Paramètres du mode de sécurité de base

En tant qu’administrateur Microsoft 365, vous pouvez utiliser les paramètres du mode de sécurité de base pour protéger et sécuriser votre environnement d’entreprise contre les menaces externes.

Le mode de sécurité de base vous permet de :

  • Protégez les données de l’entreprise.
  • Évitez les interruptions d’activité.
  • Bloquer les pratiques dangereuses des utilisateurs finaux.
  • Sécuriser les comptes internes.
  • Assurez une collaboration sécurisée.

Le mode de sécurité de base couvre les principaux services Microsoft 365, notamment :

  • Microsoft 365 Apps.
  • SharePoint et OneDrive.
  • Microsoft Teams.
  • Exchange Online.
  • Plateforme d’identités Microsoft Entra.

À l’aide du mode de sécurité de base dans le Centre d’administration Microsoft 365, vous pouvez définir certains paramètres de sécurité qui étaient auparavant disponibles uniquement dans PowerShell.

Maintenant que ces paramètres sont disponibles dans le Centre d’administration, votre organisation peut évaluer attentivement chacun des paramètres du mode de sécurité de base avant le déploiement.

Cet article fournit des informations sur les paramètres du mode de sécurité de base que vous pouvez activer. Il contient également des liens vers du contenu qui vous aide à comprendre ce que fait chaque paramètre et pourquoi vous devez activer ce paramètre.

Avant de commencer

Les administrateurs spécifiques aux charges de travail ne peuvent gérer que leurs propres paramètres. Pour gérer les paramètres que vous souhaitez configurer, veillez à vous connecter avec un compte ayant le rôle approprié. Par exemple, pour gérer les paramètres liés à Microsoft Entra ID, connectez-vous avec un compte qui a le rôle Administrateur de la sécurité.

Les paramètres du mode de sécurité de base prennent en charge le contrôle d’accès en fonction du rôle (RBAC), de sorte que les rôles suivants peuvent également voir ces paramètres :

Pour plus d’informations, consultez Rôles intégrés de Microsoft Entra.

Importante

Vous pouvez configurer les paramètres du mode de sécurité de base sur tous les abonnements et plans Microsoft 365.

Recommandation des paramètres de mode de sécurité de base

Les paramètres du mode de sécurité de base offrent flexibilité et contrôle, de sorte que vous pouvez gérer chaque paramètre indépendamment. Vous pouvez également expérimenter en désactivant un paramètre pendant une période définie (par exemple quelques jours) afin d’évaluer les dépendances.

Exécutez les paramètres du mode de sécurité de base de la façon suivante :

  • Exécutez des rapports d’impact pour chacun des paramètres de mode de sécurité de la ligne de base.
  • Si le paramètre n’affiche aucun impact, activez-le.
  • S’il existe des dépendances critiques, n’activez pas le paramètre. Prévoyez de traiter ces dépendances avant de rendre les modifications permanentes. Cette approche intuitive et progressive garantit une transition en douceur vers des configurations sécurisées par défaut.

Comment accéder aux paramètres du mode de sécurité de base

Pour accéder aux paramètres du mode de sécurité de référence , procédez comme suit :

  1. Connectez-vous à Centre d'administration Microsoft 365.

  2. Dans la barre de navigation de gauche, sélectionnez ... Afficher tout, puis sélectionnez Paramètres pour le développer.

  3. Sous Paramètres, sélectionnez Paramètres de l’organisation.

  4. Dans la page Paramètres de l’organisation , sélectionnez l’onglet Sécurité et confidentialité .

  5. Sous l’onglet Sécurité et confidentialité , sélectionnez Mode de sécurité de base.

Authentification

Cette section décrit les options disponibles pour bloquer les méthodes d’authentification non sécurisées dans le Centre d’administration Microsoft 365.

