Bloquer IMAP, POP et SMTP basic : fermer la porte à la MFA

Vous avez déployé la MFA sur tous vos comptes, et pourtant une porte reste ouverte. Les protocoles d'authentification hérités — IMAP, POP, SMTP basic, mais aussi les anciens clients Exchange ActiveSync — ne savent pas gérer un second facteur. Un attaquant qui dispose d'un mot de passe volé peut s'y connecter directement, sans jamais déclencher votre MFA. C'est l'un des angles morts les plus fréquents des environnements Microsoft 365, et l'un des plus faciles à refermer une fois qu'on a mesuré ce qui l'utilise encore.

Pourquoi ces protocoles sont dangereux

L'authentification basic date d'une époque où le mot de passe suffisait. Elle ne prévoit aucun mécanisme pour un second facteur, ce qui en fait un angle mort permanent, même sur un tenant par ailleurs bien protégé.

• L'authentification basic transmet un simple couple identifiant/mot de passe, sans second facteur.
• Elle est massivement ciblée par les attaques par pulvérisation de mots de passe (password spraying).
• Un compte compromis via IMAP ou POP passe souvent inaperçu, sans alerte de MFA.
• Ces protocoles servent rarement dans un parc moderne équipé de clients Outlook récents.

Le password spraying, une menace discrète

Contrairement à une attaque par force brute qui matraque un seul compte, le password spraying essaie un mot de passe très courant (comme un nom de saison suivi de l'année) sur des centaines de comptes à la fois. Cette approche passe sous les seuils de verrouillage et reste discrète. Face à un point d'entrée en authentification basic, elle n'a même pas besoin de contourner la MFA : le protocole ne la demande jamais. C'est exactement ce que le blocage vient neutraliser.

Identifier ce qui est encore utilisé

Avant de bloquer, il faut mesurer. Les journaux de connexion de Microsoft Entra permettent de filtrer les connexions par protocole client et d'isoler l'authentification héritée. Vous repérez ainsi les rares comptes ou applications (imprimantes multifonctions, scripts d'envoi, anciens automates) qui en dépendent encore, et vous évitez de couper un service critique par surprise.

1. 1Consultez les journaux de connexion et filtrez sur « Client legacy authentication ».
2. 2Recensez les comptes de service et équipements qui utilisent SMTP basic pour envoyer des e-mails.
3. 3Prévoyez une alternative moderne (SMTP authentifié OAuth, Graph API, ou relais dédié).
4. 4Documentez chaque exception restante avec une justification et une date de revue.

Les dépendances que l'on oublie souvent

Les surprises viennent rarement des postes utilisateurs, presque toujours des équipements et automatismes. Une imprimante multifonction qui envoie des documents numérisés par e-mail, un vieux logiciel métier qui expédie des rapports la nuit, un capteur ou un onduleur qui alerte par courriel : autant de cas qui reposent encore sur SMTP basic. Les identifier avant le blocage évite le classique appel du lundi matin signalant que « les scans n'arrivent plus ».

Bloquer proprement

La méthode recommandée consiste à créer une politique d'Accès conditionnel qui bloque l'authentification héritée pour tous les utilisateurs, en excluant temporairement les rares exceptions documentées. En complément, l'authentification SMTP basic peut être désactivée au niveau d'Exchange Online. Procédez en mode rapport si possible, observez les connexions concernées, puis activez le blocage une fois les dépendances traitées.

Gérer les exceptions sans les pérenniser

Une exception acceptable est une exception temporaire, tracée et datée. Le piège serait de créer un groupe d'exclusion « en attendant » et de l'oublier : au bout de quelques mois, ce groupe redevient la faille exacte que vous vouliez fermer. Attribuez à chaque exception un responsable, une justification et une date de revue, et migrez l'équipement concerné vers une méthode moderne dès que possible pour vider ce groupe.

Vérifier après le blocage

Bloquer ne suffit pas : il faut confirmer que la brèche est bien refermée et le rester. Après activation, contrôlez de nouveau les journaux de connexion pour vérifier qu'aucune authentification héritée ne réussit encore, et surveillez les éventuels tickets d'utilisateurs affectés.

