[{"data":1,"prerenderedAt":1254},["ShallowReactive",2],{"\u002Fblog\u002Facces-conditionnel-entra-id-zero-trust-pme-guide-technique\u002F":3,"related-\u002Fblog\u002Facces-conditionnel-entra-id-zero-trust-pme-guide-technique":1229},{"id":4,"title":5,"author":6,"body":7,"category":1194,"date":1195,"description":1196,"draft":1197,"extension":1198,"faqs":1199,"image":1218,"meta":1221,"navigation":1222,"path":1223,"seo":1224,"seoTitle":1225,"showOnBlog":1222,"stem":1226,"updatedAt":1227,"__hash__":1228},"blog\u002Fblog\u002Facces-conditionnel-entra-id-zero-trust-pme-guide-technique.md","Accès conditionnel Entra ID : implémenter le Zero Trust dans votre PME en 2026","Valentin Bourgeois",{"type":8,"value":9,"toc":1152},"minimark",[10,15,34,41,45,50,57,60,82,89,93,100,104,108,115,120,132,137,148,153,169,174,182,187,198,209,213,216,294,301,305,309,316,322,328,334,344,348,355,404,411,419,423,427,434,439,471,476,496,499,512,516,520,523,530,534,543,590,593,597,601,612,615,660,671,675,679,689,692,699,703,706,725,728,732,736,747,751,758,772,787,790,794,798,801,879,882,886,1022,1032,1036,1040,1043,1048,1059,1065,1075,1083,1087,1094,1101,1104,1131,1136,1139,1142],[11,12,14],"h2",{"id":13},"introduction-pourquoi-cet-article-technique","Introduction : pourquoi cet article technique ?",[16,17,18,19,24,25,29,30,33],"p",{},"Notre ",[20,21,23],"a",{"href":22},"\u002Fgestion-des-identites-et-acces-iam\u002F","page gestion des identités et accès conditionnel"," explique ",[26,27,28],"strong",{},"pourquoi"," le contrôle des identités est la première ligne de défense de votre PME. Cet article va plus loin : il détaille ",[26,31,32],{},"comment"," fonctionne le moteur d'accès conditionnel de Microsoft Entra ID, quels mécanismes techniques protègent vos comptes et comment architecturer une politique Zero Trust réaliste pour une entreprise de 20 à 250 collaborateurs.",[16,35,36,37,40],{},"Selon le Verizon Data Breach Investigations Report 2025, ",[26,38,39],{},"81 % des compromissions impliquent des identifiants volés ou faibles",". L'identité est devenue le périmètre de sécurité. Ce n'est plus le pare-feu.",[11,42,44],{"id":43},"le-modèle-zero-trust-ne-jamais-faire-confiance-toujours-vérifier","Le modèle Zero Trust : ne jamais faire confiance, toujours vérifier",[46,47,49],"h3",{"id":48},"le-paradigme-fondamental","Le paradigme fondamental",[16,51,52,53,56],{},"Le Zero Trust repose sur un principe simple mais radical : ",[26,54,55],{},"aucune connexion n'est de confiance par défaut",", qu'elle vienne du bureau, du VPN ou du réseau interne. Chaque tentative d'accès est évaluée en temps réel selon un ensemble de signaux contextuels.",[16,58,59],{},"Concrètement, le modèle Zero Trust appliqué à l'identité fonctionne en trois étapes :",[61,62,63,70,76],"ol",{},[64,65,66,69],"li",{},[26,67,68],{},"Vérifier explicitement"," : chaque authentification est évaluée sur la base de multiples signaux (identité, appareil, localisation, comportement)",[64,71,72,75],{},[26,73,74],{},"Appliquer le moindre privilège"," : un utilisateur n'obtient que les droits strictement nécessaires, pour une durée limitée",[64,77,78,81],{},[26,79,80],{},"Présumer la compromission"," : le système se comporte comme si le réseau était déjà infiltré et surveille en continu les anomalies",[16,83,84,85,88],{},"Ce n'est pas une technologie unique. C'est une ",[26,86,87],{},"architecture"," qui orchestre l'accès conditionnel, le MFA, la détection de risques et la gestion des privilèges. Microsoft Entra ID est le point d'orchestration central pour les environnements Microsoft 365.",[46,90,92],{"id":91},"pourquoi-le-vpn-seul-ne-suffit-plus","Pourquoi le VPN seul ne suffit plus",[16,94,95,96,99],{},"Un VPN accorde un accès réseau large après une authentification unique. Une fois connecté, l'utilisateur accède à tout le réseau interne, exactement ce que recherche un attaquant ayant compromis un compte. Le Zero Trust remplace cette logique par un contrôle ",[26,97,98],{},"par ressource, par session, en continu",". Chaque accès à SharePoint, Teams, un ERP ou une application métier est évalué indépendamment.",[11,101,103],{"id":102},"le-moteur-daccès-conditionnel-entra-id-évaluation-des-signaux","Le moteur d'accès conditionnel Entra ID : évaluation des signaux",[46,105,107],{"id":106},"architecture-du-moteur-de-décision","Architecture du moteur de décision",[16,109,110,111,114],{},"L'accès conditionnel Entra ID fonctionne comme un ",[26,112,113],{},"moteur de règles if\u002Fthen"," évalué à chaque authentification. Il analyse simultanément