Activer l'authentification multifacteur sur Microsoft 365 : le tutoriel pas à pas

Quelle méthode choisir pour votre organisation ?

L'authentification multifacteur — souvent appelée MFA, double authentification ou vérification en deux étapes — demande, en plus du mot de passe, une seconde preuve : le plus souvent une validation dans l'application Microsoft Authenticator sur le téléphone. Un mot de passe dérobé par hameçonnage ne suffit alors plus à ouvrir la messagerie. Microsoft indique, d'après ses propres recherches, qu'elle peut bloquer plus de 99,2 % des attaques de compromission de compte. La CNIL, de son côté, recommande de la privilégier lorsque c'est possible, en particulier pour les accès ouverts depuis l'extérieur du réseau de l'organisme — ce qui est le cas de Microsoft 365.

Microsoft propose trois façons de l'imposer. Les paramètres de sécurité par défaut sont disponibles dans toutes les organisations Microsoft 365, sans licence supplémentaire : c'est le point de départ de la plupart des PME. Les stratégies d'accès conditionnel demandent au minimum Microsoft Entra ID P1 ; Microsoft cite Microsoft 365 Business Premium et E3 (P1) ainsi que E5 (P2). Enfin, l'authentification multifacteur « par utilisateur », plus ancienne, est qualifiée par Microsoft de méthode héritée, non recommandée.

Ces méthodes ne se cumulent pas. Les paramètres de sécurité par défaut et l'accès conditionnel ne peuvent pas être activés en même temps, et Microsoft demande de désactiver l'authentification par utilisateur pour utiliser l'un ou l'autre. Ce tutoriel suit la documentation officielle de Microsoft citée en fin d'article ; les intitulés de l'interface évoluent régulièrement et peuvent différer légèrement.

Vérifier puis activer les paramètres de sécurité par défaut

Selon Microsoft, ces paramètres sont activés sur les locataires créés depuis le 22 octobre 2019. Cela ne garantit pas qu'ils le soient encore chez vous : ils ont pu être désactivés depuis, par exemple pour faire fonctionner un ancien logiciel. La première étape consiste donc à vérifier leur état, avec un compte disposant d'un rôle d'administration suffisant — Microsoft cite les rôles Administrateur de la sécurité ou Administrateur de l'accès conditionnel.

Une fois activés, ils imposent à tous les utilisateurs de s'inscrire à l'authentification multifacteur, la demandent à chaque connexion aux comptes d'administration et, pour les autres, lorsque Microsoft l'estime nécessaire selon l'emplacement, l'appareil, le rôle et la tâche. Ils bloquent aussi les protocoles d'authentification hérités. Depuis le 29 juillet 2024, Microsoft ne laisse plus de délai de 14 jours pour l'inscription : l'utilisateur est invité à enregistrer sa méthode dès sa connexion suivante.

Si l'écran indique que l'organisation utilise déjà des stratégies d'accès conditionnel, le bouton n'est pas disponible : c'est que la protection est gérée autrement, et il ne faut rien changer sans examiner ces stratégies. Après l'activation, Microsoft conseille de révoquer les sessions existantes, avec l'applet PowerShell Revoke-MgUserSignInSession, pour que les utilisateurs déjà connectés soient eux aussi invités à s'inscrire.

1. Connectez-vous au Centre d'administration Microsoft Entra avec un compte d'administrateur.
2. Accédez à Entra ID, puis à « Vue d'ensemble », et ouvrez l'onglet « Propriétés ».
3. Descendez jusqu'à la section « Sécurité par défaut » et lisez l'état affiché.
4. Sélectionnez « Gérer les paramètres de sécurité par défaut ».
5. Dans la liste déroulante, choisissez « Activé ».
6. Cliquez sur « Enregistrer ».

Avec Microsoft 365 Business Premium : passer à l'accès conditionnel

Les paramètres de sécurité par défaut sont un interrupteur : activés ou désactivés, sans exception possible. L'accès conditionnel permet d'écrire ses propres règles. Microsoft fournit des modèles qui recréent d'abord la même protection de base, regroupés sous l'onglet « Fondation sécurisée » : « Exiger l'authentification multifacteur pour tous les utilisateurs », « Exiger l'authentification multifacteur pour les administrateurs », « Bloquer l'authentification héritée » et « Exiger l'authentification multifacteur pour la gestion Azure ».

L'ordre compte. Les deux mécanismes ne pouvant pas fonctionner en même temps, Microsoft fait commencer par la désactivation de la sécurité par défaut ; enchaînez aussitôt avec la création des stratégies, sans laisser l'organisation sans protection. Microsoft recommande aussi de créer au préalable au moins deux comptes d'administrateur d'accès d'urgence, qui ne sont attribués à aucune personne en particulier, et précise que seuls ces comptes doivent être exclus des exigences d'authentification multifacteur. Par défaut, le modèle exclut le compte qui crée la stratégie : il faut ensuite retirer cette exclusion et la remplacer par les comptes d'urgence.