Importante

Les clients qui ont accédé au mode de sécurité de base dans Microsoft 365 entre novembre 2025 et début février 2026 peuvent voir deux brouillons de stratégies d’accès conditionnel Microsoft Entra ID créés dans leur locataire dans un état Désactivé. Ces stratégies sont associées au mode de sécurité de base et peuvent apparaître comme créées par l’administrateur qui s’est connecté à la page Mode de sécurité de base Microsoft.

Ce comportement ne représente pas un incident de sécurité et n’a aucun effet sur la sécurité du locataire. Les stratégies sont à l’état de brouillon désactivé. Un correctif est en cours pour garantir que les stratégies sont créées uniquement par une action explicite de l’administrateur. Microsoft supprime tous les brouillons de stratégie créés par inadvertance et en informe les clients à l’avance.

Setting Plus d’informations
Protéger l’accès administrateur aux portails d’administration Microsoft avec une authentification résistante au hameçonnage Les comptes auxquels des rôles d’administration privilégiés spécifiques sont attribués sont des cibles fréquentes des attaquants. Exiger une authentification multifacteur (MFA) résistante au hameçonnage sur ces comptes est un moyen simple de réduire le risque de compromission de ces comptes.

Pour plus d’informations, consultez Exiger une authentification multifacteur résistante au hameçonnage pour les administrateurs

Pour effectuer cette tâche, vous devez être administrateur de la sécurité ou administrateur de l’accès conditionnel .
Bloquer les flux d’authentification hérités Bloquez les demandes d’authentification qui utilisent des protocoles hérités qui ne prennent pas en charge l’authentification multifacteur. D’après ces analyses, la plupart des attaques par bourrage d’informations d’identification utilisent l’authentification héritée et la plupart des attaques par pulvérisation de mot de passe utilisent des protocoles d’authentification hérités. Vous pouvez aider à arrêter ces attaques en désactivant ou en bloquant l’authentification de base.

Pour plus d’informations, consultez Bloquer l’authentification héritée avec l’accès conditionnel

Pour effectuer cette tâche, vous devez être administrateur de la sécurité ou administrateur de l’accès conditionnel .
Bloquer l’ajout de nouvelles informations d’identification de mot de passe aux applications Pour renforcer la sécurité, bloquez l’ajout d’informations d’identification de mot de passe sur les applications. Les mots de passe sont l’une des méthodes d’authentification de service les plus faibles et sont vulnérables à la compromission par des acteurs malveillants. Le passage à une méthode plus sécurisée améliore la sécurité et réduit la surcharge de gestion.

Pour plus d’informations, consultez Restreindre l’utilisation du mot de passe sur les applications Microsoft Entra.

Pour effectuer cette tâche, vous devez être membre du rôle d’administrateur de sécurité, d’administrateur d’application ou d’administrateur d’application cloud .
Limiter le consentement de l’utilisateur final aux applications Microsoft 365 certifiées et à locataire unique avec des autorisations à faible risque Mettez à jour vos paramètres de consentement utilisateur Microsoft Entra pour empêcher les utilisateurs d’accorder l’accès aux applications créées dans votre client ou à partir de la liste certifiée Microsoft 365. Microsoft collabore avec des partenaires développeur Microsoft 365 pour fournir ces informations afin que les organisations puissent accélérer et éclairer les décisions sur les applications et les compléments que leurs utilisateurs peuvent utiliser.

Pour plus d’informations, consultez Configurer la manière dont les utilisateurs consentent aux applications

Vous devez être membre des rôles d’administrateur de sécurité ou d’administrateur de rôle privilégié pour effectuer cette tâche.
Bloquer l’authentification de base L’authentification de base est une méthode obsolète et non sécurisée qui transmet les informations d’identification de l’utilisateur d’une manière qui peut facilement être interceptée et volée. Lorsque vous bloquez les invites d’authentification de base, ce paramètre permet de protéger vos utilisateurs contre le vol d’informations d’identification, en particulier lors d’attaques par hameçonnage ou lors de l’accès à des services sur des réseaux non sécurisés. Lorsque vous activez ce paramètre, les utilisateurs ne voient plus d’invites pour l’authentification de base. Ce paramètre réduit le risque de vol d’informations d’identification et applique des méthodes d’authentification plus sécurisées.