cinq catégories de signaux :",[16,116,117],{},[26,118,119],{},"1. Signaux liés à l'utilisateur",[121,122,123,126,129],"ul",{},[64,124,125],{},"Appartenance à un groupe ou rôle d'annuaire",[64,127,128],{},"Niveau de risque utilisateur (calculé par Identity Protection)",[64,130,131],{},"Statut du compte (actif, suspendu, compromis)",[16,133,134],{},[26,135,136],{},"2. Signaux liés à la connexion (sign-in risk)",[121,138,139,142,145],{},[64,140,141],{},"Risque de la tentative de connexion en cours",[64,143,144],{},"Adresse IP source (connue, anonyme, Tor, proxy)",[64,146,147],{},"Détection de voyage impossible (connexion depuis Paris puis Lagos en 20 minutes)",[16,149,150],{},[26,151,152],{},"3. Signaux liés à l'appareil",[121,154,155,163,166],{},[64,156,157,158,162],{},"Appareil inscrit dans ",[20,159,161],{"href":160},"\u002Fgestion-flotte-mobile-mdm\u002F","la gestion de flotte mobile (MDM)"," ou joint à Entra ID",[64,164,165],{},"Conformité de l'appareil (chiffrement BitLocker actif, antivirus à jour, OS patché)",[64,167,168],{},"Type de plateforme (Windows, macOS, iOS, Android, Linux)",[16,170,171],{},[26,172,173],{},"4. Signaux liés à l'application cible",[121,175,176,179],{},[64,177,178],{},"Application cloud spécifique (Exchange Online, SharePoint, application tierce)",[64,180,181],{},"Action demandée (lecture, écriture, administration)",[16,183,184],{},[26,185,186],{},"5. Signaux de localisation",[121,188,189,192,195],{},[64,190,191],{},"Plages IP de confiance (bureaux, datacenters)",[64,193,194],{},"Pays d'origine de la connexion",[64,196,197],{},"Réseau conforme ou non",[16,199,200,201,204,205,208],{},"Sur la base de cette évaluation, le moteur rend une ",[26,202,203],{},"décision"," : autoriser, bloquer, ou ",[26,206,207],{},"autoriser sous conditions"," (exiger le MFA, exiger un appareil conforme, limiter la session).",[46,210,212],{"id":211},"exemple-concret-pour-une-pme","Exemple concret pour une PME",[16,214,215],{},"Voici une politique réaliste pour une PME de 50 collaborateurs :",[217,218,219,235],"table",{},[220,221,222],"thead",{},[223,224,225,229,232],"tr",{},[226,227,228],"th",{},"Scénario",[226,230,231],{},"Signaux évalués",[226,233,234],{},"Décision",[236,237,238,250,261,272,283],"tbody",{},[223,239,240,244,247],{},[241,242,243],"td",{},"Connexion depuis le bureau, PC conforme",[241,245,246],{},"IP de confiance + appareil géré",[241,248,249],{},"Autoriser (MFA non requis)",[223,251,252,255,258],{},[241,253,254],{},"Connexion depuis le domicile, PC personnel",[241,256,257],{},"IP inconnue + appareil non géré",[241,259,260],{},"Exiger MFA + limiter à l'accès web uniquement",[223,262,263,266,269],{},[241,264,265],{},"Connexion depuis un pays non autorisé",[241,267,268],{},"Géolocalisation hors périmètre",[241,270,271],{},"Bloquer",[223,273,274,277,280],{},[241,275,276],{},"Connexion avec risque élevé détecté",[241,278,279],{},"Sign-in risk = high",[241,281,282],{},"Exiger MFA résistant au phishing (FIDO2)",[223,284,285,288,291],{},[241,286,287],{},"Accès admin au portail Azure",[241,289,290],{},"Rôle = Global Admin",[241,292,293],{},"Exiger MFA + appareil conforme + PIM activé",[295,296],"cta",{"link":297,"linkTitle":298,"text":299,"title":300},"\u002Faudit-gratuit\u002F","Demander un audit Entra ID gratuit","Notre audit gratuit de 30 minutes analyse votre configuration Entra ID : accès conditionnel, MFA, protocoles legacy, comptes admin permanents. Vous repartez avec un plan d'action concret.","Votre tenant Microsoft 365 est-il configuré en Zero Trust ?",[11,302,304],{"id":303},"hiérarchie-des-méthodes-mfa-toutes-ne-se-valent-pas","Hiérarchie des méthodes MFA : toutes ne se valent pas",[46,306,308],{"id":307},"du-plus-faible-au-plus-résistant","Du plus faible au plus résistant",[16,310,311,312,315],{},"Toutes les méthodes d'authentification multifacteur ne se valent pas. Microsoft les classe désormais par ",[26,313,314],{},"force d'authentification"," (Authentication Strength) :",[16,317,318,321],{},[26,319,320],{},"SMS (force faible)"," : un code à 6 chiffres envoyé par SMS. Vulnérable au SIM swapping (l'attaquant convainc l'opérateur de transférer le numéro), à l'interception SS7 et au phishing en temps réel (l'utilisateur saisit le code sur un faux site, l'attaquant le rejoue instantanément). Microsoft et l'ANSSI déconseillent le SMS comme seul facteur secondaire depuis 2023.",[16,323,324,327],{},[26,325,326],{},"TOTP, Time-based One-Time Password (force moyenne)"," : une application (Microsoft Authenticator, Google Authenticator) génère un