Politique de mot de passe Windows avec Intune

Un mot de passe faible ou un écran laissé déverrouillé reste l'une des portes d'entrée les plus banales pour un attaquant. Sur les postes Windows gérés, Microsoft Intune vous permet d'imposer un cadre homogène à toute la flotte : longueur minimale, complexité, verrouillage automatique de la session et blocage temporaire après plusieurs tentatives infructueuses. Là où un poste isolé dépend de la bonne volonté de son utilisateur, une politique Intune s'applique de façon centralisée, se vérifie et se prouve.

C'est aussi une exigence récurrente des référentiels comme ISO 27001, NIS2 ou le RGPD, qui attendent des règles écrites et effectivement appliquées, pas de simples recommandations. Cet article s'adresse aux responsables IT et aux MSSP qui gèrent un parc Windows sous Intune et veulent un socle mot de passe défendable devant un auditeur, sans dégrader le confort des utilisateurs.

Ce qu'une bonne politique de mot de passe doit couvrir

Les recommandations récentes du NIST et de Microsoft privilégient la longueur et l'absence de rotation forcée systématique plutôt que des changements trop fréquents qui poussent aux mots de passe prévisibles (le fameux « Ete2026! » qui devient « Ete2027! »). L'essentiel est de fixer un plancher solide, un verrouillage rapide de l'écran et un blocage après plusieurs tentatives, pour ralentir les attaques par force brute.

• Longueur minimale suffisante : privilégiez une phrase de passe (12 caractères et plus) plutôt que huit caractères classiques.
• Complexité activée pour éviter les mots de passe triviaux et les suites évidentes.
• Verrouillage automatique de l'écran après quelques minutes d'inactivité, avec demande du mot de passe à la reprise.
• Nombre limité de tentatives avant blocage temporaire du compte, afin de contrer la force brute locale.
• Historique des mots de passe pour empêcher la réutilisation immédiate de l'ancien.

Le cas des postes joints à Entra ID

Point crucial souvent mal compris : sur une machine jointe à Microsoft Entra ID (Entra join), la connexion s'appuie sur l'identité cloud, pas sur un compte local. La politique de mot de passe du compte lui-même (longueur, expiration, réutilisation) est donc gouvernée dans Entra ID, tandis qu'Intune pilote surtout le comportement du poste : délai de verrouillage, exigence d'un mot de passe au réveil, seuil de tentatives. Vos réglages Intune doivent rester cohérents avec la politique d'identité Entra plutôt que de la contredire.

Où régler ces paramètres dans Intune

Dans Intune, ces réglages se configurent principalement à deux endroits : via un profil de configuration (Configuration profiles) ou via une politique de sécurité des points de terminaison (Endpoint security). Les deux s'appuient sur le fournisseur de services de configuration (CSP) de Windows, en particulier le CSP DeviceLock, pour appliquer le verrouillage et les exigences de complexité. Le choix de l'emplacement importe moins que la cohérence : n'utilisez qu'une source de vérité par réglage pour éviter les conflits.

Étapes de déploiement recommandées

1. 1Créez un profil de configuration (ou une politique endpoint security) ciblant vos postes Windows joints à Entra.
2. 2Définissez la longueur minimale, la complexité, le délai de verrouillage et le seuil de tentatives.
3. 3Assignez d'abord à un groupe pilote restreint et représentatif.
4. 4Vérifiez sur un poste que la session se verrouille bien et que le blocage se déclenche après le nombre de tentatives prévu.
5. 5Contrôlez l'état de conformité dans Intune (Réussi / Erreur / Conflit) avant d'élargir.
6. 6Étendez ensuite progressivement à l'ensemble de la flotte, par vagues.

Le point important est de cibler le bon type d'appareils et de vérifier l'absence de conflit avec une autre politique. Deux règles concurrentes qui fixent la même valeur produisent un statut de conflit dans la console, et certains postes peuvent rester silencieusement non protégés alors que vous les croyez couverts.

