# Nettoyage Microsoft 365: corrigez vos licences et vos paramètres de sécurité avant d'acheter quoi que ce soit d'autre > Amen Security Team · 2026-10-23T15:14:58.076Z · cloud · microsoft-365 · licences · security-settings · entra-id · smb · canada Pour la plupart des entreprises de 30 à 80 personnes, un nettoyage est les quelques heures les plus rentables de tout leur locataire Microsoft 365 — et oui, il peut être fait pour vous. Un nettoyage, c'est deux choses: arrêter de payer pour des licences qui appartiennent à des gens qui sont partis, ou pour un niveau de forfait dont les outils de sécurité n'ont jamais été activés — et terminer les paramètres de sécurité laissés à moitié configurés le jour où le locataire a été créé. Aucune de ces deux moitiés n'exige d'acheter quoi que ce soit de nouveau. En 30 secondes - Chaque licence encore attribuée à une personne qui est partie est un frais mensuel — et une connexion active dont un attaquant peut se servir. Un nettoyage commence par mettre la liste des licences face à la liste du personnel. - Si vous êtes sur Microsoft 365 Business Premium, une vraie pile de sécurité est déjà dans la licence — mais elle ne vous protège que si quelqu'un l'a activée. Sur Business Standard, ces outils ne font partie du forfait à aucun réglage. - Sachez dans lequel des trois états se trouve votre locataire: paramètres de sécurité par défaut activés, paramètres désactivés sans rien pour les remplacer, ou paramètres correctement remplacés par l'accès conditionnel. « Je pense que la MFA est activée » est une supposition, pas un réglage. Trois signes que votre locataire est dû Votre locataire est-il dû pour un nettoyage? Cochez ce qui vous ressemble - ☐ Le rapport de licences et la liste du personnel ne correspondent pas. Les gens partent, les rôles changent, et un compte « temporaire » d'un projet d'il y a deux ans est toujours actif et licencié. Chacun de ces comptes est un frais mensuel — et une connexion active dont un attaquant peut se servir. - ☐ Personne ne peut dire quels paramètres de sécurité par défaut sont réellement activés. Microsoft active un socle appelé paramètres de sécurité par défaut pour les nouveaux locataires, mais les locataires en sont retirés ou laissés dans l'état qu'une installation précipitée a produit. « Je pense que la MFA est activée » est la réponse la plus courante qu'on entend — et c'est une supposition, pas un réglage. - ☐ Vous payez la sécurité deux fois — ou pas du tout. C'est le signe subtil. Si vous êtes sur Microsoft 365 Business Premium, une vraie pile de sécurité est déjà dans la licence. Si vous êtes sur Business Standard, certains de ces outils ne font partie de votre forfait à aucun réglage. Une seule case cochée suffit — un nettoyage commence par déterminer dans laquelle de ces situations vous vous trouvez. Première moitié: les licences Les licences liées à des gens qui sont partis Sortez la liste des comptes licenciés et triez-la par rapport à qui travaille réellement ici. Les anciens employés, les comptes en double après un changement de nom et les comptes de test d'anciens projets sont les trouvailles habituelles. Retirer une licence d'un compte qui ne devrait pas exister est à la fois une économie et une correction de sécurité — les deux sont la même liste. Le mauvais niveau, dans les deux sens Microsoft décrit Business Premium comme comprenant toutes les mêmes applications et services que Business Standard, « plus des capacités avancées de protection contre les cybermenaces et de gestion des appareils ». La [page Business Premium de Microsoft](https://www.microsoft.com/en-us/security/business/microsoft365-business-premium) énumère cinq services de sécurité intégrés à l'abonnement, et non vendus comme modules complémentaires: Microsoft Defender for Business, Microsoft Defender for Office 365 Plan 1, Microsoft Entra ID Plan 1, Microsoft Intune Plan 1 et Microsoft Purview. Business Standard n'inclut aucun de ces cinq — son niveau d'identité est la version gratuite d'Entra ID, selon la [comparaison des forfaits de Microsoft](https://www.microsoft.com/en-ca/microsoft-365/business/microsoft-365-plans-and-pricing). Service de sécurité Microsoft 365 Business Standard Microsoft 365 Business Premium Microsoft Defender for Business Non inclus Inclus Microsoft Defender for Office 365 Plan 1 Non inclus Inclus Microsoft