code toutes les 30 secondes, basé sur un secret partagé et l'horodatage. Plus sûr que le SMS car non interceptable sur le réseau, mais toujours vulnérable au phishing en temps réel : l'utilisateur peut saisir le code sur un faux site.",[16,329,330,333],{},[26,331,332],{},"Push notification (force moyenne-haute)"," : Microsoft Authenticator affiche une notification avec un numéro à confirmer (number matching). Résiste au phishing simple, mais reste vulnérable aux attaques de fatigue MFA (l'attaquant envoie des dizaines de notifications jusqu'à ce que l'utilisateur approuve par lassitude). Le number matching réduit ce risque.",[16,335,336,339,340,343],{},[26,337,338],{},"FIDO2 \u002F Passkeys (force maximale)"," : c'est la méthode recommandée par Microsoft, l'ANSSI et le NIST. Et pour cause : elle est ",[26,341,342],{},"résistante au phishing par conception",".",[46,345,347],{"id":346},"pourquoi-fido2-est-résistant-au-phishing-explication-technique","Pourquoi FIDO2 est résistant au phishing : explication technique",[16,349,350,351,354],{},"FIDO2 repose sur la ",[26,352,353],{},"cryptographie asymétrique avec liaison d'origine"," :",[61,356,357,368,379,390,397],{},[64,358,359,360,363,364],{},"Lors de l'enregistrement, la clé de sécurité (YubiKey, Windows Hello, Touch ID) génère une ",[26,361,362],{},"paire de clés"," unique pour le domaine ",[365,366,367],"code",{},"login.microsoftonline.com",[64,369,370,371,374,375,378],{},"La ",[26,372,373],{},"clé publique"," est envoyée à Microsoft, la ",[26,376,377],{},"clé privée"," reste sur l'appareil (elle n'en sort jamais)",[64,380,381,382,385,386,389],{},"Lors de l'authentification, le navigateur envoie un ",[26,383,384],{},"challenge"," qui inclut l'",[26,387,388],{},"origine"," (le domaine exact du site)",[64,391,392,393,396],{},"La clé de sécurité ne signe le challenge ",[26,394,395],{},"que si l'origine correspond"," au domaine enregistré",[64,398,399,400,403],{},"Un site de phishing sur ",[365,401,402],{},"login-microsoftonline.com"," (avec un tiret) ne déclenchera jamais la signature",[16,405,406,407,410],{},"Cette liaison d'origine est gérée par le navigateur au niveau du protocole WebAuthn, l'utilisateur n'a aucune décision à prendre. C'est une protection ",[26,408,409],{},"cryptographique",", pas comportementale. L'erreur humaine est éliminée de l'équation.",[16,412,413,414,418],{},"Pour compléter votre stratégie d'identifiants, un ",[20,415,417],{"href":416},"\u002Fgestionnaire-de-mots-de-passe\u002F","gestionnaire de mots de passe professionnel"," gère les secrets applicatifs qui ne supportent pas encore le passwordless.",[11,420,422],{"id":421},"identity-protection-détection-de-risques-en-temps-réel","Identity Protection : détection de risques en temps réel",[46,424,426],{"id":425},"les-signaux-analysés-par-le-moteur-de-risques","Les signaux analysés par le moteur de risques",[16,428,429,430,433],{},"Entra ID Identity Protection (inclus dans Entra ID P2) analyse en temps réel des milliards de signaux issus de l'écosystème Microsoft pour calculer un ",[26,431,432],{},"score de risque"," par utilisateur et par connexion :",[16,435,436,354],{},[26,437,438],{},"Risques liés à la connexion (sign-in risk)",[121,440,441,447,453,459,465],{},[64,442,443,446],{},[26,444,445],{},"Voyage impossible"," : connexion depuis Paris à 10h puis depuis Singapour à 10h30",[64,448,449,452],{},[26,450,451],{},"Adresse IP anonyme"," : connexion via Tor, VPN public ou proxy anonymisant",[64,454,455,458],{},[26,456,457],{},"Adresse IP malveillante"," : IP répertoriée dans les bases de threat intelligence Microsoft",[64,460,461,464],{},[26,462,463],{},"Propriétés de connexion inhabituelles"," : navigateur, OS ou localisation jamais observés pour cet utilisateur",[64,466,467,470],{},[26,468,469],{},"Password spray détecté"," : tentatives de connexion avec des mots de passe courants sur plusieurs comptes",[16,472,473,354],{},[26,474,475],{},"Risques liés à l'utilisateur (user risk)",[121,477,478,484,490],{},[64,479,480,483],{},[26,481,482],{},"Identifiants divulgués"," : le couple email\u002Fmot de passe détecté dans des bases de données de fuites (dark web monitoring)",[64,485,486,489],{},[26,487,488],{},"Anomalie de jeton"," : durée de vie, émetteur ou claims inhabituels dans le jeton d'authentification",[64,491,492,495],{},[26,493,494],{},"Activité suspecte"," : modifications de boîte aux lettres, règles de transfert créées automatiquement",[16,497,498],{},"Ces scores alimentent directement les politiques d'accès conditionnel. Une PME peut configurer : \"si le risque de connexion est moyen, exiger le MFA ; si le risque est élevé, bloquer et forcer la réinitialisation du mot de passe.