Microsoft 365 : 12 réglages de sécurité à vérifier en priorité

Microsoft 365 concentre messagerie, fichiers et identités — et reste l'une des premières cibles des attaquants, qui y entrent le plus souvent avec un mot de passe volé plutôt qu'avec une faille sophistiquée. La bonne nouvelle : la majorité des compromissions exploitent des réglages par défaut jamais revus. Voici douze contrôles prioritaires.

Identités et accès

1. MFA pour tous les comptes, sans exception, administrateurs en tête.
2. Méthodes résistantes à l'hameçonnage (clés FIDO2, Windows Hello) pour les comptes sensibles : les kits modernes contournent une MFA par SMS.
3. Authentification héritée bloquée : les anciens protocoles ignorent la MFA.
4. Accès conditionnel en place et testé en mode « rapport seul » avant application.
5. Rôles d'administration au plus juste, sur des comptes dédiés, idéalement activés à la demande.
6. Deux comptes d'urgence surveillés et protégés, exclus des règles qui pourraient vous verrouiller dehors.
7. Consentement applicatif restreint : un utilisateur ne doit pas pouvoir autoriser seul une application à lire ses mails et fichiers.

Messagerie

1. SPF, DKIM et DMARC publiés, DMARC en quarantaine ou rejet, pour limiter l'usurpation de votre domaine.
2. Transferts automatiques vers l'extérieur désactivés par défaut : ils servent souvent à préparer une fraude au virement.

Partage et journalisation

1. Partage externe maîtrisé : liens anonymes limités et assortis d'une expiration.
2. Journal d'audit unifié activé, avec une durée de conservation suffisante pour enquêter.
3. Revue périodique : la configuration d'un tenant dérive vite, prévoyez un contrôle quelques mois après vos corrections.

Attention au Secure Score

Le Secure Score de Microsoft est utile pour suivre une progression, mais il attribue des points sans tenir compte de votre contexte et ne couvre pas tous les chemins d'attaque. Il ne remplace pas une revue de configuration ni une analyse des scénarios réels.

Un audit Microsoft 365 passe ces points au crible et les traduit en plan d'action priorisé. Découvrez notre audit Microsoft 365.