Sécuriser Google Workspace et Microsoft 365 : les réglages d’administration qui comptent

Google Workspace et Microsoft 365 offrent de bons outils de sécurité, mais un compte neuf est réglé pour être pratique, pas pour les risques de votre équipe. Ce tutoriel montre comment sécuriser Google Workspace avec les réglages qui comptent pour une petite équipe, puis leurs équivalents dans Microsoft 365, avec le chemin de chaque menu au 19 octobre 2026.

Pas besoin d’un service informatique pour cela, ni de moi. Un après-midi avec cette liste ferme les portes d’entrée habituelles : un mot de passe volé, une fausse page de connexion, une règle de transfert que personne n’a vue, un fichier ouvert à quiconque a le lien.

C’est un chapitre de mon guide de la cybersécurité pour les petites équipes. Si vous n’avez pas encore choisi votre suite, mon guide de l’adresse mail professionnelle compare d’abord les offres.

Avant de commencer : droits d’admin, deux clés et un après-midi au calme

• Les droits d’administration complets : super-administrateur chez Google, administrateur général chez Microsoft. La personne qui a souscrit l’abonnement les a.
• Deux clés de sécurité physiques par administrateur : de petites clés USB ou NFC (norme FIDO2) à toucher pour valider une connexion, l’une sur votre trousseau, l’autre rangée ailleurs.
• Un message à l’équipe : imposer la validation en deux étapes ou bloquer les vieilles applications de messagerie change la connexion de chacun, alors prévenez la veille.

Si un libellé a changé, la barre de recherche en haut de chaque console retrouve le réglage. Je cite les libellés anglais de la console, et le libellé français quand je l’ai vérifié : dans une console en français, les menus sont au même endroit.

Ce que chaque offre vous donne

Sauf mention contraire, chaque étape fonctionne avec Business Starter ou Microsoft 365 Business Basic : sécurisez l’offre que vous avez avant de payer la suivante.

Seul manque côté Google : à l’heure où j’écris, son aide ne cite la page sur l’état de la sécurité (security health), qui compare vos réglages à ses recommandations, que pour les éditions Enterprise, Education et certaines éditions Frontline. Les offres Business ont à la place un conseiller de sécurité (security advisor), qui propose d’activer des réglages recommandés comme la protection contre le phishing et les logiciels malveillants : servez-vous-en, puis suivez cette liste.

Sécuriser Google Workspace : les réglages, étape par étape

Tous les chemins partent de la console d’administration (admin.google.com), avec un compte super-administrateur. La checklist de sécurité de Google pour les structures de 1 à 100 utilisateurs va plus loin ensuite.

1. Un compte super-administrateur séparé, protégé par deux clés

Les bonnes pratiques de Google pour les comptes administrateur tiennent en quatre habitudes :

1. Deux comptes par super-administrateur : l’un pour l’administration, l’autre pour les mails du quotidien, là où arrive le phishing.
2. Plusieurs super-administrateurs, chacun tenu par une personne différente, pour qu’un téléphone perdu ne bloque pas l’entreprise.
3. Se connecter en super-administrateur seulement pour administrer, puis se déconnecter.
4. Deux clés de sécurité par compte super-administrateur, celle de secours rangée ailleurs.

Un rôle plus limité suffit pour réinitialiser un mot de passe. Protégez aussi l’accès à votre registrar : Google désactive par défaut la récupération en libre-service des comptes super-administrateur pour les nouveaux clients, et son support vous demandera de prouver que vous contrôlez le DNS du domaine.

2. Imposer la validation en deux étapes à tous

Google l’impose déjà aux administrateurs. Pour les autres, allez dans Security > Authentication > 2-step verification (Sécurité > Authentification > Validation en deux étapes), laissez chacun l’activer, fixez une date limite, puis rendez-la obligatoire. Quand tout le monde a une application, une passkey ou une clé, choisissez Any except verification codes via text, phone call (tout sauf les codes par SMS ou appel). Mon tutoriel sur la double authentification détaille le déploiement.