\"",[16,500,501,502,506,507,511],{},"La détection de menaces est renforcée lorsqu'elle est corrélée avec un ",[20,503,505],{"href":504},"\u002Fedr-xdr-mdr\u002F","EDR\u002FXDR\u002FMDR"," qui couvre les endpoints et qu'un ",[20,508,510],{"href":509},"\u002Fsoc-manage\u002F","SOC managé"," surveille les alertes 24\u002F7.",[11,513,515],{"id":514},"privileged-identity-management-pim-ladministration-just-in-time","Privileged Identity Management (PIM) : l'administration just-in-time",[46,517,519],{"id":518},"le-problème-des-administrateurs-permanents","Le problème des administrateurs permanents",[16,521,522],{},"Dans une PME typique, le responsable IT est Global Admin en permanence. Son compte a les clés du royaume, 24 heures sur 24, 7 jours sur 7. Si ce compte est compromis (phishing, infostealer, session hijacking), l'attaquant obtient immédiatement le contrôle total du tenant Microsoft 365.",[16,524,525,526,529],{},"Selon IBM Security, le coût moyen d'une compromission impliquant des identifiants privilégiés est de ",[26,527,528],{},"4,55 millions d'euros"," en 2025, soit 20 % de plus que la moyenne globale.",[46,531,533],{"id":532},"comment-pim-résout-le-problème","Comment PIM résout le problème",[16,535,536,539,540,354],{},[26,537,538],{},"Privileged Identity Management"," supprime les droits permanents et les remplace par une ",[26,541,542],{},"activation à la demande",[61,544,545,552,559,566,573,580,583],{},[64,546,547,548,551],{},"Le responsable IT est ",[26,549,550],{},"éligible"," au rôle Global Admin (mais ne l'a pas activement)",[64,553,554,555,558],{},"Quand il a besoin d'effectuer une action administrative, il ",[26,556,557],{},"demande l'activation"," via le portail PIM",[64,560,561,562,565],{},"Il fournit une ",[26,563,564],{},"justification"," obligatoire (\"Modification de la politique de rétention SharePoint\")",[64,567,568,569,572],{},"Selon la configuration, un ",[26,570,571],{},"approbateur"," valide la demande (le dirigeant, un second IT, un prestataire)",[64,574,575,576,579],{},"Le rôle est activé pour une ",[26,577,578],{},"durée limitée"," (typiquement 1 à 4 heures)",[64,581,582],{},"À l'expiration, les droits sont automatiquement retirés",[64,584,585,586,589],{},"Chaque activation est ",[26,587,588],{},"journalisée"," avec justification, durée et actions effectuées",[16,591,592],{},"Pour une PME, PIM élimine le scénario catastrophe de l'administrateur compromis en dehors des fenêtres d'activation. C'est le principe du moindre privilège appliqué aux comptes les plus sensibles.",[11,594,596],{"id":595},"authentication-strength-imposer-la-bonne-méthode-mfa-par-scénario","Authentication Strength : imposer la bonne méthode MFA par scénario",[46,598,600],{"id":599},"une-nouveauté-dentra-id-sous-exploitée","Une nouveauté d'Entra ID sous-exploitée",[16,602,603,604,607,608,611],{},"Les politiques d'",[26,605,606],{},"Authentication Strength"," permettent de définir ",[26,609,610],{},"quelles méthodes MFA sont acceptables"," pour un scénario donné, au lieu de simplement exiger \"un MFA quelconque\".",[16,613,614],{},"Exemples de configuration :",[217,616,617,626],{},[220,618,619],{},[223,620,621,623],{},[226,622,228],{},[226,624,625],{},"Authentication Strength requise",[236,627,628,636,644,652],{},[223,629,630,633],{},[241,631,632],{},"Accès standard à Microsoft 365",[241,634,635],{},"MFA standard (TOTP, Push ou FIDO2)",[223,637,638,641],{},[241,639,640],{},"Accès aux données financières (SharePoint confidentiel)",[241,642,643],{},"MFA résistant au phishing (FIDO2 uniquement)",[223,645,646,649],{},[241,647,648],{},"Administration Azure \u002F Entra ID",[241,650,651],{},"MFA résistant au phishing + appareil conforme",[223,653,654,657],{},[241,655,656],{},"Enregistrement d'une méthode MFA (bootstrap)",[241,658,659],{},"Temporary Access Pass (TAP)",[16,661,662,663,666,667,343],{},"Cette granularité est essentielle : exiger FIDO2 pour tout le monde dès le premier jour n'est pas réaliste. L'Authentication Strength permet un ",[26,664,665],{},"déploiement progressif"," en réservant les exigences maximales aux scénarios à haut risque, tout en sécurisant ",[20,668,670],{"href":669},"\u002Fsecurisation-microsoft-365\u002F","l'ensemble de l'environnement Microsoft 365",[11,672,674],{"id":673},"protocoles-legacy-pourquoi-imap-pop3-et-smtp-basic-auth-doivent-disparaitre","Protocoles legacy : pourquoi IMAP, POP3 et SMTP