Entra ID Plan 1 Non inclus — le palier d'identité de Standard est la version gratuite d'Entra ID Inclus Microsoft Intune Plan 1 Non inclus Inclus Microsoft Purview Non inclus Inclus Microsoft décrit Business Premium comme incluant les mêmes applications et services que Business Standard, « plus des capacités avancées de protection contre les cybermenaces et de gestion des appareils ». Deux limites tirées de la même comparaison: Microsoft affiche Defender for Business en licence autonome à 4,10 $ CA par utilisateur par mois, et précise qu'il est « inclus dans Microsoft 365 Business Premium »; et les forfaits d'affaires de Microsoft sont conçus pour les organisations comptant jusqu'à 300 utilisateurs, avec une limite de locataire de 300 licences provisionnées pour l'ensemble de la famille des forfaits d'affaires. L'accès conditionnel — le vrai remplacement des paramètres de sécurité par défaut — exige au moins Entra ID P1, soit le palier d'identité de la colonne Premium, pas le palier gratuit de la colonne Standard. La question du niveau joue donc dans les deux sens. Une entreprise sur Premium qui n'a jamais activé Defender for Business ou Intune paie pour une protection qu'elle n'a pas. Une entreprise sur Standard qui a acheté séparément un outil de point de terminaison autonome paie peut-être deux fois — ou il lui manque complètement l'accès conditionnel, parce qu'il exige Entra ID P1. (Microsoft affiche Defender for Business autonome à 4,10 $ CA par utilisateur par mois sur cette page, et note qu'il est « inclus dans Microsoft 365 Business Premium ».) Une limite à connaître: les forfaits d'affaires de Microsoft sont conçus pour les organisations comptant jusqu'à 300 utilisateurs, avec une limite de 300 licences provisionnées dans la famille des forfaits d'affaires. À 30 à 80 employés, vous êtes confortablement à l'intérieur — mais la croissance la mange plus vite que les propriétaires s'y attendent. C'est par ce regard en lecture seule que s'ouvre notre [évaluation gratuite](https://amensecurity.ca/fr/contact): la liste des licences face à la liste du personnel, et rien ne change avant que vous ayez vu ce qu'elle révèle. Deuxième moitié: les paramètres Paramètres de sécurité par défaut: activés, désactivés ou remplacés — mais sachez lequel Les [paramètres de sécurité par défaut de Microsoft](https://learn.microsoft.com/en-us/entra/fundamentals/security-defaults) sont une base préconfigurée: chaque utilisateur s'inscrit à l'authentification multifacteur, les administrateurs font du MFA, les protocoles d'authentification hérités et le flux de code d'appareil sont bloqués, et les activités privilégiées comme l'accès au portail Azure sont protégées. Le raisonnement de Microsoft est direct — dans ses mots, « plus de 99,9 % de ces attaques courantes liées à l'identité sont arrêtées par l'utilisation de l'authentification multifacteur et le blocage de l'authentification héritée ». Le problème est rarement que les paramètres par défaut sont mauvais. C'est que personne ne connaît l'état du locataire: paramètres activés, paramètres désactivés sans rien pour les remplacer (le cas dangereux), ou paramètres remplacés par des politiques d'accès conditionnel. Microsoft Learn est explicite: si vous désactivez les paramètres de sécurité par défaut, vous activez immédiatement des politiques d'accès conditionnel pour prendre leur place — et l'accès conditionnel exige au moins Microsoft Entra ID P1, ce qui est la question du niveau de licence de la première moitié, qui revient. « Je pense que la MFA est activée » est la réponse la plus courante qu'on entend — et c'est une supposition, pas un réglage. Comptes d'administration et consentement Deux éléments plus discrets terminent le passage des paramètres. D'abord, les rôles d'administration: combien de comptes détiennent le rôle d'administrateur général, s'il s'agit de comptes distincts utilisés seulement pour le travail d'administration, et si les comptes d'urgence (« break-glass ») que Microsoft recommande — deux comptes infonuagiques seulement, affectés en permanence au rôle d'administrateur général — existent et sont documentés. Ensuite, le consentement aux applications: quelles applications tierces vos utilisateurs ont autorisées à accéder à votre locataire, et si les utilisateurs ordinaires peuvent continuer d'en autoriser d'autres. (Ce en quoi