Accès conditionnel dans Microsoft 365 pour les PME : le configurer pas à pas

Chaque tenant Microsoft 365 a une frontière invisible : le moment où quelqu'un « se connecte » ne dépend pas seulement du mot de passe et de la MFA, mais des conditions auxquelles vous, en tant qu'administrateur, laissez la porte s'ouvrir. Quel appareil, quel lieu, quelle application, quel signal de risque. Cet ensemble de règles s'appelle l'accès conditionnel (Conditional Access) et, pour une PME équipée de Microsoft 365 Business Premium ou E3, c'est l'un des leviers les plus puissants dont vous disposez déjà, souvent sans l'utiliser.

Qu'est-ce que l'accès conditionnel dans Microsoft 365 ?

Conditional Access, une composante de Microsoft Entra ID (anciennement Azure AD), est le cadre de stratégies qui décide, à chaque connexion, si un utilisateur obtient l'accès et à quelles conditions. Chaque stratégie est une règle « si… alors » : si tel utilisateur tente de se connecter à telle application, sur tel appareil, depuis tel lieu, avec tel profil de risque, alors on exige la MFA, un appareil conforme, une application approuvée, ou on bloque purement et simplement.

Ce n'est donc pas un substitut aux mots de passe ni à la MFA, mais la couche qui décide quelle exigence s'applique et à quel moment. Au lieu de « MFA pour tout le monde, tout le temps », vous pouvez décider « MFA pour tout le monde hors du bureau, pas de demande au bureau sur un portable conforme ». Plus simple pour les utilisateurs et plus strict à la fois, à condition d'être bien configuré.

Pourquoi les PME doivent s'y intéresser dès maintenant

Dans le Verizon Data Breach Investigations Report 2025, l'usage abusif d'identifiants arrivait en tête des vecteurs d'accès initial : 22 % de toutes les violations de données ont commencé par un mot de passe volé. La MFA seule est utile, mais les attaquants s'adaptent avec la « MFA fatigue » (le bombardement de demandes d'approbation), le phishing de type adversary-in-the-middle et le vol de jetons. L'accès conditionnel est la couche qui ferme ces voies d'attaque en évaluant le contexte, en plus du mot de passe.

Par ailleurs, depuis 2024, Microsoft déploie automatiquement dans les tenants des stratégies de base gérées par Microsoft (comme la MFA pour les administrateurs) et, depuis 2026, le portail d'administration Entra signale plus activement les écarts de licences. Si vous disposez de Business Premium ou E3 sans faire tourner vos propres stratégies, Microsoft en pilote donc déjà quelques-unes pour vous, sans que vous les ayez configurées. C'est une raison de vous réveiller, pas de vous reposer.

De quelle licence avez-vous besoin ?

En bref : l'accès conditionnel nécessite une licence Microsoft Entra ID P1 pour chaque utilisateur auquel la stratégie s'applique. Cette licence P1 est déjà incluse dans :

• Microsoft 365 Business Premium (gamme Business)
• Microsoft 365 E3 et A3 (gamme Enterprise)
• Microsoft 365 F3 (travailleurs de première ligne)
• Microsoft Entra ID P1 en licence autonome (environ 7 dollars par utilisateur et par mois, après une hausse de 6 à 7 dollars depuis le 1er juillet 2026)

Si vous n'avez que Microsoft 365 Business Standard ou Basic, vous n'avez pas accès à l'accès conditionnel. Vous pouvez en revanche activer les Security Defaults (paramètres de sécurité par défaut), le socle gratuit de Microsoft activable en un clic, qui impose la MFA et bloque l'authentification héritée. C'est un bon début pour les très petits environnements, mais cela exclut en même temps l'accès conditionnel. Notre guide sur la mise en place de la MFA dans les PME détaille ce choix de base.