Basic Auth doivent disparaitre",[46,676,678],{"id":677},"le-problème-technique","Le problème technique",[16,680,681,682,685,686,343],{},"Les protocoles de messagerie historiques (IMAP, POP3, SMTP avec authentification basique) transmettent les identifiants en ",[26,683,684],{},"clair"," (encodés en Base64, ce qui n'est pas du chiffrement). Plus grave encore : ",[26,687,688],{},"ils ne supportent pas le MFA",[16,690,691],{},"Concrètement, si un attaquant obtient le mot de passe d'un utilisateur, il peut se connecter via IMAP depuis n'importe où dans le monde, sans déclencher aucune vérification supplémentaire. L'accès conditionnel ne peut pas protéger ce qui ne passe pas par le flux d'authentification moderne (OAuth 2.0).",[16,693,694,695,698],{},"Selon Microsoft, les comptes qui autorisent l'authentification legacy sont ",[26,696,697],{},"3 fois plus susceptibles d'être compromis",". C'est la porte dérobée que les attaquants cherchent en premier lors d'une campagne de credential stuffing.",[46,700,702],{"id":701},"la-solution","La solution",[16,704,705],{},"L'accès conditionnel permet de créer une politique dédiée :",[121,707,708,714,720],{},[64,709,710,713],{},[26,711,712],{},"Cible"," : tous les utilisateurs",[64,715,716,719],{},[26,717,718],{},"Applications clientes"," : Exchange ActiveSync, Other clients (IMAP, POP3, SMTP)",[64,721,722,724],{},[26,723,234],{}," : bloquer",[16,726,727],{},"Cette politique doit être déployée progressivement : identifiez d'abord les applications métier qui utilisent encore ces protocoles (imprimantes multifonctions, anciens CRM, scanners), migrez-les vers OAuth 2.0 ou des comptes de service dédiés, puis bloquez.",[11,729,731],{"id":730},"continuous-access-evaluation-cae-révocation-en-quasi-temps-réel","Continuous Access Evaluation (CAE) : révocation en quasi-temps réel",[46,733,735],{"id":734},"la-limite-des-jetons-classiques","La limite des jetons classiques",[16,737,738,739,742,743,746],{},"Dans le modèle OAuth 2.0 traditionnel, un jeton d'accès a une ",[26,740,741],{},"durée de vie fixe"," (1 heure par défaut pour Microsoft 365). Pendant cette heure, même si le compte est désactivé, le mot de passe changé ou l'utilisateur déconnecté d'Entra ID, ",[26,744,745],{},"le jeton reste valide",". L'attaquant a une heure de libre.",[46,748,750],{"id":749},"comment-cae-change-la-donne","Comment CAE change la donne",[16,752,753,754,757],{},"Le ",[26,755,756],{},"Continuous Access Evaluation"," établit un canal de communication permanent entre Entra ID et les services Microsoft 365 (Exchange Online, SharePoint, Teams). Quand un événement critique survient :",[121,759,760,763,766,769],{},[64,761,762],{},"Compte désactivé ou supprimé",[64,764,765],{},"Mot de passe modifié",[64,767,768],{},"MFA réinitialisé par un administrateur",[64,770,771],{},"Localisation IP qui change de manière suspecte",[16,773,774,775,778,779,782,783,786],{},"Le service cible est ",[26,776,777],{},"notifié en quelques minutes"," et ",[26,780,781],{},"invalide le jeton immédiatement",", sans attendre son expiration naturelle. Pour un offboarding, cela signifie que l'ancien collaborateur perd l'accès à sa messagerie ",[26,784,785],{},"en 2 à 5 minutes"," au lieu d'une heure.",[16,788,789],{},"Le CAE est activé par défaut sur les tenants Microsoft 365 depuis 2024 et ne nécessite aucune configuration supplémentaire. C'est une amélioration silencieuse mais fondamentale pour la posture de sécurité.",[11,791,793],{"id":792},"conformité-dora-et-nis2-ce-que-couvre-laccès-conditionnel","Conformité DORA et NIS2 : ce que couvre l'accès conditionnel",[46,795,797],{"id":796},"cartographie-des-exigences","Cartographie des exigences",[16,799,800],{},"Les réglementations européennes DORA (secteur financier) et NIS2 (entités essentielles et importantes) imposent des mesures spécifiques que l'accès conditionnel Entra ID adresse directement :",[217,802,803,813],{},[220,804,805],{},[223,806,807,810],{},[226,808,809],{},"Exigence réglementaire",[226,811,812],{},"Capacité Entra ID correspondante",[236,814,815,823,831,839,847,855,863,871],{},[223,816,817,820],{},[241,818,819],{},"Authentification forte pour tous les accès (NIS2 Art. 21)",[241,821,822],{},"Accès conditionnel + MFA obligatoire",[223,824,825,828],{},[241,826,827],{},"Gestion des accès privilégiés (DORA Art. 9)",[241,829,830],{},"Privileged Identity Management (PIM)",[223,832,833,836],{},[241,834,835],{},"Surveillance continue des accès (NIS2 Art. 21)",[241,837,838],{},"Identity Protection + CAE",[223,840,841,844],{},[241,842,843],{},"Principe