• Confirmez l'absence de connexions héritées réussies dans les journaux.
• Réexaminez périodiquement les exceptions et supprimez celles qui ne servent plus.
• Alertez en cas de nouvelle tentative d'authentification basic.
• Consignez la date d'activation comme preuve pour vos audits.

Les erreurs classiques à éviter

• Bloquer sans avoir mesuré : on coupe un service critique et on désactive la politique dans l'urgence.
• Créer un groupe d'exclusion permanent au lieu d'exceptions datées et suivies.
• Oublier de désactiver le SMTP basic côté Exchange Online, en pensant que l'Accès conditionnel suffit.
• Ne pas conserver de preuve datée de l'activation, et se retrouver démuni le jour de l'audit.

Un plan de bascule sur trente jours

Plutôt que de tout couper d'un seul geste, il est plus prudent d'étaler le blocage sur environ un mois. Ce rythme laisse le temps de traiter chaque dépendance sans précipitation, de communiquer auprès des équipes concernées et de réagir sereinement si une source d'authentification héritée avait échappé à l'inventaire initial.

1. 1Semaine 1 : activez la politique en mode rapport et collectez les connexions héritées réelles.
2. 2Semaine 2 : contactez les propriétaires des comptes de service et des équipements identifiés.
3. 3Semaine 3 : migrez chaque dépendance vers une méthode moderne et documentez l'exception résiduelle.
4. 4Semaine 4 : basculez la politique en blocage effectif et surveillez les journaux de près.

Prenons une PME de quarante postes. L'analyse révèle trois sources d'authentification héritée : deux imprimantes multifonctions et un logiciel de facturation qui envoie ses relances la nuit. Les imprimantes sont reconfigurées avec un connecteur d'envoi dédié, et le logiciel est mis à jour vers une version compatible avec l'authentification moderne. Au bout de trois semaines, plus aucune connexion basic n'apparaît dans les journaux, et le blocage est activé sans le moindre ticket utilisateur le lundi suivant.

Comment AuPoint vous aide

AuPoint propose cette politique de blocage de l'authentification héritée en quelques clics, avec un aperçu des comptes concernés pour éviter toute coupure surprise. Vous voyez qui serait affecté avant d'activer, ce qui rend la décision sereine plutôt que risquée. La plateforme conserve ensuite la trace de l'activation et la relie aux référentiels.

Questions fréquentes

Le blocage va-t-il empêcher Outlook de fonctionner ?

Non. Les clients Outlook récents utilisent l'authentification moderne (OAuth), qui n'est pas concernée par le blocage. Seuls les clients et équipements réellement en authentification basic sont impactés, d'où l'importance de les recenser au préalable.

Comment envoyer des e-mails depuis une imprimante après le blocage ?

Plusieurs options existent : un connecteur d'envoi dédié dans Exchange Online, un relais SMTP interne, ou l'envoi via une méthode authentifiée moderne selon les capacités de l'équipement. L'essentiel est de préparer cette alternative avant de couper le SMTP basic.

Faut-il tout bloquer d'un coup ?

Non, procédez par étapes : mode rapport, analyse des connexions, traitement des dépendances, puis activation. Cette approche progressive vous permet de repérer une dépendance oubliée avant qu'elle ne devienne une panne.

Combien de temps conserver les journaux de connexion ?

Conservez-les au moins sur une période couvrant vos audits, souvent plusieurs mois. Une fenêtre suffisamment longue vous permet de démontrer, a posteriori, qu'aucune authentification héritée n'a réussi après l'activation du blocage.

Le blocage concerne-t-il aussi les comptes invités ?

Oui, la politique d'Accès conditionnel peut englober l'ensemble des utilisateurs, y compris les invités. Vérifiez toutefois que vos partenaires légitimes utilisent bien des clients modernes avant d'étendre la contrainte à ce périmètre, afin de ne pas rompre une collaboration en cours.

En refermant cette faille classique, vous alignez enfin la réalité technique sur votre politique MFA. Avec AuPoint, vous activez le blocage de l'authentification héritée avec un aperçu d'impact, puis vous générez un rapport de conformité daté et exportable, avec un score de couverture par référentiel (ISO 27001, NIS2, RGPD). Vous disposez ainsi d'une preuve tangible que cette porte est bien fermée dans votre environnement.