ce consentement peut être transformé, un attaquant l'a démontré en octobre 2026 — notre [liste de contrôle de sécurité des sauvegardes Microsoft 365](https://amensecurity.ca/fr/blog/microsoft-365-backup-security-checklist) passe en revue la vérification des applications connectées après cet incident.) À quoi ressemble un nettoyage, dans l'ordre Le nettoyage, dans l'ordre: Audit → Licences → Paramètres → Registre écrit. - Un audit en lecture seule d'abord. Liste de licences contre liste du personnel, niveaux de forfait contre les outils réellement utilisés, état des paramètres de sécurité par défaut ou de l'accès conditionnel du locataire, rôles d'administration, applications connectées. Rien ne change encore — vous obtenez la liste. - Les corrections de licences. Retirer ou réaffecter les licences mortes, ajuster les niveaux par rôle et annuler les doublons. Ces changements apparaissent sur la prochaine facture. - Les corrections de paramètres, par étapes. Couverture MFA complétée, authentification héritée bloquée, hygiène des comptes d'administration réglée et — si les licences le permettent — paramètres de sécurité par défaut correctement remplacés par l'accès conditionnel plutôt que simplement désactivés. Par étapes, en mode rapport seulement ou en groupes pilotes d'abord, pour que personne ne soit bloqué un mardi. - Un court compte rendu écrit. Ce qui a été changé, ce que sont maintenant vos paramètres, et quoi revérifier chaque trimestre. Un locataire dérive avec le temps; le compte rendu est ce qui fait du prochain nettoyage une heure de travail plutôt qu'une fouille. La part d'Amen dans tout cela peut se situer dans l'une ou l'autre de nos voies, selon ce que l'audit trouve: c'est du travail de locataire sous nos [services Serveurs et nuage](https://amensecurity.ca/fr/services/cloud), et le côté courriel — filtrage, enregistrements d'authentification, les comptes que les attaquants visent réellement — se situe sous [Courriel et communication](https://amensecurity.ca/fr/services/email). On nous le demande dans presque chaque locataire qu'on ouvre Pourquoi payons-nous pour des licences Microsoft 365 que personne n'utilise? Parce que les licences sont affectées à des comptes, pas à des personnes, et que les comptes survivent aux rôles. Quelqu'un part, une boîte aux lettres est convertie mais garde sa licence, un compte de projet n'est jamais fermé. Le correctif est une question de rythme, pas de purge: réconciliez la liste des licences avec la liste du personnel chaque trimestre, et faites du retrait des licences une étape du processus de départ — c'est aussi le moment où le compte cesse d'être un risque de sécurité. Quels paramètres Microsoft 365 devraient être activés par défaut pour la sécurité? Commencez par la base de Microsoft elle-même: les paramètres de sécurité par défaut activés (ou correctement remplacés par l'accès conditionnel), ce qui signifie chaque utilisateur inscrit au MFA, les administrateurs qui font du MFA, l'authentification héritée et le flux de code d'appareil bloqués, et les activités privilégiées protégées. Ensuite les éléments que les paramètres par défaut ne couvrent pas pour vous: une liste de rôles d'administration révisée, des comptes d'urgence, et le consentement des utilisateurs aux applications tierces restreint. Microsoft Secure Score, dans le centre d'administration, montre où votre locataire se situe par rapport aux recommandations de Microsoft. Combien coûte une migration Microsoft 365 pour une entreprise de 40 personnes? Une migration — déplacer le courriel et les fichiers dans Microsoft 365 depuis ailleurs — est tarifée selon ce qui est déplacé: les boîtes aux lettres, l'endroit où les fichiers vivent aujourd'hui, le volume de données, et l'ampleur du nettoyage dont la source a besoin en cours de route. C'est un travail différent d'un nettoyage, qui porte sur un locataire que vous avez déjà; notre [liste de contrôle de migration cloud](https://amensecurity.ca/fr/blog/cloud-migration-checklist) couvre la façon dont un déménagement est organisé par étapes. Amen établit le prix des migrations après une évaluation plutôt que de publier un tarif par poste, parce que l'environnement source change le travail plus que le nombre de postes. Qui s'occupe de la configuration et du soutien Microsoft 365 pour les entreprises de Winnipeg? Amen Security