Sécuriser Microsoft 365 : 10 réglages essentiels pour une PME
Microsoft protège ses serveurs, mais la configuration de votre espace Microsoft 365 reste à votre charge. Pour une PME, dix réglages ferment l’essentiel des portes : double authentification, comptes administrateurs à part, blocage des anciens protocoles, anti-hameçonnage, transfert externe interdit, partage maîtrisé, audit, alertes, Secure Score et sauvegarde indépendante. La plupart sont inclus dans toutes les offres Business ; nous signalons ceux qui demandent Business Premium.
Quelle licence pour quel réglage ?
Les offres Microsoft 365 Business Basic, Business Standard et Business Premium s’adressent aux organisations de 300 utilisateurs au plus. Selon le guide Bonnes pratiques de sécurité Microsoft 365 pour les entreprises de Microsoft Learn, les trois incluent la protection de base contre le spam, les virus et l’hameçonnage ; Business Premium ajoute notamment l’accès conditionnel et Microsoft Defender pour Office 365 Plan 1.
| Réglage | Basic / Standard | Premium |
|---|---|---|
| 1. MFA par les paramètres de sécurité par défaut | ✔ | ✔ |
| 1 bis. MFA par l’accès conditionnel | (licence Entra ID P1 en plus) | ✔ |
| 2. Comptes administrateurs dédiés | ✔ | ✔ |
| 3. Blocage de l’authentification héritée | ✔ | ✔ |
| 4. Protection de base de la messagerie | ✔ | ✔ |
| 4 bis. Defender pour Office 365 (liens et pièces jointes) | — | ✔ |
| 5 à 9. Transfert, partage, audit, alertes, Secure Score | ✔ | ✔ |
| 10. Sauvegarde | Payante en plus | Payante en plus |
1. Activer la double authentification pour tout le monde
La double authentification (MFA) ajoute au mot de passe une validation sur le téléphone ; nous la détaillons dans notre article sur la double authentification (MFA) en PME. Sur Microsoft 365, deux façons de l’imposer :
- Les paramètres de sécurité par défaut : gratuits et sans réglage fin, ils obligent chacun à s’inscrire à la MFA avec Microsoft Authenticator, l’exigent à chaque connexion des administrateurs et bloquent les anciens protocoles. Microsoft les active sur les espaces créés depuis le 22 octobre 2019, mais ils ont pu être désactivés : vérifiez dans le centre d’administration Microsoft Entra, rubrique Propriétés.
- L’accès conditionnel : des règles sur mesure (clé de sécurité exigée pour les admins, pays bloqués, postes gérés seulement). Il demande une licence Microsoft Entra ID P1, incluse dans Business Premium.
L’un ou l’autre, jamais aucun : selon Microsoft Learn, l’accès conditionnel doit être activé dès que les paramètres par défaut sont coupés.
2. Séparer et limiter les comptes administrateurs
Le compte qui a souscrit l’abonnement est automatiquement administrateur général, avec tous les droits. Microsoft recommande aux PME :
- Un compte admin distinct du compte de travail : on lit ses e-mails avec son compte habituel et on n’utilise le compte d’administration que pour administrer. Ce compte n’a pas besoin de licence.
- Peu d’administrateurs généraux : donnez à chacun le rôle juste nécessaire (utilisateurs, facturation…).
- Deux comptes d’accès d’urgence, non nominatifs, pour le jour où plus personne ne peut se connecter, protégés par une clé de sécurité FIDO2 rangée en lieu sûr.
3. Bloquer l’authentification héritée
L’authentification héritée regroupe les anciennes façons de se connecter (POP, IMAP, SMTP, Office 2010) qui ne savent pas demander de second facteur : un pirate qui connaît le mot de passe s’en sert pour contourner la MFA.
Exchange Online l’a supprimée pour la plupart des protocoles depuis octobre 2022. Reste l’envoi par SMTP AUTH, souvent utilisé par les photocopieurs et certains logiciels : Microsoft a annoncé sa désactivation par défaut fin décembre 2026. Recensez vos copieurs et applications concernés, et désactivez SMTP AUTH pour les boîtes qui n’en ont pas besoin (les paramètres de sécurité par défaut le bloquent déjà).
4. Renforcer l’anti-hameçonnage
Toutes les offres incluent Exchange Online Protection, qui filtre spam, virus et usurpation d’adresse. Le plus simple est d’appliquer la stratégie de sécurité prédéfinie « Standard » du portail Microsoft Defender, qui reprend les réglages recommandés par Microsoft.
Avec Business Premium, Defender pour Office 365 Plan 1 ajoute :
- Les liens fiables (Safe Links) : chaque lien est vérifié au moment du clic, dans les e-mails, Teams et les applications Office.
- Les pièces jointes fiables (Safe Attachments) : les fichiers sont ouverts dans un environnement isolé avant d’être remis.
- La protection contre l’usurpation d’identité : alerte lorsqu’un message imite le nom du dirigeant ou d’un fournisseur.
