À quoi ça sert concrètement
Un mot de passe seul ne dit rien du contexte. L'accès conditionnel ajoute ce contexte. Il permet d'exiger le second facteur uniquement hors des locaux, de bloquer les connexions depuis des pays où vous n'avez ni salarié ni client, d'interdire l'accès aux fichiers depuis un appareil non géré, ou de forcer une réauthentification sur les comptes à privilèges.
C'est aussi le seul moyen propre de fermer les protocoles anciens qui contournent le second facteur. Une politique de blocage de l'authentification héritée retire d'un coup l'un des vecteurs d'attaque les plus utilisés contre les messageries d'entreprise.
Ce qu'il faut savoir avant de s'en servir
Les politiques complètes reposent sur une licence Entra ID P1 au minimum, incluse dans plusieurs plans dont Business Premium. À vérifier à date, la composition des offres bouge.
Une règle s'applique dans l'ordre suivant : les conditions désignent qui et quoi, les contrôles disent ce qu'on exige. Un blocage l'emporte toujours sur une autorisation. Et il faut toujours prévoir un compte de secours exclu de toutes les politiques, avec un mot de passe long conservé hors ligne. Sans lui, une règle mal écrite vous enferme dehors de votre propre tenant.
Les erreurs qu'on voit le plus souvent
La plus coûteuse est le déploiement direct en production sans mode rapport. Chaque politique doit tourner plusieurs jours en observation pour mesurer qui serait bloqué avant d'activer réellement.
Ensuite viennent les exclusions accumulées. Un directeur exclu du second facteur « en attendant », un prestataire exclu du blocage géographique : au bout d'un an, la politique protège tout le monde sauf les comptes les plus exposés. Une exclusion ne laisse aucune trace de son motif ni de sa date : elle s'ajoute dans un champ de la politique et devient invisible. La liste grossit donc dans un seul sens, et la protection finit par épargner exactement les comptes les plus exposés. Une exclusion doit porter un motif écrit et une date de revue, faute de quoi elle est définitive.
Troisième erreur : configurer l'accès conditionnel sans avoir généralisé l'authentification multifacteur. Les deux se construisent ensemble, dans l'ordre décrit sur notre page sécurité Microsoft 365.