Pour plus d’informations, voir Bloquer l’authentification de base dans les applications Microsoft 365.
Bloquer les protocoles non sécurisés pour les ouvertures de fichiers Lorsque les utilisateurs ouvrent des fichiers à partir d’emplacements situés à l’aide de protocoles non sécurisés tels que HTTP ou FTP, les données sensibles peuvent être exposées, car ces protocoles transmettent des informations en texte brut. Le blocage de ces protocoles permet d’empêcher les attaquants d’intercepter les informations d’identification ou d’autres données confidentielles lors de l’accès aux fichiers. Lorsque vous activez ce paramètre, les utilisateurs ne peuvent pas ouvrir de fichiers à partir d’emplacements qui utilisent HTTP ou FTP. Ce paramètre permet d’appliquer des pratiques de transmission de données sécurisées et de réduire l’exposition aux attaques de l’intercepteur.

Pour plus d’informations, consultez Bloquer les protocoles non sécurisés pour les ouvertures de fichiers.
Protocole FPRPC (Remote Procedure Call) de FrontPage pour les ouvertures de fichiers FrontPage L’appel de procédure distante (FPRPC) est un protocole obsolète qui était utilisé pour la création de pages web distantes. Bien qu’il ne soit plus largement utilisé, les attaquants peuvent toujours exploiter FPRPC pour exécuter des commandes arbitraires ou compromettre un système par le biais de fichiers spécialement conçus ou d’un trafic réseau. Les applications Microsoft 365 bloquent désormais FPRPC par défaut en faveur de HTTPS. L’activation de ce paramètre garantit que les utilisateurs de votre environnement ne peuvent pas remplacer la configuration par défaut.

Pour plus d’informations, consultez Bloquer l’appel de procédure distante (FPRPC) des extensions serveur FrontPage pour le fichier s’ouvre dans Microsoft 365.
Bloquer les connexions d’authentification du navigateur hérité à SharePoint et OneDrive avec le protocole hérité de la suite RPS (Relying Party Suite) Les protocoles hérités sont plus sensibles aux attaques par force brute et par hameçonnage. Microsoft signale que les organisations qui désactivent l’authentification héritée rencontrent moins de compromissions de compte. L’application de ce paramètre empêche les applications (y compris les applications non-Microsoft) d’utiliser des protocoles d’authentification hérités pour accéder aux ressources SharePoint et OneDrive dans un navigateur.

La création de rapports sur ce paramètre indique quels utilisateurs accèdent à SharePoint ou OneDrive avec l’authentification RPS. Le rapport vous indique également la date et l’heure, ainsi que le site SharePoint, le fichier ou dossier OneDrive auquel ils ont accédé.

Remarque : Le changement n’est pas instantané. La suppression de toutes les restrictions de l’utilisateur peut prendre jusqu’à 24 heures. Vous devez être membre du rôle d’administrateur SharePoint pour pouvoir configurer ce paramètre.

Pour plus d’informations, consultez Set-SPOTenant -LegacyBrowserAuthProtocolsEnabled.

Remarque : l’authentification du navigateur hérité est déconseillée pour les clients d’entreprise depuis octobre 2025. Ce paramètre ne peut plus être défini sur True. Le protocole RPS ne fonctionne plus.
Bloquer les connexions d’authentification des clients hérités à SharePoint et OneDrive avec le protocole IDCRL (Identity Client Runtime Library) hérité Les protocoles hérités sont plus sensibles aux attaques par force brute et par hameçonnage. Microsoft signale que les organisations qui désactivent l’authentification héritée rencontrent moins de compromissions de compte. L’application de ce paramètre empêche les clients d’utiliser des protocoles d’authentification hérités d’accéder aux ressources SharePoint et OneDrive.

La création de rapports sur ce paramètre indique quels utilisateurs accèdent à SharePoint avec l’authentification IDCRL. Les rapports vous informent également de la date et de l’heure, ainsi que du site SharePoint, du fichier ou dossier OneDrive auquel ils ont accédé.