3. Activer les réglages de sécurité de Gmail

Allez dans Apps > Google Workspace > Gmail > Safety. Trois sections comptent :

• Attachments : pièces jointes chiffrées ou contenant des scripts venant d’expéditeurs non fiables, types de fichiers inhabituels.
• Links and external images : liens cachés derrière des URL raccourcies, images liées, avertissement avant un clic vers un domaine non fiable.
• Spoofing and authentication : noms de domaine qui ressemblent au vôtre, nom d’un collègue utilisé depuis une adresse extérieure (grand classique des fausses demandes de virement), mails qui se font passer pour votre domaine, mails non authentifiés.

Dans chaque section, cochez Apply future recommended settings automatically pour que les nouvelles protections s’activent sans vous. Choisissez ensuite l’action de chaque protection : avertissement dans la boîte de réception, dossier spam ou quarantaine, qui n’a de sens que si un administrateur examine les messages.

Avec Business Standard ou Plus, activez aussi le bac à sable du tableau, dans la section Security sandbox de Apps > Google Workspace > Gmail > Spam, Phishing and Malware. Il est désactivé par défaut, et ses vérifications peuvent retarder un message de trois minutes au plus.

4. Couper le transfert automatique et vérifier DKIM

Un escroc qui entre dans une boîte mail ajoute souvent une règle qui lui copie discrètement chaque message : après une fraude au faux RIB, l’INC et Cybermalveillance.gouv.fr conseillent d’ailleurs de vérifier les règles de transfert et de filtrage. Google recommande de désactiver le transfert automatique : dans Apps > Google Workspace > Gmail, cherchez Automatic forwarding avec la barre de recherche et coupez-le, sauf vrai besoin.

Au même endroit, Authenticate email (Authentifier les e-mails) indique si DKIM signe vos mails. Sinon, générez la clé et publiez-la dans votre DNS : mon tutoriel SPF, DKIM et DMARC donne les enregistrements.

5. Encadrer le partage de fichiers hors de l’entreprise

Allez dans Apps > Google Workspace > Drive and Docs > Sharing settings > Sharing options. Le partage hors de votre organisation peut être Off, On ou Allowlisted domains (les seuls domaines que vous listez, comme celui de votre expert-comptable). Une équipe qui travaille avec des clients a besoin de On, avec la case qui commence par Warn when files owned by users or shared drives cochée : chacun est averti avant qu’un fichier sorte de l’entreprise, comme le recommande Google.

Pour les organisations plus grandes, Google conseille aussi l’accès restreint par défaut pour les nouveaux fichiers ; je ferais de même dans toute équipe qui détient des données clients.

6. Passer en revue les applications connectées

Allez dans Security > Access and data control > API controls > Manage third-party app access (Sécurité > Contrôle des accès et des données > Commandes des API). La liste montre les applications connectées avec un compte Google de l’équipe : un outil de prise de rendez-vous, un service de warm-up, une extension testée une fois. Passez celles dont vous dépendez en Trusted (« approuvée » dans l’aide en français) et bloquez ce que personne ne reconnaît.

7. Surveiller le centre d’alertes et les appareils

Security > Alert center regroupe les avertissements de Google : connexions suspectes, mots de passe divulgués, phishing signalé par vos utilisateurs. Consultez-le chaque semaine ou activez les notifications par e-mail des alertes qui comptent pour vous.

Les appareils se gèrent dans Devices : Business Starter et Standard incluent la gestion de base ; codes d’accès forts, règles de sécurité mobiles et effacement à distance demandent Business Plus.

Sécuriser Microsoft 365 : les réglages, étape par étape

Microsoft répartit ces réglages entre le centre d’administration Microsoft 365, celui de Microsoft Entra, le portail Microsoft Defender (security.microsoft.com), le centre d’administration SharePoint et le portail Microsoft Purview. J’ai utilisé Microsoft pour mes propres mails et je l’ai trouvé pénible, alors voici le chemin court ; la vue d’ensemble de la sécurité de Microsoft 365 pour les entreprises couvre le reste.

