Pour faire le tour de la messagerie Microsoft 365, je partirais de trois questions : qui envoie avec le domaine, où partent les messages et quelles applications ont reçu un accès ? Les licences viennent ensuite. Ça donne déjà un périmètre de travail assez clair.
SPF, DKIM et DMARC : regarder les trois ensemble
SPF déclare les serveurs autorisés à envoyer pour un domaine. DKIM permet de vérifier une signature sur le message. DMARC ajoute le contrôle d'alignement avec le domaine affiché à l'expéditeur et une politique en cas d'échec.
La présence d'un enregistrement DNS ne suffit pas à dire que tout fonctionne. Il faut tenir compte de tous les services qui envoient des mails : Microsoft 365, mais aussi votre CRM, votre outil de facturation ou votre plateforme d'envoi.
Je préfère inventorier ces services et examiner les rapports avant de durcir la politique DMARC. Passer directement en rejet sans vérifier les envois légitimes peut bloquer des messages attendus.
Les transferts de messages
Un transfert vers l'extérieur peut être volontaire. Il peut aussi avoir été créé lors d'une compromission. Pour chaque règle qui vous surprend, vérifiez son propriétaire, sa destination et son utilité.
Les règles de boîte mail et les règles de transport ne se gèrent pas au même endroit. Ne concluez pas que vous avez tout vérifié après avoir ouvert une seule page du portail.
Les applications autorisées
Une application peut recevoir des permissions sur les mails, les calendriers ou les fichiers. Regardez ce qui a été accordé, à qui, et si l'outil sert encore. Pour les automatisations, la revue des comptes de service Microsoft 365 permet de commencer par les dépendances et leurs propriétaires.
Un nom inconnu ne suffit pas à qualifier une application de malveillante. En revanche, une permission large sans propriétaire capable de l'expliquer mérite de s'y arrêter. Avant de retirer un consentement, vérifiez le service qui en dépend.
Les licences à revoir
Un compte désactivé ou peu utilisé avec une licence est un point de départ pour une vérification, pas une économie déjà acquise. Il peut y avoir une boîte à conserver, des contraintes de rétention ou un usage particulier.
Reprenez les besoins avec le responsable du compte et les conditions de votre abonnement. Le fait de retirer une licence à un utilisateur ne modifie pas forcément votre engagement de facturation.
Par quoi commencer ?
Choisissez un premier périmètre : un domaine, les transferts externes ou les applications qui ont accès à la messagerie. Notez ce qui est confirmé, ce qui reste à vérifier et qui doit décider.
AuditMS peut aider à préparer cette liste. Ses résultats ne remplacent pas la vérification du fonctionnement réel de votre messagerie.