Rendre le MFA obligatoire sur Microsoft 365 sans blocage

Le MFA bloque plus de 99 % des attaques par mot de passe, selon les analyses de Microsoft. C'est, de loin, la mesure au meilleur rapport effort/protection pour une PME. Pourtant beaucoup d'organisations hésitent encore à le rendre obligatoire, par crainte de bloquer des utilisateurs, de perturber des comptes de service, ou pire, de se verrouiller elles-mêmes hors du tenant. Cette prudence est légitime : ce n'est pas la règle qui est risquée, c'est la manière de l'activer.

Bonne nouvelle : une méthode éprouvée permet de généraliser le MFA sans aucun blocage subi. Elle repose sur trois piliers — le mode report-only pour observer avant d'appliquer, le compte bris-de-glace pour garder une porte de secours, et le blocage de l'authentification héritée pour que le MFA ne soit pas contournable. Voyons comment l'appliquer pas à pas, avec un exemple concret et les erreurs à ne pas commettre.

Pourquoi le MFA seul ne suffit pas

Activer le MFA sans bloquer l'authentification héritée laisse une porte grande ouverte. Les anciens protocoles — POP, IMAP, SMTP basique, anciens clients de messagerie — ne prennent pas en charge le MFA et permettent de s'authentifier avec un simple couple identifiant/mot de passe. Un attaquant qui a volé un mot de passe l'exploitera par ce canal, sans jamais rencontrer de demande de second facteur. Le blocage de l'authentification héritée est donc indissociable du MFA : les deux mesures forment un tout.

Concrètement, on déploie deux règles d'Accès conditionnel complémentaires : l'une exige le MFA pour tous les utilisateurs sur les applications cloud, l'autre bloque les clients d'authentification héritée. Sans la seconde, la première peut être contournée ; sans la première, la seconde ne protège rien. C'est cette combinaison qui ferme réellement la porte.

La bonne séquence de déploiement

1. 1Créer la règle d'Accès conditionnel « MFA pour tous » en mode report-only (audit).
2. 2Sélectionner et exclure un compte bris-de-glace (accès d'urgence) de la règle.
3. 3Créer en parallèle une règle bloquant l'authentification héritée, également en report-only.
4. 4Observer les connexions simulées pendant quelques jours dans les journaux de connexion.
5. 5Identifier et traiter les faux positifs : comptes de service, applications spécifiques.
6. 6Basculer les deux règles en mode appliqué une fois les exclusions nécessaires en place.

Le compte bris-de-glace, filet indispensable

Ne jamais activer une règle d'Accès conditionnel sans avoir exclu au préalable un compte d'accès d'urgence.

Le compte bris-de-glace est un compte d'administration dédié, réservé aux urgences, exclu de la règle, pour garder un accès si le MFA défaille — panne du fournisseur d'identité, appareil MFA perdu, erreur de configuration. Microsoft recommande d'en maintenir au moins un, avec un mot de passe long stocké hors ligne, et de surveiller ses connexions. AuPoint exige sa sélection avant d'activer toute règle et l'exclut automatiquement de chaque déploiement, ce qui rend l'oubli impossible.

Un exemple concret : passer soixante utilisateurs au MFA

Une entreprise de soixante personnes veut généraliser le MFA. L'administrateur crée les deux règles en report-only et exclut un compte d'urgence. Pendant une semaine, il observe les journaux de connexion : la plupart des utilisateurs auraient validé un MFA sans problème, mais trois cas ressortent — un compte de service qui synchronise une application comptable, une imprimante multifonction qui envoie des courriels via SMTP, et un ancien téléphone configuré en IMAP.

Il traite chaque cas : le compte de service passe sur une authentification moderne, l'imprimante bascule sur un connecteur SMTP authentifié, et l'ancien téléphone est reconfiguré. Une fois ces trois faux positifs réglés, il bascule les deux règles en mode appliqué un lundi matin, après avoir prévenu l'équipe la semaine précédente. Le jour J, personne n'est bloqué et le support ne reçoit qu'une poignée de questions sur l'application d'authentification. Le MFA est généralisé sans le moindre incident.

