La vérification en deux étapes sur chaque boîte mail de l'entreprise : un plan en un après-midi

Pourquoi la boîte mail passe en premier

Le Centre pour la Cybersécurité Belgique (CCB) écrit que la vérification en deux étapes rend plus difficile l'accès d'un criminel aux systèmes de messagerie et de facturation, même quand le mot de passe a été volé. Il demande à chaque entreprise de la rendre obligatoire pour tout accès depuis internet aux applications de l'entreprise, en commençant par les identifiants pour des applications comme la messagerie, l'accès à distance et les droits d'administrateur (CCB, Safeonweb@work). CyberFundamentals Small, le niveau de départ du CCB pour les micro-organisations et les organisations aux connaissances techniques limitées, commence par la protection de toutes les connexions par une authentification multifacteur (CCB, CyberFundamentals).

Eurostat compte les entreprises de 10 personnes ou plus qui combinent au moins deux moyens de connexion, comme un mot de passe et un code sur le GSM. En Belgique, elles représentaient 59,0 % en 2024, contre 39,36 % en 2022 ; dans l'ensemble de l'UE, 39,84 % en 2024 (Eurostat).

BelgiqueUE (27 pays)

2022

Belgique39,36 %

UE (27 pays)30,96 %

2024

Belgique59,0 %

UE (27 pays)39,84 %

Eurostat le mesure tous les deux ans ; 2024 est la mesure la plus récente.

Source: Eurostat, tableau isoc_cisce_ra (sécurité des TIC dans les entreprises), mis à jour le 15 juin 2026

Avant de commencer

Dressez la liste de tous les comptes qui se connectent à votre messagerie : un par personne, les comptes administrateur, les adresses partagées comme info@, et les appareils qui envoient eux-mêmes des e-mails, comme un scanner. Dites au personnel quel jour cela se fera et quelle application installer, comme le conseille le guide de Google (Google). Depuis le 29 juillet 2024, avec les paramètres de sécurité par défaut (security defaults) de Microsoft, les utilisateurs n'ont plus de délai de 14 jours pour s'inscrire (Microsoft). Demandez donc au personnel de s'inscrire à l'avance sur myprofile.microsoft.com, sous Informations de sécurité.

L'ordre du travail

1. Les administrateurs d'abord. Microsoft recommande des comptes séparés pour l'administration et pour le travail quotidien (Microsoft), ainsi qu'au moins deux comptes d'accès d'urgence, uniquement dans le cloud, qui ne sont liés à aucune personne en particulier et sont protégés par une clé d'accès (FIDO2) (Microsoft). Google impose la validation en deux étapes aux comptes administrateur, immédiatement pour toute personne qui devient administrateur (Google). Il conseille d'avoir plus d'un super-administrateur, chacun étant une personne différente, avec un compte séparé sans droits d'administration pour le travail courant (Google).
2. Un utilisateur test, sur un ordinateur portable et un GSM, pour vérifier que la messagerie et l'agenda fonctionnent toujours dans chaque application.
3. Tout le monde, un jour où quelqu'un est présent pour aider.
4. Les anciennes méthodes de connexion qui contournent la deuxième étape, une fois que vous savez qui les utilise encore.

Microsoft 365 : paramètres de sécurité par défaut ou accès conditionnel

Les paramètres de sécurité par défaut sont un seul interrupteur pour tout l'environnement (tenant), gratuit et sans réglages. Ils obligent chaque utilisateur à s'inscrire, exigent la vérification en deux étapes des administrateurs à chaque connexion et des autres utilisateurs quand Microsoft le juge nécessaire, et bloquent l'authentification héritée : les anciens protocoles comme IMAP, POP3 et SMTP, qui ne peuvent pas demander de deuxième étape (Microsoft). L'interrupteur se trouve dans le centre d'administration Microsoft Entra, sous Entra ID, Vue d'ensemble, Propriétés, Gérer les paramètres de sécurité par défaut. Microsoft conseille ensuite de révoquer les sessions existantes, pour que tout le monde doive s'inscrire.

L'accès conditionnel (Conditional Access) vous permet de définir vos propres règles. Il exige au moins une licence Microsoft Entra ID P1, et selon Microsoft, les paramètres par défaut ne conviennent probablement pas à une organisation qui dispose de P1 ou P2 (Microsoft). P1 est inclus dans Microsoft 365 Business Premium (Microsoft). Vous désactivez les paramètres par défaut quand vos propres règles prennent le relais. Une règle peut d'abord fonctionner en mode test, où elle se contente de signaler ce qu'elle ferait (report-only), sur un groupe pilote ; c'est dans ce groupe que se trouve votre utilisateur test. Les paramètres par défaut n'ont pas de groupe pilote : l'utilisateur test s'inscrit donc avant que vous n'actionniez l'interrupteur.

Avant de bloquer l'authentification héritée, ouvrez les journaux de connexion dans le centre d'administration Entra, ajoutez la colonne Client App et filtrez sur les anciens protocoles (Microsoft). Un scanner qui envoie des documents par e-mail y apparaîtra.

Google Workspace : l'application de la règle et le délai des nouveaux utilisateurs

Dans la console d'administration, connectez-vous en tant que super-administrateur et allez dans Sécurité, Authentification, Validation en deux étapes. L'ordre de Google : autorisez les utilisateurs à activer la validation en deux étapes, avec la mesure d'application sur Désactivée, laissez-les s'inscrire, suivez la progression dans le rapport de sécurité, puis activez l'application ou choisissez une date de début. Elle peut commencer 24 à 48 heures après cette date (Google). Le réglage peut différer d'une unité organisationnelle à l'autre : placez votre utilisateur test dans une unité à part.

