Dans cet article
Un compte d’urgence (break-glass) est un compte d’administrateur général Microsoft 365 qui n’existe que pour un seul moment : celui où les comptes d’administration habituels ne fonctionnent plus. Téléphone d’authentification perdu, règle d’accès mal configurée, administrateur parti avec les identifiants — dans tous ces cas, c’est par là que l’entreprise reprend la main. Sans lui, la récupération passe par des demandes au support Microsoft et des preuves de propriété, avec la messagerie, Teams et les fichiers sans gestion entre-temps.
Synthèse pour la direction
- Nombre Au moins deux comptes, selon Microsoft.
- Nature Uniquement dans le cloud (domaine .onmicrosoft.com), sans lien avec des personnes ni des téléphones.
- Authentification Clé de sécurité physique (FIDO2) ou certificat ; la MFA obligatoire de Microsoft s’applique aussi à ces comptes.
- Contrôle Alerte à chaque utilisation et test au moins tous les 90 jours et à chaque changement dans l’équipe IT.
Quatre façons banales de perdre l’accès
Nul besoin d’une attaque. Dans les environnements que nous analysons, les scénarios se répètent :
- Second facteur unique — le téléphone du seul administrateur a été perdu ou remplacé.
- Accès conditionnel erroné — une règle du type « uniquement depuis le Portugal » ou « uniquement sur les ordinateurs de l’entreprise » a bloqué tout le monde, y compris son auteur.
- Départ de l’administrateur — un collaborateur ou l’ancien prestataire est parti avec les identifiants.
- Compte compromis — l’attaquant a changé le mot de passe et les méthodes d’authentification.
La question est toujours la même : qui peut entrer maintenant, sans dépendre du compte défaillant ? Pensez au marteau derrière la vitre dans un wagon de train : personne ne s’en sert au quotidien, tout le monde sait où il est et briser la vitre déclenche une alarme.
Les règles de Microsoft, traduites
La documentation Microsoft sur les comptes d’accès d’urgence dans Microsoft Entra — le système d’identités de Microsoft 365 — définit ce qui suit :
| Règle | Ce que cela signifie pour l’entreprise |
|---|---|
| Deux comptes ou plus | Si l’un échoue ou est compromis, il reste l’autre. |
| Cloud uniquement, domaine .onmicrosoft.com | Indépendants du serveur local, de la synchronisation et du domaine de l’entreprise. |
| Pas de titulaire personnel | Pas de « joao.admin » ni de téléphone personnel comme second facteur. |
| Sans mot de passe, résistant au phishing | Passkey FIDO2 (recommandée) ou certificat, différent de la méthode des comptes habituels. |
| Hors des règles de blocage | Une erreur d’accès conditionnel ne les touche pas. |
| Administrateur général permanent | Toujours actif, et non « éligible » sur demande. |
| Identifiants en des lieux séparés | Coffres différents, accès réservé aux personnes autorisées. |
| Alerte à chaque utilisation | Chaque ouverture de session génère une alerte critique. |
| Test tous les 90 jours | Et à chaque changement de l’équipe IT ou de l’abonnement. |
La fin du compte avec mot de passe sous enveloppe
Pendant des années, le compte d’urgence était un long mot de passe conservé dans une enveloppe. Ce n’est plus suffisant : Microsoft exige désormais la MFA sur les portails d’administration — dans le centre d’administration Microsoft 365 depuis février 2025 — et la documentation précise expressément que les comptes d’urgence ne font pas exception.
Les méthodes indiquées sont la clé FIDO2 ou le certificat. Pour une PME, le plus simple est deux clés physiques par compte, en des lieux différents. Comparaison des méthodes : la MFA en entreprise, méthode par méthode.
Les clés appartiennent à l’entreprise, pas au prestataire
C’est une décision de gouvernance. Dans la gestion IT que nous assurons, le prestataire travaille avec des comptes d’administration nominatifs, un par technicien ; les comptes d’urgence restent chez le client. Ainsi, l’entreprise n’est jamais otage de personne — pas même de nous.
- Clé 1 Dans le coffre de l’entreprise, accessible à la direction.
- Clé 2 Dans un autre lieu : un autre bureau, le coffre d’un administrateur ou un coffre bancaire.
- Registre écrit Qui y a accès, où elles se trouvent, date du dernier test.
- Mots de passe associés Dans un gestionnaire de mots de passe d’entreprise, dans un espace réservé à la direction.
C’est aussi une clause à vérifier dans tout contrat : départ du prestataire et restitution des données et des accès.
DataRoad IT Unlimited
Parlez à DataRoad. Nous évaluons votre activité et proposons l’offre adaptée.
Autodiagnostic en huit questions
- Existe-t-il au moins deux comptes d’urgence en .onmicrosoft.com ?
- Aucun n’est-il lié à une personne ou à un téléphone personnel ?
- Utilisent-ils une clé physique ou un certificat, et non un SMS ou une application ?
- Sont-ils exclus des règles d’accès conditionnel qui bloquent ?
- La direction sait-elle où se trouvent les clés, en des lieux séparés ?
- Chaque connexion génère-t-elle une alerte immédiate ?
- Ont-ils été testés au cours des 90 derniers jours ?
- Chaque technicien utilise-t-il son propre compte d’administration ?
Deux « non » ou « je ne sais pas », ou davantage, signalent un risque réel. Une grande partie des failles que nous constatons dans la sécurité de la messagerie Microsoft 365 commence par l’administration.
Exemple : 50 boîtes aux lettres dans un organisme public
À l’União das Freguesias de Massamá e Monte Abraão, DataRoad a migré une cinquantaine de boîtes aux lettres vers Exchange Online, avec transfert intégral du contenu, reconfiguration des postes et des téléphones et validation finale. Dans un organisme public, l’administration de l’environnement doit continuer d’appartenir à l’organisme, quel que soit le prestataire. C’est le modèle que nous appliquons : comptes nominatifs pour les techniciens, comptes d’urgence détenus par le client, registre clair des accès.
Questions fréquentes
Combien de comptes d’urgence faut-il ?
Deux ou plus, selon Microsoft, pour que la défaillance de l’un ne laisse pas l’entreprise à la porte.
Le téléphone de l’administrateur peut-il servir de second facteur ?
Ce n’est pas recommandé. Ces comptes ne doivent dépendre ni de personnes ni d’appareils personnels ; utilisez FIDO2 ou un certificat.
Puis-je conserver le compte avec un simple mot de passe ?
Non. La MFA est obligatoire sur les portails d’administration et s’applique aux comptes d’urgence.
Qui conserve les clés ?
L’entreprise, dans deux lieux sûrs et séparés, avec un registre des accès. Le prestataire IT travaille avec ses propres comptes nominatifs.
Sources
Prochaine étape : revue de l’administration en 5 jours ouvrés
Nous analysons les comptes d’administration, les comptes d’urgence, les méthodes d’authentification et les règles d’accès, puis livrons les corrections par ordre de priorité, dans une proposition sans engagement. Plus de 10 postes · contrat d’assistance · support à distance, sur site et par téléphone. En savoir plus sur Microsoft 365 géré et les offres IT Unlimited.
