Réponse courte : pour activer la double authentification Microsoft 365 dans une PME sans licence supplémentaire, un administrateur active les « paramètres de sécurité par défaut » dans le centre d’administration Microsoft Entra. Tous les salariés doivent alors enregistrer l’application Microsoft Authenticator. Les anciens protocoles de connexion sont bloqués. Prévenez les équipes avant et gardez deux comptes administrateurs.
La double authentification Microsoft 365, aussi appelée MFA (authentification multifacteur), demande une preuve en plus du mot de passe : une validation sur le téléphone ou un code temporaire. Pour une PME, c’est la mesure la plus rentable contre le piratage des boîtes mail. Selon Microsoft, la MFA peut bloquer plus de 99,2 % des attaques par compromission de compte. Voici comment la mettre en place proprement, sans bloquer personne.
Pourquoi activer la MFA sur Microsoft 365 maintenant ?
Parce qu’un mot de passe volé suffit aujourd’hui à prendre le contrôle d’une messagerie professionnelle, et que Microsoft impose déjà la MFA aux administrateurs.
Un compte Microsoft 365 donne accès aux e-mails, à OneDrive, à SharePoint et à Teams. Un attaquant qui y entre peut envoyer de fausses factures à vos clients, modifier un RIB ou récupérer des documents sensibles. Les mots de passe fuient via le phishing, les fuites de bases de données ou la réutilisation d’un même mot de passe sur plusieurs sites.
Microsoft a de son côté rendu la MFA obligatoire par étapes. Depuis octobre 2024, elle est exigée pour les opérations sur le portail Azure, le centre d’administration Microsoft Entra et le centre d’administration Intune. Pour le centre d’administration Microsoft 365, l’application progressive a commencé en février 2025. Microsoft précise qu’il n’y a aucun moyen de refuser cette obligation. Autant étendre la protection à tous les utilisateurs.
Quelle méthode choisir pour une PME : paramètres par défaut ou accès conditionnel ?
Pour la plupart des petites structures, les paramètres de sécurité par défaut suffisent ; l’accès conditionnel convient aux entreprises qui ont des licences Entra ID P1 ou P2 et des besoins précis.
| Critère | Paramètres de sécurité par défaut | Accès conditionnel |
|---|---|---|
| Licence requise | Aucune, inclus gratuitement | Au minimum Microsoft Entra ID P1 |
| Réglage | Un seul interrupteur | Règles sur mesure (lieu, appareil, application) |
| Exceptions possibles | Non | Oui, par groupe ou par situation |
| Anciens protocoles | Bloqués automatiquement | Bloqués via une règle dédiée |
| Cible idéale | TPE et PME sans besoin particulier | PME avec postes gérés, prestataires, télétravail encadré |
Microsoft indique lui-même que les organisations disposant de licences P1 ou P2 ont plutôt intérêt à passer par l’accès conditionnel. À l’inverse, s’il est impossible d’utiliser l’accès conditionnel, l’éditeur recommande d’activer les paramètres de sécurité par défaut.
Que changent les paramètres de sécurité par défaut ?
Ils imposent la MFA à tous, renforcent la protection des administrateurs et coupent les accès qui contournent la double authentification.
- Enregistrement obligatoire : chaque utilisateur doit enregistrer une méthode MFA. Le délai de grâce de 14 jours a été supprimé depuis le 29 juillet 2024.
- Administrateurs : les rôles sensibles (administrateur général, administrateur de la sécurité, administrateur des utilisateurs…) valident la MFA à chaque connexion.
- Utilisateurs : la MFA est demandée quand c’est nécessaire, par exemple lors d’une connexion inhabituelle.
- Anciens protocoles bloqués : les connexions par des protocoles hérités, qui ne savent pas gérer la MFA, sont refusées.
- Flux par code d’appareil : depuis le 1er juillet 2026, il est bloqué sur les nouveaux locataires, une méthode souvent détournée par les attaquants.
- Méthode : application Microsoft Authenticator avec notification, ou application de codes temporaires (TOTP). L’utilisateur saisit un nombre affiché à l’écran, ce qui limite les attaques par « fatigue MFA ».
Comment activer la double authentification Microsoft 365, étape par étape ?
Préparez les équipes, sécurisez les comptes administrateurs, puis activez le réglage dans le centre d’administration Entra.
- Inventoriez les comptes : utilisateurs actifs, boîtes partagées, comptes de départ non supprimés. Désactivez ceux qui ne servent plus.
- Créez deux comptes administrateurs nominatifs, réservés à l’administration, pour ne jamais perdre l’accès.
- Repérez les usages anciens : vieux logiciel de messagerie, imprimante qui envoie des scans par e-mail, application métier connectée à la boîte mail. Ils peuvent cesser de fonctionner une fois les protocoles hérités bloqués.
- Prévenez les salariés quelques jours avant : quoi installer (Microsoft Authenticator), quand, et qui appeler en cas de souci.
- Activez le réglage : connectez-vous à entra.microsoft.com avec au moins le rôle Administrateur de l’accès conditionnel, ouvrez Entra ID, puis Vue d’ensemble, puis Propriétés. Cliquez sur « Gérer les paramètres de sécurité par défaut », choisissez « Activé », puis « Enregistrer ».