du moindre privilège (DORA Art. 9)",[241,845,846],{},"Accès conditionnel basé sur les rôles + PIM",[223,848,849,852],{},[241,850,851],{},"Journalisation des accès (NIS2 Art. 21)",[241,853,854],{},"Journaux d'audit Entra ID (rétention 30j P1, illimitée avec Log Analytics)",[223,856,857,860],{},[241,858,859],{},"Blocage des protocoles non sécurisés (DORA Art. 9)",[241,861,862],{},"Politique de blocage legacy authentication",[223,864,865,868],{},[241,866,867],{},"Détection des compromissions d'identité (NIS2 Art. 21)",[241,869,870],{},"Identity Protection (user risk + sign-in risk)",[223,872,873,876],{},[241,874,875],{},"Révocation rapide des accès (DORA Art. 9)",[241,877,878],{},"CAE + SCIM provisionnement\u002Fdéprovisionnement",[16,880,881],{},"L'ANSSI recommande dans son guide d'hygiène informatique (42 mesures) l'utilisation de l'authentification forte et la restriction des privilèges d'administration, deux piliers directement couverts par Entra ID P2.",[11,883,885],{"id":884},"comparatif-des-licences-entra-id-p1-vs-p2-vs-mfa-standalone","Comparatif des licences : Entra ID P1 vs P2 vs MFA standalone",[217,887,888,904],{},[220,889,890],{},[223,891,892,895,898,901],{},[226,893,894],{},"Fonctionnalité",[226,896,897],{},"MFA standalone (incl. M365 Business)",[226,899,900],{},"Entra ID P1 (incl. M365 Business Premium)",[226,902,903],{},"Entra ID P2",[236,905,906,918,931,942,955,966,977,987,998,1008],{},[223,907,908,911,914,916],{},[241,909,910],{},"MFA (SMS, TOTP, Push, FIDO2)",[241,912,913],{},"Oui",[241,915,913],{},[241,917,913],{},[223,919,920,923,926,929],{},[241,921,922],{},"Accès conditionnel",[241,924,925],{},"Non (defaults de sécurité uniquement)",[241,927,928],{},"Oui (complet)",[241,930,928],{},[223,932,933,935,938,940],{},[241,934,606],{},[241,936,937],{},"Non",[241,939,913],{},[241,941,913],{},[223,943,944,947,950,953],{},[241,945,946],{},"Blocage legacy authentication",[241,948,949],{},"Partiel (defaults)",[241,951,952],{},"Oui (granulaire)",[241,954,952],{},[223,956,957,960,962,964],{},[241,958,959],{},"Identity Protection (sign-in risk)",[241,961,937],{},[241,963,937],{},[241,965,913],{},[223,967,968,971,973,975],{},[241,969,970],{},"Identity Protection (user risk)",[241,972,937],{},[241,974,937],{},[241,976,913],{},[223,978,979,981,983,985],{},[241,980,538],{},[241,982,937],{},[241,984,937],{},[241,986,913],{},[223,988,989,992,994,996],{},[241,990,991],{},"Revues d'accès automatisées",[241,993,937],{},[241,995,937],{},[241,997,913],{},[223,999,1000,1002,1004,1006],{},[241,1001,756],{},[241,1003,913],{},[241,1005,913],{},[241,1007,913],{},[223,1009,1010,1013,1016,1019],{},[241,1011,1012],{},"Prix indicatif\u002Futilisateur\u002Fmois",[241,1014,1015],{},"Inclus dans M365",[241,1017,1018],{},"~6 EUR (ou inclus Business Premium)",[241,1020,1021],{},"~9 EUR",[16,1023,1024,1025,1027,1028,1031],{},"Pour une PME de 30 à 100 utilisateurs soumise à NIS2 ou DORA, ",[26,1026,903],{}," est le choix rationnel. Le surcoût de 3 EUR\u002Futilisateur\u002Fmois par rapport à P1 est dérisoire face au coût d'une compromission d'identité, estimé à ",[26,1029,1030],{},"165 EUR par enregistrement compromis"," selon le rapport IBM Cost of a Data Breach 2025.",[1033,1034],"article-button",{"link":297,"title":1035},"Sécurisez les identités de votre PME avec l'accès conditionnel",[11,1037,1039],{"id":1038},"par-où-commencer-plan-daction-en-5-étapes-pour-votre-pme","Par où commencer : plan d'action en 5 étapes pour votre PME",[16,1041,1042],{},"Si vous lisez cet article et que votre tenant Microsoft 365 utilise encore les defaults de sécurité (ou pire, rien du tout), voici un plan d'action pragmatique :",[16,1044,1045],{},[26,1046,1047],{},"Semaine 1, Fondations",[61,1049,1050,1053,1056],{},[64,1051,1052],{},"Activer l'accès conditionnel (nécessite Entra ID P1 ou M365 Business Premium)",[64,1054,1055],{},"Bloquer les protocoles legacy authentication",[64,1057,1058],{},"Imposer le MFA pour tous les utilisateurs",[16,1060,1061,1064],{},[26,1062,1063],{},"Semaine 2, Renforcement","\n4. Configurer les politiques de risque (sign-in risk et user risk) avec Entra ID P2\n5. Déployer PIM pour les comptes administrateurs",[16,1066,1067,1070,1071],{},[26,1068,1069],{},"Semaine 3, Optimisation","\n6. Déployer FIDO2 \u002F Passkeys pour les comptes sensibles\n7. Configurer l'Authentication Strength par scénario\n8. Documenter les politiques dans votre ",[20,1072,1074],{"href":1073},"\u002Faudit-de-cybersecurite\u002F","plan de cybersécurité global",[16,1076,1077,1078,1082],{},"Ce