Le délai d'inscription pour les nouveaux utilisateurs laisse à un nouvel employé de 1 jour à 6 mois pour la configurer, et jusque-là il se connecte avec son seul mot de passe : gardez-le donc court. Google déconseille de sauter la deuxième étape sur les appareils de confiance, sauf si les utilisateurs changent souvent d'appareil. Les applications tierces doivent désormais utiliser OAuth ; la connexion avec un simple mot de passe n'est plus possible, sauf avec les mots de passe d'application (Google).

Quelle méthode choisir

Le CCB classe le code par SMS ou par appel téléphonique comme l'option la moins sûre (CCB, Safeonweb@work). Microsoft écrit que les SMS, les codes par e-mail et les applications d'authentification restent exposés au phishing à distance, et recommande des méthodes résistantes au phishing comme les clés d'accès, les clés de sécurité FIDO2 et Windows Hello Entreprise (Microsoft). Google indique que les clés d'accès et les clés de sécurité offrent la même protection contre le phishing, et présente les clés de sécurité comme l'option la plus sûre pour les comptes administrateur (Google). Pour un petit bureau : une application d'authentification pour tout le monde, une clé d'accès ou une clé de sécurité pour les administrateurs.

Avec les paramètres par défaut, les utilisateurs enregistrent Microsoft Authenticator ou une autre application qui génère des codes (OATH TOTP). Authenticator fait taper à l'utilisateur un nombre affiché sur l'écran de connexion. Selon Microsoft, cela aide à contrer la fatigue MFA : une série de demandes envoyées jusqu'à ce que quelqu'un appuie sur Approuver (Microsoft).

Boîtes partagées et personnel sans GSM professionnel

Une adresse partagée comme info@ ne devrait pas être un compte dont toute l'équipe connaît le mot de passe. Dans Microsoft 365, la connexion est bloquée par défaut pour chaque nouvelle boîte aux lettres partagée (Microsoft). Le personnel l'ouvre avec son propre compte et sa propre vérification en deux étapes. Chaque boîte partagée a aussi un compte utilisateur derrière elle : vérifiez que la connexion est aussi bloquée pour les plus anciennes (Microsoft).

Ne partez pas du principe que le personnel installera une application professionnelle sur son GSM personnel : posez-lui d'abord la question. Microsoft note qu'Authenticator peut poser problème si vous ne pouvez pas garantir son installation sur un appareil personnel (Microsoft). L'alternative est une clé de sécurité accrochée au porte-clés : Microsoft Entra ID accepte une clé d'accès (FIDO2) comme deuxième étape, et Google Workspace accepte une clé de sécurité avec le réglage Toutes comme avec Clé de sécurité uniquement.

Codes de secours et deuxième administrateur

Dans Google Workspace, un administrateur peut générer des codes de secours pour un utilisateur, depuis les paramètres de sécurité de cet utilisateur. Seul un super-administrateur peut le faire pour un autre administrateur, et Google conseille aux super-administrateurs d'imprimer des codes pour les autres administrateurs et de les garder en lieu sûr (Google). Les comptes administrateur ont aussi besoin d'un numéro de téléphone et d'une adresse e-mail de récupération. Dans Microsoft 365, les comptes d'accès d'urgence sont le filet de sécurité : gardez leurs identifiants dans des endroits sûrs et distincts, et testez-les au moins tous les 90 jours (Microsoft).

Ce que la vérification en deux étapes n'arrête pas

La vérification en deux étapes protège la connexion, pas une session déjà ouverte. Les équipes de réponse aux incidents de Microsoft décrivent deux façons de la contourner : une fausse page de connexion placée entre l'utilisateur et la vraie, qui capture le mot de passe et le jeton de session, et un logiciel malveillant qui copie les cookies du navigateur pour réutiliser la session ailleurs. Dans les deux cas, le criminel passe le contrôle MFA (blog Microsoft Security, 16 novembre 2022). Notre article sur les fausses demandes de paiement via Booking.com décrit une campagne visant des hôtels avec des logiciels malveillants qui volent des identifiants.

• N'approuvez jamais une demande que vous n'avez pas lancée vous-même, et signalez-la.
• Donnez aux administrateurs une clé d'accès ou une clé de sécurité, que Microsoft considère comme résistante au phishing.
• Si un compte a peut-être été piraté, changez le mot de passe et mettez aussi fin à toutes les sessions ouvertes ; dans Microsoft 365, la commande Revoke-MgUserSignInSession le fait.

Liste de contrôle

1. Liste établie des comptes, boîtes partagées et appareils qui envoient des e-mails.
2. Le personnel connaît la date et l'application.
3. Deux comptes administrateur avec une clé d'accès ou une clé de sécurité.
4. Un utilisateur test vérifié.
5. Paramètres de sécurité par défaut ou accès conditionnel activés ; dans Google, application activée avec un court délai pour les nouveaux utilisateurs.
6. Authentification héritée vérifiée dans les journaux, puis bloquée.
7. Connexion bloquée sur les boîtes partagées.
8. Codes de secours imprimés, comptes d'urgence testés.

La vérification en deux étapes, c'est la moitié du travail. L'autre moitié, c'est un personnel qui reconnaît une fausse page de connexion ou une demande qu'il n'a pas faite. Notre atelier de sensibilisation à la cybersécurité aborde les fausses pages de connexion et les comptes qui ont besoin de la vérification en deux étapes en premier. Pour un petit bureau qui veut faire vérifier les bases de sa messagerie et de son réseau, notre offre, présentée sur la page partenaire IT pour PME, commence par un appel en ligne gratuit.