Accueil / Conseils
Microsoft 365 : cinq réglages à vérifier avant d'ouvrir un compte
Un tenant neuf arrive avec des valeurs par défaut pensées pour l'adoption, pas pour la maîtrise. Voici les cinq points que je contrôle en premier.
À retenir
- Les comptes d'administration ne doivent jamais servir au quotidien.
- Un lien de partage anonyme est une publication : il n'a pas d'expiration par défaut.
- La corbeille de Microsoft 365 n'est pas une sauvegarde.
L'authentification à deux facteurs, et ses angles morts
L'activation du second facteur est le premier geste, mais elle ne suffit pas si elle laisse des exceptions. Les comptes de service, les boîtes partagées utilisées pour l'envoi de messages automatiques et les comptes de test sont les oubliés habituels : soit ils contournent la règle, soit ils l'appliquent avec un numéro de téléphone qui n'existe plus.
La méthode d'authentification compte autant que son activation. Un second facteur par SMS protège du vol de mot de passe, malgré les faiblesses connues de ce canal ; une application d'authentification avec validation par nombre protège mieux. L'idéal reste une clé physique pour les comptes d'administration, précisément parce qu'ils sont les plus exposés.
Séparer les rôles d'administration
Le compte qui administre le tenant ne doit pas être celui qui lit le courriel le matin. Un compte dédié, sans boîte aux lettres, avec un mot de passe long et un second facteur, réduit considérablement la surface d'attaque d'un tenant.
Et il faut attribuer le rôle le plus faible possible : administrateur d'échange pour qui gère les boîtes, administrateur de facturation pour qui paie, administrateur général seulement pour le petit nombre de personnes qui en ont réellement besoin. C'est un travail de reprise, pas un réglage — mais c'est celui qui compte le jour où un poste est compromis.
Le partage externe
Par défaut, une organisation peut souvent produire des liens accessibles à toute personne disposant de l'adresse, sans compte. Ces liens sont pratiques pour la vie quotidienne et problématiques pour les données qui circulent dans une entreprise : ils n'expirent pas forcément et n'ont pas toujours de date de révocation.
Le réglage raisonnable n'est pas l'interdiction, c'est l'encadrement : partage externe limité aux destinataires nommés, expiration par défaut, et revue périodique des liens actifs créés par les utilisateurs.
Rétention et journal d'audit
Les éléments supprimés (courriels, fichiers) restent récupérables pendant une durée qui dépend de la licence souscrite, souvent jusqu'à quelques semaines ou quelques mois. Au-delà, ils sont perdus — et la durée est plus courte qu'on ne l'imagine généralement.
Le journal d'audit, lui, raconte qui a fait quoi : connexions, attributions de droits, suppressions. Sa conservation par défaut est brève ; l'allonger se règle et se paie au volume. Sans lui, une intrusion découverte trois semaines plus tard devient indéchiffrable.
La sauvegarde des données, justement
Microsoft garantit la disponibilité du service, pas la restitution de vos données après une erreur humaine, une synchronisation malheureuse ou la suppression d'un site. Corbeille et versionnage couvrent les accidents immédiats ; ils ne couvrent pas une suppression massive découverte deux mois plus tard, un compte piraté qui vide les bibliothèques, ni un besoin d'export à une date précise.
Une sauvegarde tierce de Microsoft 365 — boîtes, SharePoint, OneDrive, Teams — règle ce point. C'est un coût récurrent, à mettre en face du prix d'une reprise d'activité sans données.