Entra ID P2 (environ 10 dollars par utilisateur et par mois, inclus dans E5) ajoute par-dessus l'accès conditionnel basé sur le risque, à partir du risque de connexion et du risque utilisateur calculés par Identity Protection, ainsi que Privileged Identity Management (PIM) et les Access Reviews. Beaucoup de PME n'achètent P2 que pour les administrateurs, et non pour le reste de l'organisation.

Les six stratégies dont presque toutes les PME ont besoin

Vous pouvez créer des stratégies à l'infini, mais cet ensemble couvre en pratique 90 % des besoins d'une PME. Microsoft les appelle lui-même « common Conditional Access policies » et les recommande comme point de départ.

1. MFA pour tous les utilisateurs

Le socle. Chaque connexion à une application cloud exige la MFA, avec éventuellement une exemption pour le bureau via un emplacement approuvé (trusted location). Commencez sans emplacement approuvé : mieux vaut un peu plus de MFA que des brèches ouvertes.

2. MFA pour les administrateurs, en plus strict

Pour des rôles comme Global Administrator, Security Administrator ou Exchange Administrator, exigez la MFA à chaque fois, sans exemption liée à l'emplacement. Idéalement avec des méthodes résistantes au phishing (clés de sécurité FIDO2 ou passkeys). Configurez-le via les Authentication Strengths dans Entra.

3. Bloquer l'authentification héritée

L'authentification héritée (legacy auth), c'est l'authentification basique sur d'anciens protocoles comme IMAP, POP3, SMTP AUTH, EWS et l'ancien MAPI. Elle contourne entièrement la MFA. Microsoft recommande explicitement cette stratégie et précise dans sa propre documentation qu'il faut d'abord la déployer en mode rapport seul (report-only) pour mesurer l'impact, avant de l'activer.

4. Exiger un appareil conforme pour les applications sensibles

Pour des applications comme Exchange Online, SharePoint Online et Teams, exigez un appareil conforme (géré via Intune et respectant vos stratégies de conformité) ou un appareil joint en mode hybride à Azure AD. Cela ferme l'accès depuis des portables personnels non mis à jour. Consultez notre guide sur Microsoft Intune pour les PME pour définir vos stratégies de conformité.

5. Traiter les connexions à risque (P2)

Avec Entra ID P2, vous pouvez poser des exigences supplémentaires selon le risque de connexion (Identity Protection) : nouvelle MFA en cas de risque moyen, blocage ou réinitialisation du mot de passe en cas de risque élevé. C'est la défense la plus efficace contre le vol de jetons et les attaques depuis des lieux inhabituels.

6. Des restrictions géographiques quand c'est pertinent

Toutes les PME n'ont pas de collaborateurs à l'international. Si votre équipe ne travaille jamais depuis certaines régions, vous pouvez les bloquer explicitement. Attention : le wifi d'un hôtel pendant les vacances d'un dirigeant peut passer par une adresse IP inattendue. Travaillez alors avec des emplacements nommés (named locations) et des notifications.

Le mode rapport seul : mesurer d'abord, imposer ensuite

Le principal piège de l'accès conditionnel, c'est la stratégie qui bloque tout le monde : vous l'activez, quelques administrateurs utilisent des outils hérités ou des scénarios particuliers, et soudain plus personne ne peut se connecter. Le processus recommandé par Microsoft règle ce problème grâce au mode rapport seul (report-only).

En mode rapport seul, la stratégie est bien évaluée à chaque connexion, mais les contrôles d'octroi ne sont pas appliqués. Le résultat apparaît dans les journaux de connexion : vous voyez précisément quels comptes auraient été concernés, dans quels scénarios, et lesquels auraient été bloqués ou soumis à la MFA.

Un déploiement raisonné se déroule ainsi :

1. Créez la stratégie en mode rapport seul.
2. Laissez-la tourner 1 à 2 semaines.
3. Analysez les résultats avec le classeur Conditional Access insights du portail Entra.
4. Ajustez les exclusions (comptes de service spécifiques, groupes système).
5. Ne passez la stratégie sur « On » qu'une fois que le rapport ne montre plus d'impact imprévu.
6. Gardez un plan de continuité d'activité sous la main au cas où un impact inattendu se manifesterait malgré tout.