Remarque : Le changement n’est pas instantané. La suppression de toutes les restrictions de l’utilisateur peut prendre jusqu’à 24 heures. Vous devez être membre du rôle d’administrateur SharePoint pour pouvoir configurer ce paramètre.

Pour plus d’informations, consultez Set-SPOTenant -LegacyAuthProtocolsEnabled.
Ne pas autoriser les nouveaux scripts personnalisés dans les sites SharePoint Les scripts personnalisés sont utilisés pour modifier les comportements des sites SharePoint. Lorsque vous autorisez les utilisateurs à exécuter un script personnalisé, vous ne pouvez plus appliquer la gouvernance, étendre les fonctionnalités du code inséré, bloquer des parties spécifiques du code ou bloquer tout le code personnalisé déployé. Ce paramètre supprime définitivement la possibilité d’ajouter de nouveaux scripts personnalisés dans les sites OneDrive et SharePoint. Au lieu d’autoriser un script personnalisé, utilisez SharePoint Framework. Vous devez être membre du rôle d’administrateur SharePoint pour pouvoir configurer ce paramètre.

Pour plus d’informations, consultez Autoriser ou empêcher les scripts personnalisés.
Désactiver l’accès au Microsoft Store pour SharePoint Les utilisateurs peuvent installer certaines applications à partir du Microsoft Store. Parfois, cette fonctionnalité peut aller à l’encontre des stratégies organisationnelles et augmenter les coûts de gouvernance. Ce paramètre supprime la possibilité pour les utilisateurs finaux d’installer des applications directement à partir du Microsoft Store. Vous devez être membre du rôle d’administrateur SharePoint pour pouvoir configurer ce paramètre.

Pour plus d’informations, voir Configurer les paramètres du SharePoint Store
Désactiver l’accès à l’ensemble de l’organisation à services Web Exchange (EWS) services Web Exchange (EWS) fournit un accès API multiplateforme aux données sensibles d’Exchange Online, telles que les e-mails, les réunions et les contacts. En cas de compromission, les attaquants peuvent accéder à des données confidentielles, envoyer des e-mails de phishing, usurper des identités et potentiellement prendre le contrôle du système. Lorsque vous désactivez l’accès à EWS, vous réduisez également l’utilisation des applications héritées et le nombre de points de terminaison que les attaquants peuvent cibler. EWS est également utilisé dans certaines fonctionnalités internes d’Outlook et de la plateforme de compléments web. Les compléments web pour Word, Excel, PowerPoint et Outlook ne fonctionnent pas dans certaines builds.

Pour plus d’informations, voir Contrôler l’accès à EWS.

Configuration requise pour services Web Exchange

Avant de désactiver EWS, assurez-vous que vous disposez de la build requise afin d’éviter toute interruption des compléments Office. La build 16.0.20430.20092 d’août 2026 est la première build avec la fonctionnalité mode de sécurité de base.

Voici quand cette build atteint les différents canaux de mise à jour :

  • Canal actuel (CC) : actuellement disponible.
  • Canal d’entreprise mensuel (MEC) : actuellement disponible.
  • Semi-Annual Canal d’entreprise (SAC) : juillet 2026.
  • Panneaux Teams : pour éviter toute interruption, mettez à jour vos appareils Application Teams version 1449/1.0.97.2025120101, qui a été expédiée en septembre 2025.

Remarque

Ces instructions et exigences de build s’appliquent uniquement à la build Win32 Microsoft 365 Apps (Office).

Impact des paramètres du mode de sécurité de base sur l’authentification

Actuellement, la fonctionnalité suivante ne fonctionne pas lorsque vous activez les paramètres du mode de sécurité de base :

  • Authentification basée sur les certificats pour Exchange ActiveSync (flux Exchange hérité, pas flux Microsoft Entra CBA).

