Comptes break-glass Microsoft 365 : l'assurance de l'entreprise

Rarement une attaque sophistiquée. Presque toujours un incident banal :

• Second facteur perdu Le téléphone de l'unique administrateur est tombé en panne, a été remplacé ou a disparu, et c'était la seule méthode configurée.
• Accès conditionnel mal activé Une règle du type « uniquement depuis le Portugal » ou « uniquement sur les appareils de l'entreprise » a été activée avec une erreur et a verrouillé tout le monde, son auteur compris.
• Départ sans passation Un collaborateur ou l'ancien prestataire est parti avec les identifiants.
• Compte pris Un attaquant s'est connecté en tant qu'administrateur et a changé le mot de passe et les méthodes d'authentification.

La question est toujours la même : qui peut entrer maintenant sans le compte tombé ?

Une image simple : pensez au marteau brise-vitre d'un train. Personne ne l'utilise au quotidien, tout le monde sait où il se trouve et briser la vitre déclenche une alarme. S'il sert, c'est qu'il y a eu une urgence, et c'est consigné.

Microsoft documente le sujet dans Microsoft Entra, le service d'identité qui sous-tend Microsoft 365. Traduit en décisions :

• Au moins deux Si l'un devient inutilisable ou compromis, il reste l'autre.
• Cloud uniquement, en .onmicrosoft.com Indépendants du serveur local, de la synchronisation et du domaine propre.
• Sans titulaire personnel Pas de comptes au nom d'un collaborateur ni de téléphones personnels comme facteur.
• Authentification résistante à l'hameçonnage, sans mot de passe Clé physique FIDO2 (l'option privilégiée par Microsoft) ou certificat, différente de la méthode des comptes d'administration habituels.
• Hors des règles de blocage Exclus de l'accès conditionnel, pour qu'une erreur ne les verrouille pas aussi.
• Administrateur global permanent Rôle toujours actif, non « éligible » sur demande d'activation.
• Identifiants séparés physiquement Coffres distincts, accessibles aux seules personnes autorisées.
• Alarme à chaque usage Toute connexion déclenche une alerte critique vers les décideurs.
• Test trimestriel Au plus tous les 90 jours et à chaque changement de l'équipe IT ou de l'abonnement.

Non. Cette pratique a pris fin quand Microsoft a rendu le MFA obligatoire sur les portails d'administration, dans le centre d'administration Microsoft 365 depuis février 2025. La documentation est explicite : les comptes d'urgence ne font pas exception.

Pour ces comptes, Microsoft indique deux méthodes : clé physique FIDO2 ou authentification par certificat. Dans une PME, le plus pratique est deux clés physiques par compte, sur deux sites différents. Nous comparons les méthodes disponibles dans le guide sur l'authentification multifacteur en entreprise.

La direction de l'entreprise, jamais le prestataire IT. C'est une décision de gestion, pas une décision technique.

• Première clé Dans le coffre de l'entreprise, à la portée de la direction.
• Seconde clé Ailleurs : un autre bureau, le coffre personnel d'un dirigeant ou un coffre bancaire.
• Registre Qui y a accès, où elles se trouvent et la date du dernier test, par écrit.
• Mots de passe associés Dans un gestionnaire de mots de passe d'entreprise, dans un coffre réservé à la direction.

Le partenaire IT opère avec des comptes d'administration nominatifs, un par technicien. Les comptes break-glass garantissent que l'entreprise ne dépend jamais de personne, nous compris. Nous recommandons de vérifier ce point dans tout contrat, comme nous le détaillons dans ce qu'un contrat IT doit prévoir sur la sortie et les données.

1. Existe-t-il deux comptes d'urgence ou plus en .onmicrosoft.com ?
2. Sont-ils libres de tout lien avec des personnes ou des téléphones personnels ?
3. S'authentifient-ils avec une clé physique ou un certificat, et non par SMS ou application ?
4. Sont-ils exclus de l'accès conditionnel qui bloque les connexions ?
5. La direction sait-elle où se trouvent les clés, et sont-elles séparées ?
6. Une connexion à l'un d'eux déclenche-t-elle immédiatement une alerte ?
7. Le dernier test date-t-il de moins de 90 jours ?
8. Chaque technicien a-t-il son propre compte d'administration, sans partage ?

Deux « non » ou « je ne sais pas » ou plus signifient un risque concret. Une bonne part des défaillances que nous trouvons dans la protection de la messagerie Microsoft 365 naît précisément dans l'administration.

À l'União das Freguesias de Massamá e Monte Abraão, DataRoad a migré une cinquantaine de boîtes aux lettres vers Exchange Online, avec tout leur contenu transféré, postes et smartphones reconfigurés et validation finale. Dans un organisme public, l'administration de l'environnement doit rester celle de l'organisme, quel que soit le prestataire.

C'est le standard dans tous les environnements Microsoft 365 que nous gérons : des comptes nominatifs pour les techniciens, des comptes d'urgence entre les mains du client et un registre des accès sans ambiguïté.

Nous auditons les comptes d'administration et d'urgence, les méthodes d'authentification et les règles d'accès, et vous remettons les corrections classées par priorité, sans engagement. Découvrez notre gestion de Microsoft 365 et les plans de services gérés IT Unlimited.

Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone. +351 211 459 950 * · sales@dataroad.pt

*Appel vers un fixe portugais.

• Microsoft Learn : comptes d'accès d'urgence dans Entra ID
• Microsoft Learn : MFA obligatoire sur les portails d'administration