaître votre niveau de sécurité actuel, demandez un audit sécurité gratuit — notre équipe revient vers vous sous 48 heures.