--- title: "Comptes break-glass Microsoft 365 | DataRoad IT" description: "Sans administrateur Microsoft 365, e-mail, Teams et fichiers ne sont plus gérés. Comment créer des comptes break-glass avec clés FIDO2. Sans engagement." language: fr url: https://www.dataroad-it.com/fr/comptes-break-glass-microsoft-365/ source: https://www.dataroad-it.com/fr/comptes-break-glass-microsoft-365/ publisher: DataRoad IT (DataRoad - IT Services and Consulting), Portugal --- > Sans administrateur Microsoft 365, e-mail, Teams et fichiers ne sont plus gérés. Comment créer des comptes break-glass avec clés FIDO2. Sans engagement. # Comptes break-glass Microsoft 365 : l'assurance de l'entreprise En bref Pour les décideurs pressés. - 01 Comptes break-glass : des administrateurs globaux de secours quand les accès normaux échouent. - 02 Au moins deux, cloud uniquement (.onmicrosoft.com), avec clé FIDO2 ou certificat. - 03 Le MFA obligatoire de Microsoft s'y applique : un mot de passe sous enveloppe ne suffit plus. - 04 Clés détenues par l'entreprise, sur deux sites, alerte à chaque usage, test tous les 90 jours. ### Dans cet article Si l'unique administrateur de Microsoft 365 perd son accès, l'entreprise perd le contrôle de sa messagerie, de Teams et de ses fichiers, et la récupération dépend alors de demandes au support Microsoft et de preuves de propriété. Les comptes break-glass existent pour que cela n'arrive jamais. Ce sont des administrateurs globaux de secours, conservés par l'entreprise elle-même, qui ne servent que lorsque tout le reste a échoué. Ce guide indique combien en créer, comment les protéger et qui garde les clés. ## Quelles situations privent une entreprise d'administrateur ? Rarement une attaque sophistiquée. Presque toujours un incident banal : - **Second facteur perdu** Le téléphone de l'unique administrateur est tombé en panne, a été remplacé ou a disparu, et c'était la seule méthode configurée. - **Accès conditionnel mal activé** Une règle du type « uniquement depuis le Portugal » ou « uniquement sur les appareils de l'entreprise » a été activée avec une erreur et a verrouillé tout le monde, son auteur compris. - **Départ sans passation** Un collaborateur ou l'ancien prestataire est parti avec les identifiants. - **Compte pris** Un attaquant s'est connecté en tant qu'administrateur et a changé le mot de passe et les méthodes d'authentification. La question est toujours la même : qui peut entrer maintenant sans le compte tombé ? **Une image simple :** pensez au marteau brise-vitre d'un train. Personne ne l'utilise au quotidien, tout le monde sait où il se trouve et briser la vitre déclenche une alarme. S'il sert, c'est qu'il y a eu une urgence, et c'est consigné. ## Comment monter un compte break-glass ? Microsoft documente le sujet dans Microsoft Entra, le service d'identité qui sous-tend Microsoft 365. Traduit en décisions : - **Au moins deux** Si l'un devient inutilisable ou compromis, il reste l'autre. - **Cloud uniquement, en .onmicrosoft.com** Indépendants du serveur local, de la synchronisation et du domaine propre. - **Sans titulaire personnel** Pas de comptes au nom d'un collaborateur ni de téléphones personnels comme facteur. - **Authentification résistante à l'hameçonnage, sans mot de passe** Clé physique FIDO2 (l'option privilégiée par Microsoft) ou certificat, différente de la méthode des comptes d'administration habituels. - **Hors des règles de blocage** Exclus de l'accès conditionnel, pour qu'une erreur ne les verrouille pas aussi. - **Administrateur global permanent** Rôle toujours actif, non « éligible » sur demande d'activation. - **Identifiants séparés physiquement** Coffres distincts, accessibles aux seules personnes autorisées. - **Alarme à chaque usage** Toute connexion déclenche une alerte critique vers les décideurs. - **Test trimestriel** Au plus tous les 90 jours et à chaque changement de l'équipe IT ou de l'abonnement. ## Un mot de passe sous enveloppe suffit-il encore ? Non. Cette pratique a pris fin quand Microsoft a rendu le MFA obligatoire sur les portails d'administration, dans le centre d'administration Microsoft 365 depuis février 2025. La documentation est explicite : les comptes d'urgence ne font pas exception. Pour ces comptes, Microsoft indique deux méthodes : clé physique FIDO2 ou authentification par certificat. Dans une PME, le plus pratique est deux clés physiques par compte, sur deux sites différents. Nous comparons les méthodes disponibles dans le guide sur l'[authentification multifacteur en entreprise](https://www.dataroad-it.com/fr/mfa-authentification-multifacteur-plan-14-jours/). ## Qui