Double authentification Microsoft 365 et Authenticator : le guide complet

Un mot de passe peut être volé, deviné ou réutilisé ailleurs. La double authentification ajoute une deuxième preuve : en plus du mot de passe, il faut valider la connexion sur son téléphone. Un pirate qui a votre mot de passe reste bloqué à la porte. C’est la mesure la plus efficace pour protéger un compte Microsoft 365, et elle ne prend que quelques secondes par jour.

1. Installer Microsoft Authenticator et l’activer

Prévoyez votre téléphone et un ordinateur. Comptez cinq minutes.

1. Sur le téléphone, installez Microsoft Authenticator depuis l’App Store ou le Google Play Store. Vérifiez que l’éditeur est bien Microsoft Corporation.
2. Sur l’ordinateur, connectez-vous à votre compte professionnel sur mysignins.microsoft.com/security-info (page « Informations de sécurité »). Si votre entreprise vient d’activer la double authentification, Microsoft vous y amène automatiquement à la prochaine connexion.
3. Cliquez sur Ajouter une méthode de connexion, choisissez Microsoft Authenticator, puis Suivant jusqu’à l’affichage d’un code QR.
4. Dans l’application, appuyez sur +, puis Compte professionnel ou scolaire, puis Scanner un code QR, et scannez le code affiché à l’écran.
5. Microsoft envoie une notification de test : approuvez-la. Le compte apparaît dans l’application, c’est terminé.

Autorisez les notifications de l’application sur le téléphone : sans elles, vous ne verrez pas les demandes de connexion.

2. Se connecter au quotidien

Quand vous vous connectez sur un nouvel appareil, Microsoft affiche un nombre à deux chiffres à l’écran. Votre téléphone reçoit une notification : ouvrez-la et tapez ce nombre. C’est la « correspondance de nombres » : elle garantit que c’est bien vous, devant l’écran, qui demandez la connexion.

Une demande que vous n’avez pas déclenchée veut dire qu’une personne connaît votre mot de passe. Les pirates envoient parfois des dizaines de demandes à la suite, en espérant qu’on finisse par accepter pour avoir la paix : ne validez jamais une demande inattendue.

3. Ajouter une méthode de secours

C’est l’étape que tout le monde oublie, et celle qui évite le blocage le jour où le téléphone est cassé. Sur la page « Informations de sécurité », ajoutez au moins une deuxième méthode :

• un numéro de téléphone (SMS ou appel), idéalement différent de celui du téléphone principal ;
• ou Authenticator sur un deuxième appareil, par exemple une tablette ;
• ou une clé de sécurité USB (FIDO2), pour les comptes les plus sensibles.

4. Changer de téléphone sans se bloquer

L’erreur classique : réinitialiser l’ancien téléphone avant d’avoir transféré Authenticator. Faites les choses dans cet ordre.

1. Gardez l’ancien téléphone sous la main, allumé, jusqu’à la fin.
2. Installez Microsoft Authenticator sur le nouveau téléphone.
3. Sur un ordinateur, ouvrez la page « Informations de sécurité » (vous validerez la connexion avec l’ancien téléphone).
4. Ajoutez le nouveau téléphone comme méthode Authenticator, en scannant le code QR comme lors de l’installation.
5. Faites un essai de connexion avec le nouveau téléphone.
6. Choisissez le nouveau téléphone comme méthode par défaut, puis supprimez l’ancien de la liste.
7. Seulement maintenant, réinitialisez l’ancien téléphone.

La sauvegarde intégrée d’Authenticator (iCloud sur iPhone, compte Microsoft personnel sur Android) récupère la liste des comptes, mais un compte professionnel restauré demande en général d’être revalidé. La méthode ci-dessus reste la plus sûre.

5. Téléphone perdu, volé ou cassé

• Vous avez une méthode de secours : connectez-vous avec elle, puis supprimez l’ancien téléphone et ajoutez le nouveau sur la page « Informations de sécurité ».
• Vous n’en avez pas : contactez votre administrateur. Il peut vous demander de réenregistrer vos méthodes ou vous donner un code d’accès temporaire, valable une durée limitée, pour vous reconnecter et configurer le nouveau téléphone.
• Le téléphone a été volé : prévenez aussi votre administrateur pour qu’il déconnecte les sessions ouvertes sur l’appareil.