1. Dans « Gérer les paramètres de sécurité par défaut », choisissez « Désactivé », indiquez comme raison « Mon organisation envisage d'utiliser l'accès conditionnel », puis enregistrez.
2. Ouvrez ensuite la page « Accès conditionnel », puis « Stratégies ».
3. Sélectionnez « Nouvelle stratégie à partir d'un modèle ».
4. Dans l'onglet « Fondation sécurisée », choisissez un modèle, par exemple « Exiger l'authentification multifacteur pour tous les utilisateurs ».
5. Sélectionnez « Vérifier + créer », passez l'état de la stratégie à « Activé », puis cliquez sur « Créer ».
6. Répétez l'opération pour les trois autres modèles de base.
7. Ouvrez chaque stratégie, remplacez dans l'onglet « Exclure » votre compte par les comptes d'accès d'urgence, puis enregistrez.

Côté salarié : enregistrer Microsoft Authenticator

Avec les paramètres de sécurité par défaut, Microsoft précise que l'inscription se fait avec l'application Microsoft Authenticator et ses notifications. Une fois inscrit, l'utilisateur peut aussi saisir un code généré par Authenticator ou par une autre application compatible avec la norme OATH TOTP. À chaque demande de validation, un numéro s'affiche à l'écran de connexion et doit être saisi dans l'application : Microsoft explique que ce mécanisme empêche d'approuver par réflexe une demande lancée par quelqu'un d'autre.

Le plus simple est d'installer l'application avant d'ouvrir la page, puis de garder l'ordinateur et le téléphone côte à côte. Si la page « Informations de sécurité » n'apparaît pas, Microsoft indique de passer par « Vérification de sécurité supplémentaire », de cocher l'application Authenticator, puis de sélectionner « Configurer » pour afficher le code QR.

1. Installez Microsoft Authenticator sur votre téléphone depuis la boutique d'applications.
2. Sur l'ordinateur, ouvrez la page « Informations de sécurité » de votre compte professionnel : mysignins.microsoft.com/security-info.
3. Sélectionnez « Ajouter une méthode de connexion », choisissez « Microsoft Authenticator », puis « Ajouter ».
4. Sélectionnez « Suivant » jusqu'à l'affichage d'un code QR.
5. Dans l'application, touchez l'icône « + », puis « Compte professionnel ou scolaire » et « Scanner un code QR ».
6. Scannez le code affiché à l'écran ; si l'appareil photo ne fonctionne pas, choisissez « Impossible de scanner l'image » sur l'ordinateur et saisissez le code manuellement.

Les erreurs fréquentes

Oublier les appareils qui se connectent « à l'ancienne ». L'authentification héritée ne prend pas en charge l'authentification multifacteur, et les paramètres de sécurité par défaut la bloquent. Microsoft range dans cette catégorie les clients Office sans authentification moderne, comme Office 2010, et tout logiciel qui utilise d'anciens protocoles de messagerie comme IMAP, SMTP ou POP3. Le cas typique en PME est le copieur multifonction qui envoie les numérisations par e-mail : Microsoft publie une procédure dédiée pour le reconfigurer. Faites l'inventaire avant d'activer, pas après.

Désactiver la sécurité par défaut « pour dépanner ». Microsoft l'écrit en toutes lettres : ne pas la désactiver, sauf pour basculer vers l'accès conditionnel. Un réglage coupé un vendredi pour débloquer une imprimante reste souvent coupé des mois.

Mélanger les méthodes. Si d'anciens comptes sont encore à l'état « Activé » ou « Appliqué » dans la page de l'authentification multifacteur par utilisateur, Microsoft demande de les repasser à « Désactivé » avant d'utiliser la sécurité par défaut ou l'accès conditionnel. À l'inverse, un état « Désactivé » sur cette page est normal avec ces deux méthodes : il ne signifie pas que le compte est sans protection.

Multiplier les exclusions. Chaque compte exclu des règles redevient protégé par son seul mot de passe. Microsoft limite les exclusions aux comptes d'accès d'urgence.

Ne pas prévenir l'équipe. Microsoft insiste sur l'information préalable des utilisateurs. Un message court suffit : ce qui va changer, quand, et une consigne simple — ne jamais valider dans Authenticator une connexion que l'on n'a pas soi-même lancée.

Pour toute l'équipe : préparer la bascule plutôt que la subir

Activer l'authentification multifacteur prend quelques minutes ; c'est la préparation qui fait la différence entre une bascule sans bruit et une matinée de téléphones qui sonnent. Inventaire des copieurs, logiciels métier et anciennes boîtes de messagerie, choix entre sécurité par défaut et accès conditionnel selon vos licences, comptes d'accès d'urgence, message aux salariés, puis accompagnement de ceux qui changent de téléphone ou n'arrivent pas à scanner le code.

Microsoft impose d'ailleurs progressivement l'authentification multifacteur pour se connecter à ses propres centres d'administration : depuis octobre 2024 pour celui de Microsoft Entra, depuis février 2025 pour celui de Microsoft 365. Les comptes d'administration y passent de toute façon. Autant l'étendre à toute l'organisation, de façon maîtrisée.

Plugin Informatique accompagne depuis 2002 les entreprises de Grenoble et de l'Isère, depuis Claix et Meylan, sur la sécurité de Microsoft 365 et la gestion des mots de passe. Si vous ne savez pas quelle méthode protège aujourd'hui vos comptes, ou si un ancien appareil vous retient de l'activer, c'est un bon point de départ pour en parler.