Security Defaults Microsoft : activez ça maintenant si ce n'est pas fait
Les Security Defaults de Microsoft sont désactivés dans beaucoup d'anciens tenants. Ce paramètre gratuit bloque 99 % des attaques automatisées sur les comptes. Comment vérifier et activer.
C'est quoi les Security Defaults ?
Les Security Defaults sont un ensemble de politiques de sécurité de base que Microsoft active automatiquement dans les nouveaux tenants depuis 2019. Dans les tenants plus anciens, ils sont souvent désactivés — et personne ne le sait.
Ce qu'ils font concrètement :
- Obligation du MFA pour tous les administrateurs
- MFA requis pour tous les utilisateurs (avec période de grâce de 14 jours)
- Blocage des protocoles d'authentification anciens (Basic Auth) qui ne supportent pas le MFA
Comment vérifier si c'est activé
Dans le portail Azure (portal.azure.com) :
- Microsoft Entra ID
- Propriétés
- Gérer les paramètres de sécurité par défaut
- Vérifier si "Activer les paramètres de sécurité par défaut" est sur Oui
Pourquoi c'est si important
Les attaques de credential stuffing (essai automatique de millions de couples email/mot de passe issus de fuites) sont entièrement automatisées. Un tenant sans Security Defaults reçoit des centaines de tentatives de connexion par jour sur les comptes admin.
Avec les Security Defaults activés, ces attaques échouent systématiquement : même si le mot de passe est correct, le second facteur bloque l'accès.
Ce à quoi vous devez vous préparer en activant
L'activation déclenche des demandes d'enregistrement MFA pour tous vos utilisateurs lors de leur prochaine connexion. Prévenez votre équipe à l'avance et assurez-vous qu'ils ont Microsoft Authenticator installé.
Les utilisateurs ont 14 jours pour s'enregistrer avant que l'accès soit bloqué. Si vous avez des applications tierces qui utilisent une authentification basique, elles cesseront de fonctionner. Auditez ces cas avant l'activation.
Security Defaults vs Conditional Access
Les Security Defaults sont gratuits et couvrent l'essentiel. Conditional Access (disponible avec Entra ID Premium P1, inclus dans Microsoft 365 Business Premium) offre plus de granularité : MFA uniquement hors réseau, blocage par pays, politiques différentes par groupe.
Pour les PME sans licences Premium, les Security Defaults sont la réponse correcte. Pour les PME avec Business Premium, migrez vers Conditional Access pour plus de contrôle.
Vous voulez mettre ces bonnes pratiques en place ?
Avony s'occupe de tout : déploiement, configuration et suivi. Contactez-nous pour un audit gratuit.
Prendre contact