Sans cette étape, vous activez des stratégies le vendredi et vous passez le dimanche soir au téléphone avec une direction furieuse.

Les comptes break-glass : l'exception délibérée

Toute stratégie d'accès conditionnel susceptible de bloquer les administrateurs doit épargner deux comptes d'urgence. Il s'agit de comptes Global Administrator spéciaux, uniquement dans le cloud, volontairement exclus de toute stratégie d'accès conditionnel, avec un mot de passe aléatoire extrêmement long conservé dans un coffre physique, et une surveillance de chaque connexion.

Microsoft recommande explicitement au moins deux comptes d'accès d'urgence de ce type, hors fédération (aucun lien hybride), exclus des stratégies MFA elles-mêmes si celles-ci couvrent tous les utilisateurs, mais assortis d'alertes détaillées en cas d'utilisation. Testez-les une fois par trimestre : un compte break-glass que plus personne ne retrouve n'en est plus un.

Ce n'est pas un bonus facultatif. Une stratégie qui bloque par erreur tous les administrateurs, sans compte de ce type, signifie un ticket de support chez Microsoft qui peut prendre des jours.

Par où commencer si vous partez de zéro

Beaucoup de PME disposent de Business Premium ou E3 mais n'ont aucune stratégie d'accès conditionnel active. Voici un enchaînement réaliste pour démarrer de zéro :

1. Semaine 1 : faites l'état des lieux. Les Security Defaults sont-ils actifs ? Des stratégies gérées par Microsoft sont-elles en place ? Quels administrateurs ont la MFA par utilisateur ? Quels comptes de service se connectent ?
2. Semaine 2 : créez deux comptes break-glass, documentez-les, placez les identifiants au coffre et configurez des alertes sur leur utilisation.
3. Semaines 3-4 : préparez les six stratégies de base en mode rapport seul. Surveillez les journaux de connexion.
4. Semaines 5-6 : analysez l'impact de chaque stratégie, ajustez les exclusions, formez le support au nouveau parcours MFA.
5. Semaine 7 : passez les stratégies sur « On » une par une, dans cet ordre : blocage de l'authentification héritée, MFA pour les administrateurs, MFA pour tous les utilisateurs, appareil conforme exigé.
6. Semaine 8 et au-delà : examinez chaque mois les journaux de connexion et ajustez. L'accès conditionnel ne se configure pas une fois pour toutes ; les nouvelles applications et les nouveaux usages demandent des ajustements.

Ce phasage évite le scénario classique « on active tout le lundi et on gère des incidents jusqu'au vendredi ». Associez-le à notre guide zero trust pour les PME pour voir comment l'accès conditionnel s'inscrit dans une stratégie zero trust plus large.

Les erreurs que nous voyons régulièrement

• Toutes les stratégies activées d'un coup, sans rapport préalable. La recette garantie pour un lundi chargé au support.
• Aucun compte break-glass. La première erreur de configuration se transforme en ticket urgent chez Microsoft.
• Des comptes de service mélangés aux stratégies utilisateurs. Une exigence de MFA sur un compte de service qui analyse des boîtes Exchange interrompt les flux de messagerie.
• Des emplacements approuvés sur chaque IP de bureau, sans MFA autour. Un utilisateur interne malveillant ou un utilisateur du wifi invité n'a alors plus besoin de MFA ; toute la couche d'accès conditionnel disparaît dans ce segment.
• Les stratégies gérées par Microsoft oubliées. Microsoft active automatiquement certaines stratégies en mode rapport seul ; si vous ne les passez jamais sur « On », votre niveau de protection est une illusion.
• Aucune surveillance des modifications de l'accès conditionnel. Si quelqu'un modifie une stratégie, vous voulez le savoir. Les journaux d'audit doivent déclencher une alerte lorsqu'un administrateur modifie les conditions de connexion.