1. Des comptes d’administration séparés et peu nombreux

La personne qui a acheté l’abonnement est administrateur général (Global Administrator). Microsoft recommande :

• Moins de cinq administrateurs généraux, chacun avec un compte normal pour le quotidien. Un compte réservé à l’administration n’a pas besoin de licence Microsoft 365.
• Au moins deux comptes d’accès d’urgence qui n’appartiennent à personne : uniquement dans le cloud (adresse en .onmicrosoft.com), jamais utilisés au quotidien et protégés par une passkey sur une clé de sécurité. Microsoft veut une méthode de connexion différente de celle de vos comptes d’administration habituels, par exemple les clés pour ces comptes et Microsoft Authenticator pour l’administration courante.
• Le rôle le plus restreint pour les autres : User Administrator pour créer les comptes, Helpdesk Administrator ou Password Administrator pour les mots de passe, Billing Administrator pour les factures, attribués dans le centre d’administration Microsoft 365 sous Roles > Role assignments.

2. L’authentification multifacteur pour tout le monde

La plupart des organisations Microsoft 365 créées depuis octobre 2019 ont les paramètres de sécurité par défaut (security defaults) activés, sauf si quelqu’un les a coupés. Dans le centre d’administration Microsoft Entra, Entra ID > Overview > Properties > Manage security defaults (en français : Vue d’ensemble > Propriétés > Gérer les paramètres de sécurité par défaut) doit afficher Enabled (Activé). Ils imposent Microsoft Authenticator à chacun et bloquent l’authentification héritée (étape 3).

Avec Business Premium, l’accès conditionnel peut les remplacer par des règles que vous choisissez. Ne coupez les paramètres par défaut que lorsque vous êtes en mesure d’activer aussitôt les stratégies qui les remplacent, comme le conseille Microsoft. Créez-les depuis Entra ID > Conditional Access > Create new policy from templates : la catégorie Secure foundation comprend Require multifactor authentication for admins, Require multifactor authentication for all users et Block legacy authentication. Chaque nouvelle stratégie démarre en mode Report-only, qui se contente de noter ce qu’elle ferait, et n’exclut que le compte qui l’a créée : ajoutez vos comptes d’accès d’urgence, que Microsoft demande de tenir à l’écart de toute stratégie qui bloque ou restreint la connexion, puis passez la stratégie sur On.

3. Bloquer l’authentification héritée, et trouver ce qui l’utilise encore

L’authentification héritée (legacy authentication) désigne les anciennes connexions, comme les applications de messagerie en IMAP, POP3 ou SMTP avec un simple mot de passe. Elles ne savent pas demander de second facteur : un mot de passe volé y fonctionne toujours.

Avant de bloquer, ouvrez Entra ID > Monitoring & health > Sign-in logs, ajoutez la colonne Client App et filtrez sur les protocoles hérités. Suspects habituels : le copieur qui envoie les scans par mail, une vieille application de messagerie sur un téléphone, un formulaire de site qui envoie par une boîte mail. Passez-les d’abord à une connexion moderne ou à un service d’envoi dédié.

4. Authentifier vos domaines, puis activer la stratégie Standard

Microsoft commence la protection de la messagerie par SPF, DKIM et DMARC sur chaque domaine du tenant, y compris ceux qui n’envoient jamais de mails ; le tutoriel SPF, DKIM et DMARC cité plus haut montre ses deux enregistrements DKIM.

Ensuite, dans le portail Defender, allez dans Email & collaboration > Policies & rules > Threat policies > Preset security policies (stratégies de sécurité prédéfinies), sélectionnez Manage sous Standard protection et appliquez-la à tous les destinataires, comme le recommande Microsoft. Strict, plus serré, vise les personnes les plus ciblées, comme celle qui valide les virements. Avec Business Premium, ces stratégies ajoutent Defender pour Office 365 : Safe Links vérifie les liens au clic, Safe Attachments ouvre les pièces jointes dans un bac à sable avant la remise, et la protection contre l’usurpation d’identité signale les mails qui imitent les collègues que vous désignez ou votre propre domaine.

5. Bloquer le transfert automatique vers l’extérieur

Dans le portail Defender, allez dans Email & collaboration > Policies & rules > Threat policies > Anti-spam, ouvrez Anti-spam outbound policy (Default) et modifiez ses paramètres de protection. Sous Forwarding rules, réglez Automatic forwarding rules sur Off - Forwarding is disabled.