5. Interdire le transfert automatique vers l’extérieur
Un pirate qui prend la main sur une boîte peut créer une règle de transfert discrète : chaque e-mail reçu part en copie chez lui, de quoi préparer une fraude au virement. Microsoft bloque ce transfert par défaut depuis 2021 pour la plupart des espaces, mais certains espaces anciens ont gardé l’ancien réglage.
Dans le portail Microsoft Defender, ouvrez la stratégie de filtrage du courrier indésirable sortant et réglez le transfert automatique sur « Désactivé », avec une exception ciblée pour un besoin légitime.
6. Maîtriser le partage SharePoint et OneDrive
Le partage externe peut aller jusqu’aux liens « Tout le monde », ouverts sans identification à quiconque possède le lien. Dans le centre d’administration SharePoint :
- Choisissez le niveau « Invités nouveaux et existants » : la personne extérieure doit se connecter ou saisir un code reçu par e-mail.
- Si vous gardez les liens « Tout le monde », imposez une date d’expiration et la lecture seule.
- Réglez le lien par défaut sur « Personnes spécifiques » : c’est l’option la plus restrictive.
- Faites expirer l’accès des invités après un nombre de jours défini.
Ces réglages valent aussi pour OneDrive, que nous présentons dans notre article sur OneDrive Entreprise.
7. Vérifier que le journal d’audit est activé
Le journal d’audit unifié enregistre qui s’est connecté, qui a créé une règle de boîte, qui a supprimé ou partagé un fichier : sans lui, impossible de reconstituer une intrusion. Or, selon Microsoft Learn, l’audit n’est pas activé par défaut sur les offres Business Basic, Standard et Premium. Activez-le dans le portail Microsoft Purview, rubrique Audit ; les événements sont ensuite conservés 180 jours.
8. Recevoir les alertes de sécurité
Le portail Microsoft Defender propose des stratégies d’alerte par défaut, par exemple lorsqu’un utilisateur est bloqué pour envoi massif d’e-mails, signe fréquent d’un compte piraté ; d’autres alertes dépendent de la licence. Encore faut-il les lire : vérifiez que les notifications partent vers une adresse surveillée (dirigeant ou prestataire), pas vers un compte admin que personne ne consulte.
9. Suivre le Secure Score
Le Niveau de sécurité Microsoft (Secure Score), dans le portail Microsoft Defender, note votre configuration et liste les actions recommandées, chacune valant jusqu’à 10 points. C’est un bon tableau de bord pour suivre les progrès. Ne visez pas 100 % : certaines recommandations concernent des licences que vous n’avez pas, et vous pouvez accepter un risque en le justifiant.
10. Sauvegarder Microsoft 365 en dehors de Microsoft
Microsoft assure la disponibilité du service, pas la restauration de vos données après une erreur ou une attaque. La corbeille SharePoint et OneDrive garde les éléments supprimés 93 jours : au-delà, ou si un rançongiciel chiffre vos fichiers synchronisés, il faut une vraie sauvegarde. Deux options :
- Sauvegarde Microsoft 365, l’offre de Microsoft, facturée à l’usage (0,15 dollar par Go et par mois selon Microsoft Learn) : rapide à restaurer, mais stockée chez Microsoft.
- Une solution tierce, qui copie messagerie, OneDrive, SharePoint et Teams vers un autre stockage : elle reste accessible même si votre compte Microsoft 365 est compromis ou suspendu.
Dans les deux cas, testez régulièrement une restauration.
Questions fréquentes
Microsoft 365 est-il sécurisé par défaut ?
Partiellement. Les espaces récents ont les paramètres de sécurité par défaut et une protection de base contre le spam et les virus, mais l’audit n’est pas activé par défaut sur les offres Business, le partage externe peut rester très ouvert et aucune sauvegarde indépendante n’est incluse. La configuration reste à la charge de l’entreprise.
Faut-il Microsoft 365 Business Premium pour être bien protégé ?
Pas forcément. Business Basic et Standard permettent déjà la MFA, des comptes admin séparés, le blocage du transfert externe, le réglage du partage, l’audit et le Secure Score. Business Premium ajoute l’accès conditionnel, Defender pour Office 365 Plan 1 et la gestion des appareils avec Intune, utiles pour des données sensibles ou des équipes mobiles.
Microsoft sauvegarde-t-il mes e-mails et mes fichiers ?
Microsoft réplique vos données pour assurer la disponibilité du service, mais ce n’est pas une sauvegarde au sens d’une copie restaurable après une suppression ou un rançongiciel. La corbeille SharePoint et OneDrive garde les éléments 93 jours. Pour aller au-delà, il faut l’offre payante Sauvegarde Microsoft 365 ou une solution de sauvegarde tierce.
Faites vérifier votre configuration Microsoft 365
La plupart de ces réglages ne coûtent rien de plus que votre abonnement. Chez ITAK IT, nous les passons en revue lors de chaque migration vers Office 365, et pour les entreprises déjà équipées qui veulent un regard extérieur. Notre offre de cybersécurité managée les applique et les maintient dans le temps, ce qui fait progresser votre Secure Score, et surveille vos comptes Microsoft 365 24h/24. Pour faire le point sur votre espace Microsoft 365, contactez notre équipe.