Les limites de l'accès conditionnel

Ce n'est pas une barrière magique. L'accès conditionnel évalue les connexions ; il ne contrôle pas en permanence ce que fait une session déjà ouverte. Les jetons restent valides jusqu'à leur expiration, sauf si vous activez la Continuous Access Evaluation (CAE), qui réévalue les sessions en temps réel. Activez la CAE sur toutes les applications qui la prennent en charge.

De plus, l'accès conditionnel repose sur votre modèle d'identité. Un attaquant qui a obtenu des consentements OAuth par phishing reste parfois dans la place plus longtemps qu'on ne le voudrait. Combinez l'accès conditionnel avec une sécurité e-mail moderne contre le phishing et la compromission de messagerie professionnelle (BEC) pour un ensemble plus robuste.

Questions fréquentes sur l'accès conditionnel

Tous les abonnements Microsoft 365 incluent-ils l'accès conditionnel ? Non. Il vous faut au minimum Microsoft Entra ID P1, inclus dans Business Premium, E3, A3 et F3, ou disponible en licence autonome. Business Basic et Business Standard ne disposent que des Security Defaults.

Quelle différence entre les Security Defaults et l'accès conditionnel ? Les Security Defaults sont un socle gratuit géré par Microsoft, qui impose la MFA à tout le monde et bloque l'authentification héritée ; ils s'activent ou se désactivent en un clic. L'accès conditionnel est plus fin : vous définissez vous-même les règles par application, utilisateur, appareil et lieu. Les deux s'excluent mutuellement dans un même tenant.

L'accès conditionnel peut-il remplacer complètement la MFA ? Non. L'accès conditionnel est le cadre de stratégies qui décide quand la MFA est demandée, mais la méthode MFA elle-même (application Authenticator, clé FIDO2, passkey) reste nécessaire. Les deux sont complémentaires : sans méthode MFA, une stratégie ne peut pas imposer « exiger la MFA ».

Comment gérer les comptes de service et les identités d'application ? Excluez-les explicitement des stratégies d'accès conditionnel destinées aux utilisateurs et privilégiez les workload identities ou les managed identities dans Azure. Un compte de service avec mot de passe, exclu de toutes les stratégies, constitue un risque à part entière.

Faut-il d'abord Intune pour que l'accès conditionnel ait du sens ? En partie. Les stratégies MFA, le blocage de l'authentification héritée et les stratégies sur les connexions à risque fonctionnent sans Intune. En revanche, « exiger un appareil conforme » nécessite une solution MDM qui marque les appareils comme conformes. Beaucoup de PME démarrent sans cette exigence et l'ajoutent plus tard.

Combien coûte la mise en place de l'accès conditionnel dans une PME ? Les licences sont souvent déjà incluses si vous utilisez Business Premium ou E3. Le vrai travail porte sur la configuration, les tests et le déploiement. Selon la complexité, nous comptons 1 à 3 semaines pour un premier déploiement, avec une revue progressive en mode rapport seul.

Conclusion

L'accès conditionnel transforme la question « qui a accès ? » en une question avec du contexte. Au lieu d'une MFA statique pour tout le monde en permanence, vous laissez l'appareil, le lieu, le risque et l'application peser dans la décision. Pour une PME équipée de Microsoft 365 Business Premium ou E3, c'est une couche de sécurité déjà disponible qui reste trop souvent inutilisée. Avec un déploiement progressif, des comptes break-glass et les six stratégies de base d'abord en mode rapport seul, puis activées, vous en tirez tous les bénéfices sans laisser votre équipe à la porte pendant tout un lundi.

Vous souhaitez configurer et gérer l'accès conditionnel de façon durable, y compris la revue des connexions, les stratégies de conformité dans Intune et la documentation pour les audits ? Nous le faisons au quotidien pour des PME néerlandaises de nombreux secteurs. Planifiez un premier échange via la page contact ou appelez-nous directement au +31 85 303 5869.