plan est exactement celui que nous déployons chez nos clients PME dans le cadre de notre ",[20,1079,1081],{"href":1080},"\u002Finfogerance-paris\u002F","offre d'infogérance",". Le résultat : un Secure Score Microsoft qui passe de 30-40% à plus de 80% en trois semaines.",[11,1084,1086],{"id":1085},"conclusion","Conclusion",[16,1088,1089,1090,1093],{},"L'accès conditionnel Entra ID n'est pas une case à cocher. C'est le ",[26,1091,1092],{},"moteur central"," d'une stratégie Zero Trust qui transforme chaque authentification en une décision de sécurité contextuelle. Combiné à Identity Protection, PIM et des méthodes MFA résistantes au phishing comme FIDO2, il constitue la fondation sur laquelle construire toute votre posture cybersécurité.",[16,1095,1096,1097,1100],{},"Le déploiement n'a pas besoin d'être un projet titanesque. En ",[26,1098,1099],{},"2 à 3 jours",", une PME peut passer d'un tenant Microsoft 365 avec des defaults de sécurité basiques à une architecture Zero Trust opérationnelle : accès conditionnel granulaire, MFA imposé, protocoles legacy bloqués, administration just-in-time et détection de risques en temps réel.",[16,1102,1103],{},"Pour aller plus loin, explorez nos autres ressources :",[121,1105,1106,1112,1118,1124],{},[64,1107,1108,1111],{},[20,1109,1110],{"href":669},"Sécurisation complète de Microsoft 365",", configuration anti-phishing, Safe Links, DLP",[64,1113,1114,1117],{},[20,1115,1116],{"href":504},"EDR\u002FXDR\u002FMDR managé",", protection des endpoints qui complète la protection des identités",[64,1119,1120,1123],{},[20,1121,1122],{"href":509},"SOC managé 24\u002F7",", surveillance continue des alertes Entra ID et endpoints",[64,1125,1126,1130],{},[20,1127,1129],{"href":1128},"\u002Fblog\u002Fformation-cybersecurite-employes-pme\u002F","Formation et sensibilisation au phishing",", le maillon humain reste essentiel",[1132,1133],"article-faq",{":faqs":1134,"title":1135},"faqs","FAQ",[1033,1137],{"link":297,"title":1138},"Évaluez votre posture Zero Trust en 30 minutes",[1140,1141],"hr",{},[16,1143,1144],{},[1145,1146,1147,1148,1151],"em",{},"Cet article est le complément technique de notre page ",[20,1149,1150],{"href":22},"Gestion des identités et accès conditionnel",". Pour une vue d'ensemble orientée business, consultez-la directement.",{"title":1153,"searchDepth":1154,"depth":1154,"links":1155},"",2,[1156,1157,1162,1166,1170,1173,1177,1180,1184,1188,1191,1192,1193],{"id":13,"depth":1154,"text":14},{"id":43,"depth":1154,"text":44,"children":1158},[1159,1161],{"id":48,"depth":1160,"text":49},3,{"id":91,"depth":1160,"text":92},{"id":102,"depth":1154,"text":103,"children":1163},[1164,1165],{"id":106,"depth":1160,"text":107},{"id":211,"depth":1160,"text":212},{"id":303,"depth":1154,"text":304,"children":1167},[1168,1169],{"id":307,"depth":1160,"text":308},{"id":346,"depth":1160,"text":347},{"id":421,"depth":1154,"text":422,"children":1171},[1172],{"id":425,"depth":1160,"text":426},{"id":514,"depth":1154,"text":515,"children":1174},[1175,1176],{"id":518,"depth":1160,"text":519},{"id":532,"depth":1160,"text":533},{"id":595,"depth":1154,"text":596,"children":1178},[1179],{"id":599,"depth":1160,"text":600},{"id":673,"depth":1154,"text":674,"children":1181},[1182,1183],{"id":677,"depth":1160,"text":678},{"id":701,"depth":1160,"text":702},{"id":730,"depth":1154,"text":731,"children":1185},[1186,1187],{"id":734,"depth":1160,"text":735},{"id":749,"depth":1160,"text":750},{"id":792,"depth":1154,"text":793,"children":1189},[1190],{"id":796,"depth":1160,"text":797},{"id":884,"depth":1154,"text":885},{"id":1038,"depth":1154,"text":1039},{"id":1085,"depth":1154,"text":1086},"Solutions","2026-03-10","Guide technique sur l'accès conditionnel Microsoft Entra ID pour PME : Zero Trust, MFA FIDO2, Identity Protection, PIM et conformité DORA\u002FNIS2.",false,"md",[1200,1203,1206,1209,1212,1215],{"question":1201,"answer":1202},"Quelle est la différence entre Entra ID P1 et P2 pour l'accès conditionnel ?","Entra ID P1 inclut l'accès conditionnel de base, le MFA et l'accès conditionnel basé sur le groupe. Entra ID P2 ajoute Identity Protection (détection de risques en temps réel), Privileged Identity Management (PIM) pour l'administration just-in-time, et les revues d'accès automatisées. Pour une PME soumise à NIS2 ou DORA, P2 est généralement nécessaire.",{"question":1204,"answer":1205},"Pourquoi FIDO2 est-il considéré comme résistant au phishing contrairement au SMS ou au TOTP ?","FIDO2 utilise la cryptographie asymétrique avec une liaison d'origine (origin