La valeur par défaut, Automatic - System-controlled, vaut Off pour les nouvelles organisations depuis 2021 mais peut encore valoir On dans certaines plus anciennes : Microsoft conseille donc de choisir explicitement. Off bloque les règles de boîte de réception et le transfert vers l’extérieur (la boîte qui tentait le transfert reçoit un message d’erreur 5.7.520), pas le transfert entre collègues. Une boîte qui en a vraiment besoin peut avoir sa propre stratégie sortante ; la page de Microsoft sur le transfert externe détaille les autres contrôles.

6. Resserrer le partage SharePoint et OneDrive

Par défaut, le partage SharePoint et OneDrive est au niveau le plus permissif. Dans le centre d’administration SharePoint, allez dans Policies > Sharing. Microsoft recommande pour les deux le niveau le plus restrictif, qui bloque tout partage externe : il convient à une équipe qui ne partage jamais de fichiers à l’extérieur. Si vous partagez avec des clients, suivez au moins ses deux autres recommandations, le type de lien par défaut Specific people et l’autorisation par défaut View, pour qu’un lien transféré n’ouvre pas le fichier à n’importe qui.

7. Alertes, Secure Score, journal d’audit et appareils

• Alert policy (portail Defender, Email & collaboration > Policies & rules) contient les stratégies d’alerte par défaut de votre offre : ouvrez celles qui comptent pour vous et vérifiez qui reçoit les e-mails.
• Microsoft Secure Score, dans le même portail, liste des actions d’amélioration et leurs points : la suite logique de cette liste.
• Audit, dans le portail Microsoft Purview, enregistre qui a fait quoi. Vérifiez qu’il enregistre dès maintenant, pas le jour où vous en aurez besoin.
• Appareils : Basic Mobility and Security, inclus dans toutes les offres Microsoft 365 pour les entreprises, inscrit les téléphones et peut les effacer ; Business Premium ajoute Intune Plan 1 et Defender for Business.

Trois erreurs à éviter

• Couper les paramètres de sécurité par défaut pour régler un problème. Cela retire l’authentification multifacteur à tout le monde : réglez plutôt le cas du copieur ou de l’application.
• Oublier les départs. Le compte d’un ancien collaborateur, ses appareils et ses applications connectées restent ouverts tant que vous ne les fermez pas ; ma checklist de départ d’un salarié ou d’un freelance les liste.
• Prendre la suite pour une sauvegarde. Ces réglages protègent les accès, pas les données : un dossier supprimé, ou des fichiers chiffrés par un rançongiciel puis synchronisés dans le cloud, peuvent encore vous coûter du travail. Mon guide de la règle de sauvegarde 3-2-1 couvre les deux suites.

Votre checklist, et quand passer la main

• Google Workspace : deux super-administrateurs avec compte séparé et deux clés ; validation en deux étapes imposée ; sécurité Gmail activée ; transfert automatique coupé ; DKIM actif ; avertissement de partage externe ; applications vérifiées ; alertes par e-mail.
• Microsoft 365 : moins de cinq administrateurs généraux et deux comptes d’urgence ; paramètres par défaut ou accès conditionnel ; authentification héritée bloquée ; SPF, DKIM, DMARC et stratégie Standard ; transfert sur Off ; liens Specific people et View ; alertes et audit vérifiés.
• Chaque mois : relisez la liste des administrateurs et des applications connectées.

Si vous trouvez une règle de transfert que personne n’a créée, une application inconnue ou une alerte de connexion inexpliquée, arrêtez les réglages et suivez mon plan de la première heure. Si des données personnelles ont été exposées, l’article 33 du RGPD peut vous obliger à notifier la CNIL dans les 72 heures ; c’est une question juridique, et cet article n’est pas un conseil juridique. Une intrusion qui dépasse une boîte mail justifie un prestataire référencé ou labellisé par Cybermalveillance.gouv.fr, ou celui que désigne votre assureur. Et si vous avez perdu le compte d’administration lui-même, c’est un dépannage informatique : je réponds le jour même ou sous 24 heures, et je vous dis si votre cas relève de quelqu’un d’autre.