- Accompagnez l’enregistrement : à la connexion suivante, chaque salarié scanne un QR code avec son téléphone. Prévoyez une demi-journée de support.
- Contrôlez : vérifiez dans le centre d’administration que tous les comptes ont bien une méthode enregistrée.
Si votre locataire est géré avec l’accès conditionnel, la logique est la même, mais les règles se créent une par une. Notre service Microsoft 365 et Google Workspace prend en charge ce paramétrage.
Quelles erreurs éviter lors du déploiement ?
La plus fréquente est d’activer la MFA un lundi matin sans prévenir personne ; la plus grave est de se retrouver sans administrateur capable de se connecter.
- Un seul compte administrateur, lié au téléphone d’une seule personne.
- Des comptes partagés (« accueil@ », « compta@ ») utilisés à plusieurs avec un mot de passe commun : transformez-les en boîtes partagées.
- Oublier les appareils et logiciels anciens qui envoient des e-mails.
- Laisser les salariés valider toute notification reçue : expliquez qu’une demande qu’ils n’ont pas déclenchée est un signal d’alerte.
- Croire que la MFA dispense de la sensibilisation : une session peut encore être volée via une page de phishing élaborée. Voir notre sensibilisation au phishing.
En cas de compte déjà compromis, suivez notre guide Compte e-mail piraté : que faire dans la première heure ? ou faites appel à notre réponse à incident cyber.
L’avis de l’expert
Dans les grands comptes, la MFA n’est jamais un projet technique isolé : c’est un changement d’habitudes, piloté comme un déploiement de correctifs. On commence par un groupe pilote, on mesure, puis on généralise. Dans une PME, le principe reste valable à petite échelle. Activez d’abord la MFA sur vos comptes administrateurs, puis sur deux ou trois salariés volontaires pendant une semaine. Vous découvrirez ainsi l’imprimante ou le logiciel qui bloque, avant que toute l’équipe soit concernée. Autre réflexe de grand compte : tenir une liste à jour des comptes et des méthodes enregistrées. C’est ce qui permet de réagir vite le jour où un téléphone est perdu ou un salarié quitte l’entreprise. La MFA s’intègre ensuite dans une routine plus large, avec les mises à jour et la surveillance, ce que nous faisons dans notre infogérance PME.
Et pour les PME du 92 ?
À La Garenne-Colombes, Courbevoie, Nanterre ou Colombes, beaucoup de cabinets, commerces et petites agences utilisent Microsoft 365 sans avoir jamais touché aux réglages de sécurité. SOSPC82 peut venir sur place pour activer la MFA, enregistrer les téléphones des salariés et vérifier que les logiciels anciens fonctionnent encore. L’intervention peut aussi se faire à distance partout en France. Pour faire le point sur l’ensemble de votre sécurité, un audit cybersécurité PME est un bon départ, en complément de notre checklist des 10 mesures essentielles. Nos zones d’intervention couvrent tous les Hauts-de-Seine, 24 h/24 et 7 j/7.
Questions fréquentes
La double authentification Microsoft 365 est-elle payante ?
Non. Les paramètres de sécurité par défaut sont fournis sans coût supplémentaire, y compris avec la version gratuite de Microsoft Entra ID. Seul l’accès conditionnel, plus fin, demande au minimum une licence Microsoft Entra ID P1.
Peut-on refuser la MFA imposée par Microsoft sur les portails d’administration ?
Non. Microsoft indique qu’il n’existe aucun moyen de se soustraire à cette obligation, seulement des possibilités de report limitées dans le temps. Les comptes administrateurs doivent donc être prêts à valider une connexion avec un second facteur.
Le SMS suffit-il comme second facteur ?
C’est mieux que rien, mais ce n’est pas l’option recommandée. Avec les paramètres de sécurité par défaut, Microsoft privilégie l’application Microsoft Authenticator avec notification et saisie d’un nombre, ou une application de codes TOTP.
Que faire si un salarié perd son téléphone ?
Un administrateur supprime ses méthodes d’authentification dans le centre d’administration, puis le salarié en enregistre de nouvelles sur son nouvel appareil. Prévoyez cette procédure à l’avance et gardez deux comptes administrateurs pour ne jamais être bloqué.
La MFA protège-t-elle contre tout ?
Non. Elle bloque l’immense majorité des attaques par vol de mot de passe, mais un salarié peut encore valider une demande frauduleuse ou se faire voler une session. La sensibilisation au phishing et la surveillance des connexions restent nécessaires.
En résumé
- La MFA peut bloquer plus de 99,2 % des attaques par compromission de compte selon Microsoft, et elle est déjà obligatoire pour les administrateurs.
- Sans licence particulière, les paramètres de sécurité par défaut activent la MFA pour tous gratuitement, en quelques clics.
- Préparez le déploiement : deux comptes administrateurs, inventaire des usages anciens, salariés prévenus.
Besoin d’aide pour activer la double authentification sans bloquer votre équipe ? Découvrez notre service Microsoft 365 et Google Workspace ou appelez le 07 69 36 92 60. Devis gratuit sous 24 h.
Article rédigé par Kevin Aquino, Technical Lead patch management et fondateur de SOSPC82
Sources :