binding) : la clé privée ne répond qu'au domaine légitime enregistré (par exemple login.microsoftonline.com). Un site de phishing sur un domaine différent ne peut pas déclencher la signature cryptographique. Le SMS et le TOTP, eux, génèrent des codes que l'utilisateur peut saisir sur n'importe quel site, y compris un faux.",{"question":1207,"answer":1208},"Qu'est-ce que le Continuous Access Evaluation (CAE) et pourquoi est-ce important ?","Le CAE est un mécanisme qui permet à Entra ID de révoquer un jeton d'accès en quasi-temps réel (quelques minutes au lieu d'attendre son expiration naturelle d'une heure). Si un compte est désactivé, si le mot de passe change, ou si l'adresse IP de l'utilisateur change de manière suspecte, les sessions actives sont immédiatement interrompues.",{"question":1210,"answer":1211},"Comment l'accès conditionnel bloque-t-il les protocoles d'authentification legacy ?","L'accès conditionnel permet de créer une politique ciblant les applications clientes de type 'legacy authentication' (IMAP, POP3, SMTP Basic Auth, ActiveSync) et de les bloquer systématiquement. Ces protocoles transmettent les identifiants en clair et ne supportent pas le MFA, ce qui en fait une cible privilégiée pour les attaques par credential stuffing.",{"question":1213,"answer":1214},"Qu'est-ce que Privileged Identity Management (PIM) et comment ça fonctionne pour une PME ?","PIM permet de supprimer les droits d'administrateur permanents. Au lieu d'être Global Admin 24h\u002F24, un IT manager active son rôle à la demande pour une durée limitée (par exemple 4 heures), avec une justification obligatoire et éventuellement une approbation. Cela réduit la surface d'attaque : si le compte est compromis en dehors de ces fenêtres, l'attaquant n'a que des droits utilisateur standard.",{"question":1216,"answer":1217},"L'accès conditionnel Entra ID est-il suffisant pour être conforme NIS2 et DORA ?","L'accès conditionnel couvre une partie significative des exigences NIS2 et DORA en matière de gestion des accès, d'authentification forte et de surveillance continue. Cependant, la conformité complète nécessite également un EDR\u002FXDR, une gestion des vulnérabilités, un plan de réponse aux incidents et un SOC. L'accès conditionnel est une brique fondamentale, pas une solution unique.",{"src":1219,"alt":1220},"\u002Fblog\u002Facces-conditionnel-entra-id-zero-trust-pme-guide-technique.webp","Schéma d'architecture d'accès conditionnel Entra ID avec évaluation des signaux Zero Trust pour PME",{},true,"\u002Fblog\u002Facces-conditionnel-entra-id-zero-trust-pme-guide-technique",{"title":5,"description":1196},"Accès conditionnel Entra ID : guide Zero Trust PME","blog\u002Facces-conditionnel-entra-id-zero-trust-pme-guide-technique",null,"sQI4GeV0_I_tlNbnTK0YwHayW5BmEwjXzd0BI5CcW40",[1230,1238,1246],{"path":1231,"title":1232,"description":1233,"image":1234,"date":1237,"category":1194},"\u002Fblog\u002Fspf-dkim-dmarc-pme","SPF, DKIM et DMARC : le guide complet pour protéger les emails de votre PME en 2026","Vos emails arrivent en spam ? Votre domaine est usurpé ? Guide pas-à-pas pour configurer SPF, DKIM et DMARC et protéger votre PME du phishing.",{"src":1235,"alt":1236},"\u002Fblog\u002Fspf-dkim-dmarc-pme.webp","Configuration SPF DKIM DMARC pour sécuriser les emails d'une PME","2026-03-21",{"path":1239,"title":1240,"description":1241,"image":1242,"date":1245,"category":1194},"\u002Fblog\u002Farchitecture-zero-knowledge-gestionnaire-mots-de-passe-entreprise","Architecture Zero-Knowledge : comment fonctionne un gestionnaire de mots de passe d'entreprise en 2026","Décryptage technique de l'architecture zero-knowledge des gestionnaires de mots de passe professionnels",{"src":1243,"alt":1244},"\u002Fblog\u002Farchitecture-zero-knowledge-gestionnaire-mots-de-passe-entreprise.webp","Schéma d'architecture zero-knowledge d'un coffre-fort de mots de passe d'entreprise","2026-03-14",{"path":1247,"title":1248,"description":1249,"image":1250,"date":1253,"category":1194},"\u002Fblog\u002Fmicrosoft-intune-architecture-technique-gestion-flotte-pme","Microsoft Intune : architecture technique de la gestion de flotte pour PME en 2026","Plongee technique dans l'architecture Microsoft Intune pour PME : MDM vs MAM, Windows Autopilot, Apple Business Manager, Conditional Access",{"src":1251,"alt":1252},"\u002Fblog\u002Fmicrosoft-intune-architecture-technique-gestion-flotte-pme.webp","Schema d'architecture Microsoft Intune pour la gestion de flotte mobile et le deploiement zero-touch en PME","2026-03-07",1791790468286]