La grande majorité des intrusions dans les comptes d’entreprise ne reposent sur aucune prouesse technique : un mot de passe réutilisé, hameçonné ou deviné, et c’est tout. Tant que l’accès tient sur un seul facteur — quelque chose que l’on sait — il suffit qu’une personne le perde. C’est pourquoi Microsoft impose désormais l’authentification multifacteur par défaut et coupe progressivement les vieilles méthodes de connexion.
MFA : le minimum, pas le luxe
L’authentification multifacteur (MFA) ajoute un deuxième facteur — quelque chose que l’on possède (votre téléphone) ou que l’on est (empreinte, visage). Même avec votre mot de passe en main, un fraudeur reste bloqué.
Deux précisions qui comptent :
- Tous les seconds facteurs ne se valent pas. Une notification dans l’application Microsoft Authenticator est nettement plus sûre qu’un code par texto, qui peut être intercepté. On privilégie l’application, voire les clés de sécurité pour les comptes sensibles.
- L’authentification héritée contourne la MFA. De vieux protocoles (POP, IMAP, anciennes versions d’Office) ne savent pas présenter de second facteur — les attaquants les adorent. Il faut les bloquer, sinon la MFA a une porte dérobée.
L’accès conditionnel : la sécurité qui s’adapte
Activer la MFA partout, tout le temps, finit par agacer les équipes — et une sécurité qui agace se fait contourner. C’est là qu’entre l’accès conditionnel de Microsoft Entra ID : des règles qui ajustent l’exigence selon le contexte.
Quelques exemples concrets :
- Connexion depuis le bureau, sur un appareil géré et conforme → accès fluide.
- Connexion depuis un pays où vous n’opérez pas → bloquée d’emblée.
- Connexion depuis un appareil inconnu → MFA exigée, et accès aux données sensibles refusé tant que l’appareil n’est pas conforme.
La sécurité devient invisible quand tout est normal, et stricte uniquement quand quelque chose cloche.
Les pièges à éviter
- Activer la MFA sans plan de récupération. Un employé qui change de téléphone sans méthode de secours, c’est un compte verrouillé. On prévoit toujours des méthodes de récupération.
- Oublier les comptes d’administration. Ce sont les plus visés et, trop souvent, les moins protégés. Ils méritent les facteurs les plus forts.
- Laisser l’authentification héritée active. Sans ce blocage, tout le reste a une faille béante.
Par où commencer
On déploie généralement par étapes : un état des lieux des connexions, l’activation de la MFA via l’application, le blocage de l’authentification héritée, puis des politiques d’accès conditionnel calibrées sur vos usages réels. Le tout se met en place en quelques jours, sans paralyser personne.
À retenir : la MFA arrête la quasi-totalité des attaques sur les comptes, et l’accès conditionnel la rend supportable au quotidien. C’est, dollar pour dollar, la mesure de sécurité la plus rentable que vous puissiez prendre.