Quand on parle de MFA, je préfère commencer par une question simple : dans quelles situations est-il réellement demandé ? Voir une méthode enregistrée dans Entra est utile, mais ça ne suffit pas pour répondre.
Regarder la configuration
Ce qui m'intéresse ici, c'est la protection réellement en place sur les comptes. Le MFA réduit les risques liés au vol de mot de passe ; la méthode choisie, les stratégies et l'état de l'appareil comptent aussi.
Ce qu'un mot de passe volé permet
Un attaquant peut récupérer un mot de passe par hameçonnage ou le réutiliser après une fuite sur un autre service. Une vérification supplémentaire peut empêcher qu'il suffise à ouvrir une session.
Certaines attaques visent toutefois à faire valider la connexion par l'utilisateur ou à voler une session. Le MFA reste utile ; il faut choisir sa méthode et garder les autres protections.
Choisir la méthode
Microsoft propose plusieurs méthodes, dont les notifications et codes d'application, les SMS, les passkeys FIDO2 et Windows Hello for Business. Elles ne répondent pas toutes aux mêmes risques.
Les méthodes résistantes au phishing sont à étudier en priorité pour les accès sensibles. Préparez aussi leur déploiement, la perte d'un appareil et la récupération du compte. La bonne méthode doit pouvoir être utilisée et maintenue par votre équipe.
Préparer les utilisateurs
Expliquez ce qui va changer, les méthodes autorisées et qui contacter en cas de blocage. Faites un essai avec un petit groupe avant de généraliser. Ça permet de corriger les problèmes concrets plutôt que de découvrir tous les cas particuliers le jour du déploiement.
Où le mettre en place ?
Selon vos licences et vos besoins, vous pouvez utiliser les paramètres de sécurité par défaut ou des stratégies d'accès conditionnel. L'article sur les protections disponibles sans Entra ID P1 aide à distinguer ces options. Vérifiez ce qui est déjà actif et préparez la transition entre les dispositifs.
Gardez des accès d'urgence dédiés, protégés et régulièrement testés. Les changements de stratégie ne doivent pas vous laisser sans moyen d'administrer le tenant.
Contrôler le résultat
Rapprochez le rapport d'enregistrement, les stratégies applicables et les journaux de connexion. Testez les situations attendues : appareil habituel, nouvel appareil et accès à une application sensible.
AuditMS lit les informations d'enregistrement disponibles et les présente dans le rapport. Il ne peut pas déduire de ce seul enregistrement que toutes les connexions exigent le MFA.