Éviter les pièges courants

Une politique mal calibrée se retourne contre vous. Trop stricte, elle pousse les utilisateurs à noter leurs mots de passe sur un post-it ou à multiplier les appels au support. Trop laxiste, elle ne protège rien. L'enjeu est de trouver l'équilibre entre sécurité réelle et confort d'usage, puis de documenter les choix pour l'audit. Voici les erreurs que nous voyons le plus souvent.

• Superposer deux politiques qui définissent le même réglage : cela crée un conflit et un statut d'erreur difficile à diagnostiquer.
• Fixer un délai de verrouillage trop court (30 secondes) qui frustre les utilisateurs et pousse au contournement.
• Oublier que la politique du compte Entra et le réglage Intune du poste sont deux couches distinctes.
• Ne pas documenter la politique ni sa justification, ce qui bloque le jour de l'audit.
• Déployer directement sur toute la flotte sans phase pilote, et se retrouver avec des centaines d'utilisateurs bloqués.

Une brique parmi d'autres : MFA et BitLocker

Gardez à l'esprit que la politique de mot de passe n'est qu'une brique. Elle prend tout son sens combinée à l'authentification multifacteur (MFA), via l'accès conditionnel Entra, et au chiffrement du disque avec BitLocker. Un mot de passe robuste protège la session ouverte, la MFA protège l'identité contre le vol d'identifiants, et BitLocker protège les données si la machine est volée et le disque extrait. C'est l'ensemble cohérent qui satisfait réellement un auditeur, et surtout qui stoppe une vraie intrusion, pas un réglage isolé.

Un mot de passe protège la session, la MFA protège l'identité, BitLocker protège les données. Les trois ensemble font une défense, pas une case cochée.

Documenter pour l'audit ISO 27001

Un auditeur ne se contente pas de voir un réglage actif : il veut la preuve que la règle est décidée, appliquée et vérifiée. Concrètement, préparez un court dossier reliant l'exigence du référentiel à la mesure technique et à la preuve d'application.

• La politique écrite (longueur, complexité, verrouillage, blocage) et sa justification.
• La capture des réglages Intune correspondants et le groupe ciblé.
• Le rapport de conformité Intune montrant que les postes sont bien conformes.
• La trace des exceptions éventuelles et de leur validation.

Comment AuPoint vous aide

Traduire une exigence de conformité en réglages Windows corrects, sans conflit ni surprise, prend du temps et suppose de connaître les bons CSP. AuPoint propose une politique de mot de passe et de verrouillage déjà alignée sur les bonnes pratiques, déployable en quelques clics, sans PowerShell. Vous obtenez un aperçu d'impact avant d'appliquer, une sécurité break-glass pour ne jamais vous verrouiller vous-même, et des politiques entièrement réversibles, en langage clair, pensées pour les PME et les MSSP.

Questions fréquentes

Faut-il encore forcer le changement de mot de passe tous les 90 jours ?

Non, ce n'est plus recommandé. Le NIST comme Microsoft déconseillent l'expiration périodique systématique, car elle pousse vers des mots de passe prévisibles. Mieux vaut une phrase de passe longue, la MFA, et un changement uniquement en cas de suspicion de compromission. Sur un poste joint à Entra, cette règle d'expiration se gère au niveau de l'identité dans Entra ID.

Profil de configuration ou politique endpoint security : que choisir ?

Les deux s'appuient sur les mêmes CSP Windows sous le capot. Choisissez celui qui correspond à votre organisation, mais surtout ne définissez pas le même réglage aux deux endroits pour un même appareil : c'est la cause n°1 des statuts de conflit. Une seule source de vérité par paramètre.

Que se passe-t-il si un utilisateur dépasse le nombre de tentatives ?

Le compte ou l'appareil est temporairement bloqué pendant la durée que vous avez définie, ce qui ralentit une attaque par force brute. Prévoyez une valeur raisonnable (par exemple 10 tentatives) et une procédure de déblocage claire pour le support, afin d'éviter que la mesure de sécurité ne se transforme en source de tickets.

Prêt à imposer un socle mot de passe propre et défendable sur toute votre flotte Windows ? Connectez votre tenant Microsoft en quelques clics sur aupoint.io, prévisualisez l'impact et déployez une politique réversible. C'est gratuit pour commencer.