Compte administrateur et compte d’urgence Microsoft 365

Dans beaucoup de PME, la personne qui a ouvert l’abonnement Microsoft 365 travaille encore chaque jour avec un compte d’administrateur général. Elle lit ses courriels, ouvre des pièces jointes et navigue sur le Web avec les droits qui permettent de tout modifier. Et le jour où ce compte est bloqué, plus personne ne peut entrer dans la console. Microsoft et le Centre canadien pour la cybersécurité disent tous deux comment éviter ces deux situations.

1. Un compte ordinaire pour le travail de tous les jours

Pour les petites entreprises, Microsoft est clair : utilisez des comptes d’utilisateur ordinaires pour le travail courant, et votre compte d’administrateur seulement au besoin (Microsoft Learn, sécurité des comptes d’administrateur). La même page précise qu’un compte qui sert seulement à l’administration n’a pas besoin de licence.

Le Centre canadien va dans le même sens. Il recommande des comptes d’administration distincts de l’accès normal des utilisateurs, qui ne peuvent pas accéder à Internet ni au courriel, et d’appliquer le principe du droit d’accès minimal (ITSAP.10.094). L’idée est simple : un courriel piégé ouvert avec un compte ordinaire fait moins de dégâts qu’avec un compte qui peut tout changer.

2. Peu d’administrateurs généraux

Microsoft recommande d’attribuer le rôle d’administrateur général à moins de cinq personnes (Microsoft Learn, bonnes pratiques des rôles). Pour les tâches courantes, comme réinitialiser un mot de passe ou gérer les licences, des rôles plus limités existent. Chaque compte d’administrateur général de plus est une porte de plus vers tout l’environnement.

3. L’authentification multifacteur pour tous les administrateurs

Microsoft demande d’activer l’authentification multifacteur pour tous les comptes d’administrateur (Microsoft Learn, bonnes pratiques des rôles), et le Centre canadien aussi (ITSAP.10.094). Ce n’est d’ailleurs plus un choix pour les consoles d’administration : Microsoft l’exige progressivement depuis 2024, et pour le centre d’administration Microsoft 365 depuis février 2025 (Microsoft Learn, AMF obligatoire). Notre article sur l’authentification multifacteur obligatoire explique ce que cette exigence couvre, et ce qu’elle ne couvre pas.

4. Deux comptes d’accès d’urgence

C’est le point que beaucoup d’entreprises ignorent. Si le seul administrateur perd son téléphone, quitte l’entreprise ou se fait bloquer par une règle de sécurité, plus personne n’administre l’abonnement. Microsoft recommande donc de garder au moins deux comptes d’accès d’urgence (Microsoft Learn, comptes d’accès d’urgence). Ce que dit la page de Microsoft, telle que lue le 7 octobre 2026 :

• des comptes infonuagiques seulement, qui utilisent le domaine *.onmicrosoft.com, et non votre propre domaine ;
• des comptes qui ne sont associés à aucune personne en particulier ;
• une connexion sans mot de passe, par clé d’accès (FIDO2) ou par certificat, des méthodes qui satisfont l’authentification multifacteur obligatoire ;
• des identifiants gardés dans des coffres à l’épreuve du feu, dans des endroits sûrs et séparés.

5. Les exclure seulement de ce qui bloque

Une consigne a changé, et des pages plus anciennes disent encore le contraire. Les comptes d’urgence doivent aussi se connecter avec l’authentification multifacteur, et les exceptions configurées autrefois ne s’appliquent plus (Microsoft Learn, AMF obligatoire). Ce que Microsoft demande aujourd’hui, c’est de les exclure seulement des politiques d’accès conditionnel qui bloquent ou restreignent la connexion (Microsoft Learn, comptes d’accès d’urgence). À noter : l’accès conditionnel demande une licence Microsoft Entra ID P1 (Microsoft Learn, bonnes pratiques des rôles).

6. Une alerte à chaque utilisation, un essai tous les 90 jours

Un compte d’urgence ne sert presque jamais. Microsoft recommande donc une alerte à chaque utilisation, et de vérifier qu’il fonctionne au moins tous les 90 jours, ainsi qu’après un changement de personnel (Microsoft Learn, comptes d’accès d’urgence). La procédure d’alerte décrite par Microsoft passe par Azure Monitor. Le Centre canadien demande aussi de journaliser les actions des comptes privilégiés (ITSAP.10.094).

En résumé

Un compte ordinaire pour travailler. Moins de cinq administrateurs généraux, tous avec l’authentification multifacteur. Deux comptes d’urgence, sans mot de passe, rangés à part, avec une alerte et un essai tous les 90 jours. Si votre entreprise passe à Microsoft 365 ou y est déjà, notre page Microsoft 365 décrit comment nous travaillons sur les comptes et les accès.

Questions fréquentes

Combien de comptes d’accès d’urgence faut-il ?

Microsoft recommande d’en garder au moins deux, infonuagiques seulement, sur le domaine *.onmicrosoft.com.

Faut-il exclure les comptes d’urgence de l’authentification multifacteur ?

Non : ils doivent aussi se connecter avec l’authentification multifacteur, idéalement par clé d’accès FIDO2 ou par certificat. Microsoft demande seulement de les exclure des politiques d’accès conditionnel qui bloquent ou restreignent la connexion.

Combien d’administrateurs généraux dans Microsoft 365 ?

Microsoft recommande d’attribuer le rôle d’administrateur général à moins de cinq personnes.

Et maintenant ?

Vous ne savez pas combien de comptes ont les droits d’administrateur général chez vous, ni si quelqu’un pourrait entrer le jour où l’administrateur est bloqué ? Demandez l’analyse réseau gratuite de MPJM, offerte aux entreprises de 10 postes et plus : elle regarde justement vos comptes Microsoft 365.

P.-S. Seize questions, huit domaines, un portrait clair de vos forces et de vos angles morts : commencer l’évaluation.