6. Les problèmes les plus fréquents

« Je ne reçois pas la notification »

Ouvrez directement l’application Authenticator : la demande en attente s’y affiche souvent. Vérifiez que les notifications de l’application sont autorisées, que le téléphone a une connexion internet et qu’il n’est pas en mode économie d’énergie. Vous pouvez aussi choisir « Utiliser un code de vérification » sur l’écran de connexion.

« Le code à six chiffres est refusé »

Les codes dépendent de l’heure du téléphone. Vérifiez que l’heure est réglée automatiquement dans les paramètres du téléphone.

« On me demande de valider trop souvent »

Cochez « Rester connecté » sur les appareils de confiance. Si les demandes restent très fréquentes, votre administrateur peut ajuster la durée des sessions.

« Mon compte est bloqué après plusieurs essais »

Après plusieurs refus ou erreurs, Microsoft peut bloquer temporairement les tentatives. Patientez, puis réessayez. Si le blocage persiste, votre administrateur peut le lever.

7. Pour les administrateurs

Activer la double authentification pour tous

• Paramètres de sécurité par défaut : inclus dans tous les abonnements Microsoft 365. Ils imposent l’enregistrement de la double authentification à tous les utilisateurs et bloquent les anciens protocoles qui la contournent. Une bonne base pour une petite structure.
• Accès conditionnel : disponible avec Microsoft Entra ID P1, inclus dans Microsoft 365 Business Premium. Il permet des règles plus fines : exiger la double authentification hors du bureau, bloquer les connexions depuis certains pays, exiger un appareil géré. Les deux systèmes ne se cumulent pas : activer l’accès conditionnel suppose de désactiver les paramètres par défaut.

Gérer les cas difficiles

• Téléphone perdu : dans le centre d’administration Microsoft Entra, sur la fiche de l’utilisateur, rubrique Méthodes d’authentification, demandez le réenregistrement de l’authentification multifacteur, ou créez un passe d’accès temporaire.
• Comptes d’administration : Microsoft impose désormais la double authentification pour accéder à ses centres d’administration. Réservez ces comptes à l’administration, séparés des comptes de travail quotidiens.
• Méthodes les plus solides : les clés d’accès (passkeys), dans Authenticator ou sur une clé FIDO2, résistent même aux faux sites de connexion. Le SMS reste la méthode la plus faible : à garder en secours seulement.
• Anciens protocoles : bloquez l’authentification héritée (anciens clients de messagerie, POP, IMAP). Elle ne gère pas la double authentification et sert de porte dérobée aux attaques.

Questions fréquentes

La double authentification est-elle obligatoire sur Microsoft 365 ?

Elle dépend des réglages de votre entreprise. Microsoft l’impose déjà pour les centres d’administration, et la recommande pour tous les comptes : c’est la protection la plus efficace contre le vol de mot de passe.

Puis-je utiliser Google Authenticator à la place ?

Pour des codes à six chiffres, oui, si votre administrateur l’autorise. Mais la validation par notification avec correspondance de nombres et les clés d’accès ne fonctionnent qu’avec Microsoft Authenticator.

Microsoft Authenticator a-t-il accès à mes données personnelles ?

Non. L’application sert à valider vos connexions. Pour un compte professionnel, elle ne donne pas à l’entreprise accès à vos photos, messages ou applications personnelles.

Que faire si je n’ai pas de smartphone ?

D’autres méthodes existent : SMS ou appel sur un téléphone fixe ou mobile, ou clé de sécurité USB. Votre administrateur vous indique celles autorisées dans votre entreprise.

La double authentification suffit-elle à protéger un compte ?

Elle bloque la grande majorité des attaques par vol de mot de passe, mais pas toutes : de faux sites peuvent intercepter une connexion en temps réel. D’où l’intérêt des clés d’accès, d’un filtrage des e-mails et de la vigilance face aux demandes inattendues.

Sources : documentation Microsoft Learn (Microsoft Authenticator, informations de sécurité, paramètres de sécurité par défaut, accès conditionnel, passe d’accès temporaire, authentification multifacteur obligatoire pour les portails d’administration). Les intitulés des menus peuvent évoluer.