Impact des paramètres du mode de sécurité de base sur le connecteur Exchange sur les hôtes pris en charge par Power Query

Actuellement, les fonctionnalités suivantes ne fonctionnent pas lorsque vous activez les paramètres du mode de sécurité de base :

  • Excel pour Windows.
  • Excel sur le Web.
  • Power BI et Microsoft Fabric - Power BI Desktop, Dataflows (Gen1 et Gen2), Power BI Web Modeling, Power BI Report Server.
  • Microsoft Power Platform - Power Platform Dataflows (Standard et Analytical), Dynamics 365 Customer Insights.

Impact des paramètres du mode de sécurité de base sur les fonctionnalités entre locataires

Actuellement, les fonctionnalités suivantes ne fonctionnent pas lorsque vous activez les paramètres du mode de sécurité de base :

  • Partage de Calendar et disponibilité (inter-locataires/cloud).
  • Infos-courrier (inter-clients/cloud).

Impact du mode de sécurité de base sur les déploiements hybrides

  • Désactivez l’accès à EWS uniquement après que votre configuration Microsoft Exchange hybride a pris en charge les API REST. Cette modification permet de réduire l’utilisation des applications héritées et réduit le risque d’exposition des données.

  • La synchronisation côté serveur entre Dynamics local et Exchange Online ne fonctionne pas avec ce paramètre. Pour continuer à utiliser les fonctionnalités de synchronisation, connectez Exchange Online à Dynamics 365 Customer Engagement (local).

Fichiers

Cette section décrit les options disponibles dans OneDrive et SharePoint pour désactiver les paramètres du mode de sécurité de base dans le Centre d’administration Microsoft 365.

Vous devez être membre du rôle d’administrateur SharePoint pour effectuer ces tâches.

Setting Plus d’informations
Ouvrir les anciens formats hérités en mode protégé et interdire la modification Les anciens formats de fichiers hérités dans les applications Microsoft 365 (anciennement Office) sont vulnérables à l’altération de la mémoire. Lorsque les utilisateurs ouvrent ces formats obsolètes en mode protégé avec la modification désactivée, vous empêchez les exploits potentiels tout en permettant aux utilisateurs d’afficher le contenu sans risque.

Pour plus d’informations, voir Ouvrir les anciens formats hérités en mode protégé et interdire la modification.
Ouvrir les anciens formats hérités en mode protégé et autoriser la modification De nombreux formats de fichiers hérités dans les applications Microsoft 365 (tels que les anciens fichiers Word, Excel et PowerPoint) sont sujets à des vulnérabilités de corruption de mémoire. En ouvrant des formats hérités en mode protégé, vous réduisez le risque d’exécution de code malveillant, tout en permettant aux utilisateurs de modifier leur contenu en toute sécurité.

Pour plus d’informations, consultez Ouvrir les anciens formats hérités en mode protégé et autoriser la modification.
Bloquer les contrôles ActiveX Les contrôles ActiveX sont de petits programmes utilisés pour ajouter des fonctions interactives aux pages et documents web de Microsoft 365. Ils sont très vulnérables à l’exploitation. Les acteurs malveillants utilisent souvent ActiveX pour exécuter du code dangereux, installer des programmes malveillants ou prendre le contrôle d’un système, en particulier lorsque les utilisateurs ouvrent des fichiers compromis ou visitent des sites web non sécurisés. En raison de leur historique de problèmes de sécurité et de déclin de leur utilisation, les applications Microsoft 365 bloquent ActiveX par défaut. L’application de ce paramètre garantit que les utilisateurs de votre environnement ne peuvent pas remplacer la configuration par défaut.

Pour plus d’informations, consultez Bloquer les contrôles ActiveX dans les documents Microsoft 365 Apps.
Bloquer les objets de graphique OLE et d’organigramme Bloquer les objets OLE Graph et Organigramme. Lorsque vous activez ce paramètre, les applications Microsoft 365 bloquent le chargement des objets OLE Graph et OrganChart pour protéger les utilisateurs contre les techniques d’exploitation connues.

