Double authentification (MFA) sur Microsoft 365 : où en êtes-vous vraiment ?

Depuis le 9 février 2026, Microsoft a rendu la double authentification obligatoire pour tout compte accédant au centre d'administration Microsoft 365. Beaucoup d'entreprises l'ont donc déjà activée pour leurs administrateurs — souvent dans l'urgence, pour ne pas se retrouver bloquées hors de leur propre tenant. Mais cette obligation ne concerne que les comptes admin. Pour l'ensemble de vos collaborateurs — messagerie, Teams, SharePoint, OneDrive — la MFA reste, à ce jour, une option que vous devez activer vous-même.

C'est là que se situe le vrai risque : un administrateur protégé, mais 20 ou 50 boîtes mail encore accessibles avec un simple mot de passe.

Pourquoi c'est le premier rempart contre le piratage

Selon les études de Microsoft, la double authentification bloque plus de 99 % des tentatives de compromission de compte par mot de passe seul. C'est de loin la mesure de sécurité au meilleur rapport efficacité / coût de mise en œuvre : elle ne nécessite ni nouvel investissement matériel, ni changement de logiciel, seulement une configuration et un peu d'accompagnement des utilisateurs.

Concrètement, la MFA neutralise les scénarios les plus fréquents :

• un mot de passe volé par phishing ne suffit plus à se connecter
• un mot de passe réutilisé sur un site tiers piraté (credential stuffing) devient inutilisable seul
• une tentative de connexion automatisée par force brute échoue systématiquement

Ce que Microsoft a réellement rendu obligatoire (et ce qui ne l'est pas)

Il y a une confusion fréquente à éclaircir : l'obligation de février 2026 s'applique à l'accès aux portails d'administration (centre d'administration Microsoft 365, Entra, Intune) et aux comptes disposant de droits d'administration. Elle ne s'applique pas automatiquement à l'usage courant de Microsoft 365 par le reste de vos équipes.

Autrement dit : avoir mis vos administrateurs en conformité ne signifie pas que votre entreprise est protégée. C'est l'ensemble des comptes utilisateurs qu'il faut couvrir.

Les trois façons d'activer la MFA sur vos comptes utilisateurs

Les paramètres de sécurité par défaut

La solution la plus simple, disponible sur tous les abonnements Microsoft 365, y compris les plus basiques. Elle active la MFA pour l'ensemble des utilisateurs du tenant, sans possibilité de réglage fin. Idéale pour une petite structure qui veut une protection immédiate sans complexité de configuration.

L'accès conditionnel

Disponible à partir des licences Microsoft Entra ID P1 (généralement incluses dans Microsoft 365 Business Premium), l'accès conditionnel permet de moduler l'exigence de MFA : par exemple ne pas redemander de second facteur depuis un appareil de l'entreprise déjà reconnu, mais l'exiger systématiquement depuis un poste inconnu ou un pays inhabituel. C'est l'option recommandée pour une entreprise qui a des équipes en mobilité ou plusieurs sites.

La MFA par utilisateur (méthode historique)

Une méthode plus ancienne, activable compte par compte, aujourd'hui déconseillée par Microsoft au profit des deux options ci-dessus, car plus rigide et plus lourde à administrer à mesure que les effectifs grandissent.

Quelle méthode de vérification choisir pour vos équipes ?

Toutes les méthodes ne se valent pas en termes de sécurité et de confort d'usage :

• Application Microsoft Authenticator (notification à valider sur smartphone) : le bon compromis pour la majorité des collaborateurs, rapide et sans coût
• Clé de sécurité physique (FIDO2) : le niveau de protection le plus élevé, résistant au phishing, à réserver aux comptes à privilèges (direction, administrateurs, comptabilité)

Les points de vigilance avant de déployer

• Prévoyez au moins deux comptes d'accès d'urgence exclus de la politique MFA, non attribués à une personne en particulier, à n'utiliser qu'en cas de blocage général — c'est une recommandation explicite de Microsoft
• Accompagnez l'inscription des utilisateurs : une bascule sans explication génère des tickets de support et de la friction ; un mail simple expliquant la démarche évite l'essentiel des blocages
• Vérifiez vos comptes de service : certains outils ou automatisations utilisent parfois un compte utilisateur classique pour se connecter à Microsoft 365 — ces usages doivent être identifiés avant l'activation générale pour ne pas casser une intégration

En résumé

L'obligation de février 2026 a mis la MFA sous le feu des projecteurs, mais elle ne couvre que les comptes admin. Pour une protection réelle, il faut l'étendre à l'ensemble de vos utilisateurs Microsoft 365 — une action rapide à mettre en œuvre, sans coût de licence supplémentaire dans la plupart des cas, et qui reste la mesure de cybersécurité la plus efficace au regard de l'effort qu'elle demande.

Le Groupe ADINFO accompagne les entreprises du Grand Ouest dans le déploiement de la double authentification sur Microsoft 365, de la configuration technique à l'accompagnement des utilisateurs. Besoin d'un audit rapide de votre tenant ? Contactez nos experts.