s'en occupe — configuration, nettoyage du locataire et soutien continu pour les entreprises de Winnipeg, avec du travail sur place partout au Manitoba et une livraison à distance partout au Canada et aux États-Unis. Cela s'inscrit dans nos services gérés et infonuagiques plutôt que comme un produit ponctuel, ce qui compte pour un nettoyage: l'objectif est que quelqu'un empêche le locataire de dériver à nouveau. Les deux chantiers voisins de celui-ci Un nettoyage ne vit pas seul dans un locataire. Il a deux voisins, et la plupart des entreprises finissent par faire les trois à moins d'un an d'intervalle: - [Votre sauvegarde Microsoft 365 peut aussi être attaquée](https://amensecurity.ca/fr/blog/microsoft-365-backup-security-checklist) — la section sur le consentement des applications de ce billet, en profondeur: ce qu'une application de sauvegarde connectée pouvait atteindre en octobre 2026, et les dix vérifications qui ont suivi. - [Liste de vérification pour une migration infonuagique au Canada](https://amensecurity.ca/fr/blog/cloud-migration-checklist) — si le problème est le locataire lui-même et que vous migrez vers Microsoft 365 plutôt que de ranger celui que vous avez, commencez par la façon dont une migration s'étale dans le temps. Une habitude, pas un sauvetage La plupart des locataires n'ont pas besoin d'un forfait plus gros ni d'un nouvel outil — et la plupart des nettoyages, faits une seule fois, se défont tranquillement. Les licences reviennent pour des gens qui sont partis. Une nouvelle application obtient un consentement un vendredi chargé. Les paramètres par défaut sont modifiés pour un correctif urgent et jamais remis en place. La dérive n'est pas l'échec du premier nettoyage; c'est ce qu'un locataire fait quand personne ne regarde. Alors rendez le deuxième nettoyage ennuyeux. Une fois par trimestre, placez la liste des licences à côté de la liste du personnel: qui est arrivé, qui est parti, dont le rôle a assez changé pour changer de palier. Liez le retrait des licences au processus de départ, pour que le compte se ferme la même semaine que le bureau se vide. Et tenez à jour le court registre écrit du premier passage — l'état de vos paramètres par défaut, votre liste d'administrateurs, vos applications approuvées — parce que ce registre est la différence entre une heure de ménage et une autre excavation. Le premier nettoyage est une excavation. Tous ceux qui suivent devraient être un coup de balai, pas un coup de pelle. Sources et révision - Microsoft — page produit Microsoft 365 Business Premium (microsoft.com): les cinq services de sécurité intégrés à l'abonnement, et non vendus en suppléments (consultée le 23 octobre 2026). - Microsoft Canada — forfaits et tarifs Microsoft 365: la comparaison de forfaits derrière le tableau ci-dessus (le palier d'identité de Business Standard est la version gratuite d'Entra ID), Defender for Business en licence autonome affiché à 4,10 $ CA par utilisateur par mois et indiqué comme inclus dans Business Premium, forfaits conçus pour les organisations comptant jusqu'à 300 utilisateurs, et limite de locataire de 300 licences provisionnées pour l'ensemble de la famille des forfaits d'affaires (consultée le 23 octobre 2026). - Microsoft Learn — « Configurer les paramètres de sécurité par défaut pour Microsoft Entra ID »: ce que les paramètres par défaut imposent, le fait que leur désactivation appelle des politiques d'accès conditionnel pour prendre le relais, et la déclaration de Microsoft sur la MFA et le blocage de l'authentification héritée, citée dans ce billet (consultée le 23 octobre 2026). - Révisé: le 23 octobre 2026. - Amen Security est un fournisseur de services TI gérés (MSP) et de sites web et d'applications sur mesure basé à Winnipeg: soutien sur place partout au Manitoba, soutien à distance partout au Canada et aux États-Unis, et une évaluation gratuite avant tout contrat. ## Sujet : Infonuagique et Microsoft 365 - [Guide principal](https://amensecurity.ca/fr/services/cloud.md) - [Modèles de tarification des TI gérées au Canada : comprendre les soumissions MSP](https://amensecurity.ca/fr/guides/managed-it-pricing-canada.md) --- Source page: https://amensecurity.ca/fr/blog/microsoft-365-cleanup-licences-security-settings Markdown version for AI agents · Amen Security Email: info@amensecurity.ca Phone: +1 (204) 514-3536