doit garder les clés ? La direction de l'entreprise, jamais le prestataire IT. C'est une décision de gestion, pas une décision technique. - **Première clé** Dans le coffre de l'entreprise, à la portée de la direction. - **Seconde clé** Ailleurs : un autre bureau, le coffre personnel d'un dirigeant ou un coffre bancaire. - **Registre** Qui y a accès, où elles se trouvent et la date du dernier test, par écrit. - **Mots de passe associés** Dans un [gestionnaire de mots de passe d'entreprise](https://www.dataroad-it.com/fr/gestionnaire-mots-de-passe-entreprise/), dans un coffre réservé à la direction. Le partenaire IT opère avec des comptes d'administration nominatifs, un par technicien. Les comptes break-glass garantissent que l'entreprise ne dépend jamais de personne, nous compris. Nous recommandons de vérifier ce point dans tout contrat, comme nous le détaillons dans [ce qu'un contrat IT doit prévoir sur la sortie et les données](https://www.dataroad-it.com/fr/contrat-msp-clauses-sortie-acces-donnees/). ## Mon entreprise est-elle protégée ? Huit questions - Existe-t-il deux comptes d'urgence ou plus en .onmicrosoft.com ? - Sont-ils libres de tout lien avec des personnes ou des téléphones personnels ? - S'authentifient-ils avec une clé physique ou un certificat, et non par SMS ou application ? - Sont-ils exclus de l'accès conditionnel qui bloque les connexions ? - La direction sait-elle où se trouvent les clés, et sont-elles séparées ? - Une connexion à l'un d'eux déclenche-t-elle immédiatement une alerte ? - Le dernier test date-t-il de moins de 90 jours ? - Chaque technicien a-t-il son propre compte d'administration, sans partage ? Deux « non » ou « je ne sais pas » ou plus signifient un risque concret. Une bonne part des défaillances que nous trouvons dans la [protection de la messagerie Microsoft 365](https://www.dataroad-it.com/fr/microsoft-365-fraudes-email-filtres/) naît précisément dans l'administration. ## Comment l'appliquons-nous concrètement ? À l'[União das Freguesias de Massamá e Monte Abraão](https://www.dataroad-it.com/fr/massama-monte-abraao-migration-exchange-online/), DataRoad a migré une cinquantaine de boîtes aux lettres vers Exchange Online, avec tout leur contenu transféré, postes et smartphones reconfigurés et validation finale. Dans un organisme public, l'administration de l'environnement doit rester celle de l'organisme, quel que soit le prestataire. C'est le standard dans tous les environnements Microsoft 365 que nous gérons : des comptes nominatifs pour les techniciens, des comptes d'urgence entre les mains du client et un registre des accès sans ambiguïté. ## Les questions de ceux qui décident ### De combien de comptes break-glass une entreprise a-t-elle besoin ? Au moins deux, selon Microsoft. Ainsi, si l'un échoue ou est compromis, l'entreprise conserve son accès. ### Le téléphone de l'administrateur peut-il servir de second facteur ? Il ne le devrait pas. Ces comptes ne doivent dépendre ni de personnes ni d'appareils personnels ; Microsoft recommande une clé FIDO2 ou un certificat. ### Suffit-il de protéger le compte d'urgence par un mot de passe ? Non. Le MFA est obligatoire sur les portails d'administration Microsoft et les comptes d'urgence y sont également soumis. ### Où conserver les clés d'urgence ? Dans l'entreprise, sur deux sites sûrs et distincts, avec un registre des accès. Le partenaire IT utilise ses propres comptes nominatifs. ## Vous voulez faire auditer l'administration de votre Microsoft 365 en 5 jours ouvrés ? Nous auditons les comptes d'administration et d'urgence, les méthodes d'authentification et les règles d'accès, et vous remettons les corrections classées par priorité, sans engagement. Découvrez notre [gestion de Microsoft 365](https://www.dataroad-it.com/fr/microsoft-365-entreprise-migration-gestion/) et les plans de services gérés [IT Unlimited](https://www.dataroad-it.com/fr/support-informatique-illimite/). **Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone.** +351 211 459 950 * · sales@dataroad.pt **Appel vers un fixe portugais.