Toutes les méthodes MFA ne se valent pas

Rendre le MFA obligatoire, c'est bien ; choisir des méthodes solides, c'est mieux. Toutes les méthodes n'offrent pas le même niveau de résistance aux attaques modernes, notamment à l'hameçonnage en temps réel qui intercepte les codes à usage unique.

• Le SMS et l'appel vocal fonctionnent mais restent les méthodes les plus faibles, vulnérables au détournement de carte SIM.
• La notification push via Microsoft Authenticator est un bon compromis, surtout avec la correspondance de numéros activée contre la fatigue MFA.
• Les clés de sécurité FIDO2 et les passkeys sont résistantes à l'hameçonnage : ce sont les méthodes recommandées pour les comptes à privilèges.
• Windows Hello Entreprise offre une authentification forte et sans mot de passe, adossée au matériel du poste.

Une bonne stratégie consiste à imposer le MFA à tous, puis à réserver les méthodes résistantes à l'hameçonnage aux administrateurs et aux accès sensibles. On active la correspondance de numéros dans Authenticator pour contrer les demandes d'approbation frauduleuses, et on décourage progressivement le SMS. Ce durcissement se fait après la généralisation, une fois le socle MFA en place et stabilisé.

Les erreurs qui provoquent des blocages

• Activer directement en mode appliqué, sans phase report-only : les faux positifs deviennent des blocages réels.
• Oublier d'exclure le compte bris-de-glace : risque de verrouillage total, y compris de l'administrateur.
• Négliger les comptes de service et les applications non interactives, qui ne peuvent pas faire de MFA.
• Activer le MFA sans bloquer l'authentification héritée : la protection reste contournable.
• Ne pas prévenir les utilisateurs : une vague d'appels au support le jour de l'activation.

Comment AuPoint sécurise le déploiement

AuPoint propose le MFA et le blocage de l'authentification héritée comme des contrôles prêts à l'emploi, décrits en français. Avant application, l'aperçu d'impact montre combien d'utilisateurs seront concernés et lesquels. L'exclusion « moi-même » et le compte bris-de-glace sont injectés automatiquement dans les exclusions, ce qui rend le verrouillage impossible. Chaque règle est déployable d'abord en report-only, puis basculée en appliqué en un clic — et réversible tout aussi facilement en cas de doute.

Côté conformité, le MFA répond à une exigence centrale d'ISO 27001, de NIS2 et du RGPD. Le contrôle est mappé à ces référentiels et intégré à votre rapport de conformité exportable, ce qui vous permet de prouver l'authentification forte lors d'un audit ou d'un questionnaire client, sans reconstituer l'historique à la main.

Questions fréquentes

Combien de temps observer en report-only ?

Quelques jours suffisent en général pour couvrir un cycle d'activité complet, y compris les connexions hebdomadaires ou les comptes utilisés occasionnellement. L'objectif est de repérer tous les faux positifs avant de passer en mode appliqué, pas de laisser la règle dormir indéfiniment en audit.

Que faire des comptes de service ?

Les comptes non interactifs ne peuvent pas réaliser de MFA. Il faut les identifier, les exclure de la règle et les sécuriser autrement (identités managées, restrictions d'emplacement, authentification moderne). Le mode report-only les fait justement remonter avant tout blocage.

Le MFA peut-il être contourné ?

Oui, si l'authentification héritée reste active. C'est pourquoi il faut toujours coupler le MFA au blocage des anciens protocoles. Les deux règles vont de pair et doivent être basculées en appliqué ensemble.

Connectez votre tenant à AuPoint, sélectionnez votre compte bris-de-glace et déployez le MFA en report-only en un clic. Observez, ajustez, puis passez à l'application l'esprit tranquille. Démarrez gratuitement dès aujourd'hui.