Pour plus d’informations, consultez Bloquer les objets OLE Graph et Organigramme.
Les lancements du serveur DDE (Dynamic Data Exchange) sont bloqués dans Excel Windows DDE (Dynamic Data Exchange) permet à Excel d’extraire des données de sources externes en temps réel. Toutefois, si la source est malveillante, elle peut envoyer du code dangereux à Excel et potentiellement compromettre le système sans nécessiter de macros ou d’autre contenu actif. Les attaquants utilisent cette technique dans des attaques d’hameçonnage ciblées pour exécuter des commandes arbitraires. Le fait de bloquer le lancement du serveur DDE réduit ce risque. Lorsque vous activez ce paramètre, Excel bloque les lancements du serveur DDE, ce qui empêche des sources externes malveillantes d’injecter du code dangereux dans des feuilles de calcul.

Pour plus d’informations, voir Bloquer les lancements du serveur DDE (Dynamic Data Exchange) dans Excel.
Bloquer Microsoft Publisher Publisher a une grande surface d’attaque et ne sera pas inclus dans Microsoft 365 à partir d’octobre 2026. Le blocage de Publisher réduit désormais les risques de sécurité et s’aligne sur la stratégie de support de Microsoft. Lorsque vous activez ce paramètre, Microsoft Publisher ne se lance pas.

Pour plus d’informations, consultez Bloquer Microsoft Publisher.

Appareils de salle

Cette section décrit les options disponibles dans Teams pour désactiver les paramètres du mode de sécurité de base dans le Centre d’administration Microsoft 365.

Vous devez être membre du rôle d’administrateur Teams pour effectuer ces tâches.

Setting Plus d’informations
N’autorisez pas les comptes de ressource sur les appareils de salles Teams à accéder aux fichiers Microsoft 365 Pour renforcer la sécurité, supprimez l’accès aux comptes de ressources que les salles Teams et les appareils utilisent pour accéder aux ressources Microsoft 365 pour les réunions et la collaboration.

Pour plus d’informations, consultez Set-SPOTenant et le paramètre restreindre l’accès au compte de ressources.
Autoriser uniquement les appareils conformes gérés par point de terminaison à se connecter Pour renforcer la sécurité, seuls les appareils salles Teams conformes et gérés par organization peuvent se connecter aux applications Microsoft 365 et les comptes de ressources ne peuvent pas être utilisés à mauvais escient pour s’authentifier à partir d’appareils non gérés.

Pour plus d’informations, voir Bloquer la connexion d’un compte de ressource Teams aux clients Microsoft 365.
Bloquer les appareils non gérés et les connexions de compte de ressource aux applications Microsoft 365 Pour renforcer la sécurité, empêchez les comptes de ressources utilisés pour les appareils Teams d’être utilisés pour la connexion aux clients Microsoft 365.

Pour plus d’informations, voir Bloquer la connexion d’un compte de ressource Teams aux clients Microsoft 365.

Bloquer les appareils non gérés et les connexions de compte de ressource aux applications Microsoft 365

Setting Plus d’informations
N’autorisez pas les comptes de ressource sur les appareils de salles Teams à accéder aux fichiers Microsoft 365 Pour renforcer la sécurité, supprimez l’accès aux comptes de ressources que les salles Teams et les appareils utilisent pour accéder aux ressources Microsoft 365 pour les réunions et la collaboration.

Pour plus d'informations, voir Set-SPOTenant.

N’autorisez pas les comptes de ressource sur les appareils de salles Teams à accéder aux fichiers Microsoft 365

Setting Plus d’informations
N’autorisez pas les comptes de ressource sur les appareils de salles Teams à accéder aux fichiers Microsoft 365 Pour renforcer la sécurité, empêchez les comptes de ressources utilisés pour les appareils Teams d’être utilisés pour la connexion aux clients Microsoft 365.

Pour plus d’informations, voir Bloquer la connexion d’un compte de ressource Teams aux clients Microsoft 365.

Contenu connexe

  • Dernière mise à jour :