Comment sécuriser Microsoft 365 : la configuration minimale d'une PME
Sommaire · 5 sections
01Pourquoi vérifier les réglages en place
Microsoft active des protections de sécurité par défaut sur les nouveaux tenants Entra : inscription à la MFA, MFA selon le contexte et blocage de l’authentification héritée. Le transfert automatique du courrier vers l’extérieur est également bloqué par défaut dans les organisations récentes. Ces protections peuvent différer dans un environnement ancien ou avoir été modifiées par un administrateur. Le travail commence donc par une vérification de l’état réel, puis par l’ajustement des partages, autorisations et journaux selon vos usages.
Le modèle est explicitement partagé : l’éditeur répond de la disponibilité et de la sécurité de son infrastructure, le client répond de la configuration, des identités, des droits et de ses données. Presque tous les incidents que nous traitons sur ces environnements relèvent de la seconde moitié.
02Les six réglages qui comptent
| Réglage | Ce qu’il empêche | Effort |
|---|---|---|
| Authentification multifacteur pour tous | Réduit l’usage d’un mot de passe volé ou deviné ; la protection ne rend pas une session invulnérable | faible |
| Blocage des protocoles anciens | Le contournement de l’authentification forte par des protocoles qui ne la supportent pas | faible |
| Limitation des partages externes | Des fichiers accessibles par lien public, souvent partagés il y a des années | moyen |
| Surveillance des transferts automatiques | L’exfiltration silencieuse du courrier après compromission | faible |
| Restriction des applications tierces | Qu’un utilisateur autorise une application à lire toute sa boîte | faible |
| Vérification des journaux et de leur rétention | Rien directement — mais les traces disponibles aident à comprendre un incident | faible |
Vérifiez les deux protections. Les paramètres de sécurité par défaut d’Entra bloquent l’authentification héritée et imposent des exigences MFA. Si votre organisation les a désactivés au profit de stratégies personnalisées, vérifiez que ces stratégies couvrent bien les deux besoins.
03La règle de transfert automatique, angle mort classique
C’est le mécanisme le plus utilisé après une compromission de messagerie, et le moins surveillé. Un attaquant qui obtient un accès crée une règle discrète — souvent nommée d’un simple point — qui transfère une copie des courriels vers une adresse extérieure, puis supprime les messages transférés du dossier envoyé. La victime ne voit rien. L’attaquant lit tout, parfois pendant des mois, en attendant une occasion : une facture à intercepter, un virement à détourner.
Vérifiez que le transfert automatique vers l’extérieur reste bloqué et prévoyez une alerte à la création de règles suspectes. Le blocage est généralement la valeur par défaut des organisations récentes ; les configurations plus anciennes peuvent différer.
04Ce que la sécurité de Microsoft 365 ne couvre pas
La sauvegarde. Aucun réglage de sécurité ne récupère un fichier supprimé il y a six mois, ni un espace chiffré par un rançongiciel depuis un poste synchronisé. Une copie indépendante reste nécessaire — c’est le sujet du guide stratégie de sauvegarde pour une PME.
Le poste de travail. Un environnement parfaitement configuré n’empêche pas un poste compromis d’agir avec les droits de son utilisateur. La protection des postes est un sujet distinct et complémentaire.
L’humain. Aucun réglage n’empêche un collaborateur de valider un virement demandé par un courriel crédible. La sensibilisation reste la mesure la moins chère et la plus rentable.
La continuité du service ne remplace pas votre sauvegarde.
Il faut distinguer le fonctionnement de Microsoft 365 et la copie indépendante de vos données.
- 01Vos équipes
Messagerie, fichiers partagés et identités utilisés chaque jour.
- 02Le service Microsoft
L’éditeur assure la disponibilité de sa plateforme selon ses propres conditions.
- 03Votre copie indépendante
Une sauvegarde opérée séparément permet de restaurer après une suppression ou un incident.
Périmètre, fréquence et conservation de la copie sont confirmés dans la proposition.
05Ce que nous relevons en reprise d’environnement
Constats issus des environnements repris par 8TECH (1er semestre 2026, ensemble des clients). Les réglages décrits évoluent avec l’interface de l’éditeur : ce guide décrit des principes et non une procédure pas-à-pas, précisément pour rester valable. 8TECH est partenaire Microsoft et labellisée ExpertCyber.