* ## Sources - [Microsoft Learn : comptes d'accès d'urgence dans Entra ID](https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/security-emergency-access) - [Microsoft Learn : MFA obligatoire sur les portails d'administration](https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mandatory-multifactor-authentication) Choisie par des entreprises reconnues et internationales ★★★★★ 5,0 · 52 avis Google ★★★★★ 5,0 · 52 avis Google DataRoad ## Articles associés [Infogérance et cybersécuritéÉquipes en déplacement : portables, mobiles et Wi-Fi public sûrsLe vrai risque en voyage est le portable perdu non chiffré, pas le Wi-Fi de l'hôtel. Disque chiffré, gestion centrale, MFA et connexion maît…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/cybersecurite-equipes-en-deplacement/)[Infogérance et cybersécuritéSurface d'attaque externe : ce qu'Internet voit de votre sociétéLes attaques automatisées cherchent des versions vulnérables, quelle que soit la taille de l'entreprise. En 2025, le CERT.PT a enregistré 3 …12 octobre 2026 · 6 min de lecture](https://www.dataroad-it.com/fr/surface-attaque-externe-entreprise/)[Infogérance et cybersécuritéNOC et cybersécurité gérée : qui surveille votre PME, et quandLa question n'est pas d'avoir un SOC : c'est qui reçoit l'alerte à 22 h un samedi et ce qu'il fait ensuite. Chez DataRoad, nuits, week-ends …12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/noc-soc-cybersecurite-geree-pme/)[Infogérance et cybersécuritéSécurité Microsoft 365 : les 10 contrôles qui vous incombentDans Microsoft 365, la plateforme appartient à Microsoft et les clés sont à vous. Selon Microsoft, le MFA et le blocage de l'authentificatio…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/microsoft-365-cybersecurite-geree-responsabilite/)[Infogérance et cybersécuritéRGPD et cybersécurité gérée : 10 contrôles techniques à prouverSans mesures techniques documentées, une violation de données passe d'incident IT à problème avec l'autorité de contrôle. Dix contrôles en t…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/rgpd-cybersecurite-geree-10-mesures-techniques/)[Infogérance et cybersécuritéMots de passe exposés : auditer le domaine et agir en 5 joursLe risque n'est pas l'e-mail dans une fuite : c'est le même mot de passe qui ouvre un compte professionnel. Changer ce qui est exposé, MFA p…12 octobre 2026 · 6 min de lecture](https://www.dataroad-it.com/fr/identifiants-entreprise-fuites-de-donnees/)[Infogérance et cybersécuritéInventaire des actifs : la base de la gestion du parc et de NIS2Sans inventaire des actifs, pas de renouvellement planifié, pas de sécurité démontrable ni de réponse au CNCS. Les entités NIS2 doivent tran…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/inventaire-actifs-gestion-parc-informatique/)[Infogérance et cybersécuritéWindows 365 en entreprise : quand le PC cloud réduit les coûtsLe PC cloud est rentable pour consultants, saisonniers, équipes sans bureau et parcs mixtes Mac et Windows. Pour la vidéo, la CAO ou un inte…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/windows-365-pc-cloud-entreprise/)[Infogérance et cybersécuritéSauvegarde gérée : le test de restauration de 30 minutesUne sauvegarde jamais restaurée est un risque différé. En 30 minutes, un ancien document, un e-mail supprimé et un serveur démarré en isolem…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/sauvegarde-geree-test-restauration-30-minutes/) Des chiffres vérifiables **11** ans d’activité **232** clients **< 10 min** délai moyen de réponse **15+** Certifications IT de constructeurs **10+** Pays avec des clients accompagnés **5,0 ★** 52 avis Google Transparence ## Ce que beaucoup de prestataires taisent, nous le publions. [Voir les offres et les prix →](https://www.dataroad-it.com/it-unlimited/) - **Prix affichés** Essential dès 395 €/mois + TVA, Premium dès 750 € et Premium 365 dès 1 200 €. - **Sans engagement long** Contrat annuel, sans engagement et aucun frais d’adhésion. - **Tout par écrit** Ce qui est inclus, le périmètre et le prix, avant de signer. - **Support sans heures comptées** À distance et par téléphone dans tous les plans ; sur site à partir de Premium. Partenaires et certifications DataRoad · Cloud et Microsoft 365 ## One StepAhead of IT. Les bonnes licences, la MFA sur chaque compte et des sauvegardes qui se restaurent vraiment. Le cloud cesse d’être une facture pour devenir un outil. - **232** clients sous gestion - **M365** sauvegardé hors site - **11** ans d’activité, depuis 2015 We do **IT** right. DataRoad IT Unlimited ## Vos sauvegardes ont-elles déjà été mises à l’épreuve ? Sauvegardes automatiques et supervisées, conservées hors des locaux. [Demander une proposition sans engagement →](https://www.dataroad-it.com/fr/#contact)+351 211 459 950 **Appel vers un fixe portugais · Plus de 10 postes · contrat d’assistance · support à distance, sur site et par téléphone[Vous ne savez pas ce qu’il vous faut ? Parlez à l’assistant →](https://www.dataroad-it.com/fr/#assistente) --- Versão HTML desta página: https://www.dataroad-it.com/fr/comptes-break-glass-microsoft-365/