MFA Microsoft 365 en PME : pourquoi l’activer maintenant

Sur Microsoft 365, un mot de passe ouvre la messagerie, les fichiers, Teams et, pour un administrateur, la configuration de toute l’organisation. Le MFA (authentification multifacteur) ajoute une seconde preuve : notification validée sur le téléphone, code, clé physique. Un mot de passe volé ou réutilisé sur un autre service ne suffit plus à ouvrir la session. Microsoft indique que la très grande majorité des attaques d’identité courantes (pulvérisation de mots de passe, rejeu, hameçonnage) sont stoppées par le MFA associé au blocage de l’authentification héritée : un constat d’éditeur, à lire comme un ordre de grandeur.

Trois limites à connaître

• Le MFA ne bloque pas tout hameçonnage. Un faux site de connexion peut amener l’utilisateur à saisir son code ou à valider sa notification, et l’attaquant s’en sert aussitôt. Microsoft classe le SMS, les codes à usage unique et les applications d’authentification parmi les méthodes exposées à ce risque, et recommande les méthodes résistantes à l’hameçonnage : Windows Hello Entreprise, passkeys et clés FIDO2, certificats.
• Les protocoles hérités contournent le MFA. IMAP, POP, SMTP avec mot de passe et les très anciens clients Office ne savent pas demander de second facteur. Selon Microsoft, un attaquant peut s’en servir même quand une politique MFA existe : les paramètres de sécurité par défaut les bloquent.
• La fatigue de notification existe. Un attaquant qui connaît le mot de passe peut multiplier les demandes en espérant qu’une soit acceptée. Microsoft Authenticator demande donc de saisir un nombre affiché à l’écran de connexion plutôt qu’un simple « Approuver », mesure que Microsoft présente comme une parade.

L’interrupteur technique est simple à actionner. Le vrai travail consiste à ne rien casser : voici l’ordre que nous recommandons, en nous appuyant sur la documentation de Microsoft.

1. Inventorier ce qui se connecte, et comment

Listez les boîtes mail configurées en IMAP ou POP sur des téléphones, les copieurs et scanners qui envoient des e-mails, les applications métier qui utilisent un compte de messagerie, les anciennes versions d’Office et les comptes techniques partagés. Tout ce qui repose sur l’authentification héritée cessera de fonctionner quand elle sera bloquée : c’est avant le blocage qu’il faut le savoir.

2. Sécuriser d’abord les comptes d’administration

Microsoft recommande des comptes distincts pour l’administration et pour le travail quotidien. Prévoyez aussi deux comptes d’accès d’urgence (« break glass »), réservés aux cas où plus personne ne peut se connecter. Point souvent ignoré : selon Microsoft, ces comptes sont eux aussi soumis au MFA quand l’exigence s’applique, et il est recommandé de les équiper d’une clé FIDO2 ou d’un certificat plutôt que d’un téléphone. Conservez leurs identifiants hors ligne.

3. Choisir les méthodes

• Microsoft Authenticator avec saisie du nombre affiché : la méthode courante pour l’ensemble des collaborateurs.
• Clé FIDO2, passkey ou Windows Hello Entreprise : en priorité pour les administrateurs et la direction, cibles les plus rentables.
• SMS et appel vocal : possibles en secours, à ne pas ériger en méthode principale.

Tant que les paramètres de sécurité par défaut sont actifs, ne désactivez pas de méthodes : Microsoft avertit que cela peut verrouiller l’accès à votre propre tenant.

4. Déployer par vagues, en prévenant

Commencez par un petit groupe (informatique, direction, volontaires), corrigez ce qui remonte, puis étendez. Donnez une consigne écrite : où s’enregistrer (la page « Informations de sécurité » du profil Microsoft), quoi installer, qui appeler. Un modèle d’e-mail d’activation du MFA avec Authenticator est prêt à l’emploi.

5. Prévoir le téléphone perdu avant qu’il ne soit perdu

Définissez qui réinitialise les méthodes d’un collaborateur, après quelle vérification, et comment il enregistre son nouvel appareil. Un appel « collaborateur bloqué » qui réclame une réinitialisation en urgence doit déclencher une vérification par un canal connu, jamais un simple accord verbal. Consultez ensuite les journaux de connexion Microsoft Entra pendant les premières semaines : ils révèlent les applications oubliées.