Microsoft 365 est souvent installé vite, au moment où l’entreprise en a besoin : on crée les comptes, on branche la messagerie, et tout fonctionne. Les réglages de sécurité, eux, restent tels qu’ils étaient le premier jour. Or un incident commence rarement par une attaque sophistiquée : le plus souvent, c’est un mot de passe volé, sur un compte que rien d’autre ne protégeait.
Voici les cinq réglages que je vérifie en premier. Les quatre premiers sont inclus dans votre abonnement actuel ; le cinquième, la sauvegarde, demande un outil à part.
1. La double authentification pour tout le monde
C’est le réglage le plus important. La double authentification demande, en plus du mot de passe, une confirmation sur le téléphone de l’utilisateur, en général dans l’application Microsoft Authenticator. Un pirate qui a récupéré un mot de passe, par une fausse page de connexion ou parce qu’il a été réutilisé sur un autre site, reste alors bloqué à la porte.
Dans une TPE, le plus simple est d’activer les paramètres de sécurité par défaut de Microsoft : ils imposent la double authentification à tous les comptes, administrateurs compris. Ils sont activés d’office sur les abonnements récents, mais ils ont souvent été désactivés au moment de l’installation, parce qu’un utilisateur ne parvenait pas à se connecter. Ça vaut la peine de vérifier.
Deux précautions : prévenir vos équipes avant de l’activer, et prévoir un moment pour accompagner chacun lors de sa première connexion. C’est l’affaire de quelques minutes par personne.
2. Des comptes administrateurs séparés et peu nombreux
Le compte administrateur est celui qui peut tout faire : créer des utilisateurs, lire les boîtes, changer les mots de passe. S’il tombe, c’est toute l’entreprise qui tombe avec lui.
Je recommande trois règles simples :
- Un compte administrateur distinct du compte de tous les jours. Votre compte habituel, celui qui reçoit les mails et ouvre les pièces jointes, n’a pas besoin des droits d’administration. Le compte d’administration ne sert qu’à administrer.
- Peu d’administrateurs. Microsoft recommande d’avoir moins de cinq administrateurs généraux ; dans une TPE, deux suffisent : le vôtre et celui de votre prestataire.
- Un point régulier sur la liste. Un ancien salarié ou un ancien prestataire qui garde ses droits d’administration est une porte restée ouverte.
3. Les anciennes méthodes de connexion coupées
Certains logiciels anciens se connectent à la messagerie avec un simple identifiant et un mot de passe, sans passer par la double authentification. On parle d’« authentification héritée ». Pour un pirate, c’est une porte de service : il contourne votre premier réglage sans même le voir.
Microsoft a déjà coupé l’essentiel de ces méthodes pour la messagerie, et les paramètres de sécurité par défaut bloquent le reste. Un cas demande encore de l’attention : l’envoi de mails par SMTP, utilisé par certains photocopieurs, scanners ou logiciels métier pour envoyer des documents. Il doit être désactivé pour tous les comptes, sauf ceux qui en ont réellement besoin. Avant de couper, je fais l’inventaire de ces appareils avec vous, pour qu’aucun ne s’arrête sans prévenir.
4. Une sauvegarde de vos données Microsoft 365
C’est une idée reçue tenace : « mes données sont chez Microsoft, donc elles sont sauvegardées ». Microsoft garantit que son service fonctionne et que vos données ne disparaissent pas de ses serveurs. Mais si un utilisateur supprime un dossier, si un compte est piraté et vidé, ou si un virus chiffre les fichiers synchronisés, Microsoft ne vous rendra pas ce que vous avez vous-même effacé au-delà de ses corbeilles.
Et ces corbeilles ont des limites. Par défaut, un mail supprimé reste récupérable 14 jours après avoir été vidé de la corbeille, et un fichier SharePoint ou OneDrive 93 jours. Une suppression constatée trop tard est définitive.
Une sauvegarde indépendante copie chaque jour vos mails, vos fichiers et vos espaces d’équipe, et permet de restaurer un élément précis ou un compte entier, à la date de votre choix. Pour une petite entreprise, c’est un coût modeste au regard de ce qu’il protège. Le bon réflexe : faire un essai de restauration de temps en temps, pour vérifier que la sauvegarde fonctionne vraiment.
5. Les transferts de mails surveillés
Quand un pirate prend la main sur une boîte mail, l’une de ses premières actions est souvent de créer une règle discrète : transférer une copie de tous les mails vers une adresse externe, ou déplacer certains messages pour qu’ils passent inaperçus. Il peut ainsi lire vos échanges pendant des semaines, et attendre le bon moment pour envoyer une fausse demande de virement à un client ou à votre comptable.
Deux réglages limitent ce risque :
- Bloquer le transfert automatique vers l’extérieur. Si un collaborateur a réellement besoin de transférer ses mails, on autorise ce cas précis, et seulement lui.
- Activer les alertes. Microsoft 365 peut vous prévenir par mail quand une règle de transfert est créée, quand une connexion inhabituelle a lieu ou quand un compte envoie soudain beaucoup de messages. Encore faut-il que ces alertes arrivent dans une boîte que quelqu’un lit.
Par où commencer ?
Si vous ne deviez faire qu’une chose cette semaine, ce serait la double authentification : c’est la meilleure protection contre le vol de mot de passe. Viennent ensuite les comptes administrateurs, puis la sauvegarde.
Aucun de ces réglages n’est compliqué en soi. La difficulté, dans une petite entreprise, c’est de trouver le temps de s’en occuper, et de les faire sans bloquer quelqu’un un lundi matin. C’est précisément ce que je fais dans mon offre Microsoft 365 : je fais le point sur votre configuration, je vous explique ce que je change et pourquoi, puis je mets en place les réglages en accompagnant vos équipes.
Pour voir en 20 secondes ce que votre domaine laisse paraître de l’extérieur : testez le score cyber.