[{"data":1,"prerenderedAt":662},["ShallowReactive",2],{"\u002Fblog\u002Fidentifiants-applications-entra-id-voles-msp\u002F":3,"related-\u002Fblog\u002Fidentifiants-applications-entra-id-voles-msp":639},{"id":4,"title":5,"author":6,"body":7,"category":610,"date":611,"description":612,"draft":613,"extension":614,"faqs":615,"image":628,"meta":631,"navigation":632,"path":633,"seo":634,"seoTitle":635,"showOnBlog":632,"stem":636,"updatedAt":637,"__hash__":638},"blog\u002Fblog\u002Fidentifiants-applications-entra-id-voles-msp.md","Identifiants d'applications Entra ID volés : l'alerte qui vise les prestataires informatiques","Valentin Bourgeois",{"type":8,"value":9,"toc":591},"minimark",[10,15,32,59,62,66,120,127,131,142,145,160,163,183,186,190,197,200,207,211,214,288,291,294,298,301,306,321,324,340,351,355,362,377,380,384,395,399,417,421,428,432,435,471,475,478,505,523,527,580,587],[11,12,14],"h2",{"id":13},"lessentiel-en-30-secondes","L'essentiel en 30 secondes",[16,17,18,19,23,24,27,28,31],"p",{},"Entre le ",[20,21,22],"strong",{},"1er et le 3 novembre 2026",", des connexions malveillantes à Microsoft Entra ID ont été observées dans plusieurs organisations sans lien entre elles, dont des ",[20,25,26],{},"prestataires informatiques (MSP)"," et des tenants clients qu'ils gèrent. Particularité : l'attaquant ne s'est pas connecté avec le compte d'un utilisateur, mais avec les ",[20,29,30],{},"identifiants valides d'applications",", ce que Microsoft appelle des principaux de service.",[33,34,35,47,53],"ul",{},[36,37,38,41,42,46],"li",{},[20,39,40],{},"Indicateur publié"," : l'adresse IP ",[43,44,45],"code",{},"199.19.77[.]84",".",[36,48,49,52],{},[20,50,51],{},"Ce qui n'est pas encore connu"," : comment les identifiants ont été obtenus, et l'ampleur exacte de la campagne.",[36,54,55,58],{},[20,56,57],{},"Pourquoi c'est sérieux"," : une application n'a pas de double authentification. Celui qui détient son secret dispose de tous ses droits, parfois sur des dizaines de tenants à la fois.",[16,60,61],{},"L'alerte nous a été transmise par le SOC partenaire avec lequel nous assurons la surveillance 24\u002F7 de nos clients. Nous l'avons vérifiée le jour même sur notre propre tenant et sur ceux de nos clients : le résultat est détaillé plus bas. Cet article explique ce qu'est une identité d'application, pourquoi les prestataires sont visés, et les vérifications à faire, que vous gériez votre informatique en interne ou avec un prestataire.",[11,63,65],{"id":64},"ce-qui-sest-passé-ce-quon-sait-ce-quon-ne-sait-pas","Ce qui s'est passé : ce qu'on sait, ce qu'on ne sait pas",[67,68,69,82],"table",{},[70,71,72],"thead",{},[73,74,75,79],"tr",{},[76,77,78],"th",{},"Établi",[76,80,81],{},"Encore inconnu",[83,84,85,94,102,110],"tbody",{},[73,86,87,91],{},[88,89,90],"td",{},"Des principaux de service Entra ID se sont authentifiés avec des identifiants valides",[88,92,93],{},"L'origine des identifiants volés",[73,95,96,99],{},[88,97,98],{},"Plusieurs organisations sans lien entre elles sont touchées, dont des MSP et des tenants de leurs clients",[88,100,101],{},"Le nombre d'organisations concernées",[73,103,104,107],{},[88,105,106],{},"Les observations portent sur la période du 1er au 3 novembre 2026",[88,108,109],{},"Ce que l'attaquant a fait une fois connecté, organisation par organisation",[73,111,112,117],{},[88,113,114,115],{},"Une adresse IP a été associée à l'activité : ",[43,116,45],{},[88,118,119],{},"Si d'autres adresses ont été utilisées",[16,121,122,123,126],{},"L'avis recommande aussi de vérifier qu'aucun fichier ",[43,124,125],{},".env"," ou de configuration exposé publiquement ne contient de secret. C'est une source de fuite classique, mais ce n'est pas, à ce stade, une cause établie de cette campagne. Nous mettrons cet article à jour si l'enquête apporte des éléments nouveaux.",[11,128,130],{"id":129},"une-application-qui-se-connecte-toute-seule-de-quoi-parle-t-on","Une application qui se connecte toute seule : de quoi parle-t-on ?",[16,132,133,134,137,138,141],{},"Votre tenant Microsoft 365 n'est pas utilisé que par vos collaborateurs. Des logiciels s'y connectent aussi, en continu : la sauvegarde de vos boîtes mail, le filtrage antispam, l'outil de supervision de votre prestataire, un connecteur vers votre CRM. Chacun dispose dans votre tenant d'une identité propre, le ",[20,135,136],{},"principal de service",", et de ",[20,139,140],{},"droits"," que vous, ou votre prestataire, lui avez accordés.",[16,143,144],{},"Pour prouver son identité, l'application présente :",[33,146,147,154],{},[36,148,149,150,153],{},"soit un ",[20,151,152],{},"secret",", une longue chaîne de caractères qui joue le rôle d'un mot de passe ;",[36,155,149,156,159],{},[20,157,158],{},"certificat",", plus robuste : Microsoft rappelle qu'un certificat, contrairement à un secret, ne peut pas se retrouver collé par erreur dans du code.",[16,161,162],{},"Ces connexions n'impliquent aucun utilisateur. Elles apparaissent dans un journal à part, les « connexions de principal de service », que peu d'entreprises consultent. Et elles échappent aux protections pensées pour les humains :",[33,164,165,171,177],{},[36,166,167,170],{},[20,168,169],{},"pas de double authentification"," : Microsoft le précise, une identité de charge de travail ne peut pas en faire ;",[36,172,173,176],{},[20,174,175],{},"pas de règles d'accès conditionnel « utilisateurs »"," : celles qui exigent un appareil géré ou bloquent certains pays ne s'appliquent pas ;",[36,178,179,182],{},[20,180,181],{},"des droits souvent larges"," : une application de sauvegarde lit toutes les boîtes mail, un outil d'administration peut créer des comptes ou modifier des règles de sécurité.",[16,184,185],{},"Un secret d'application volé, c'est donc un accès direct, silencieux et durable, tant que personne ne le révoque.",[11,187,189],{"id":188},"pourquoi-les-prestataires-informatiques-sont-en-première-ligne","Pourquoi les prestataires informatiques sont en première ligne",[16,191,192,193,196],{},"Un prestataire qui administre des dizaines de tenants utilise souvent une ",[20,194,195],{},"application multitenant"," : une seule application, enregistrée chez lui, autorisée dans le tenant de chacun de ses clients. C'est pratique et légitime ; c'est aussi un point de concentration du risque. Un seul secret volé peut ouvrir la porte de tous les clients où l'application est autorisée, avec les droits qui lui ont été accordés.",[16,198,199],{},"Les éditeurs de logiciels que vous avez connectés à Microsoft 365 sont dans la même situation : leur application est présente chez des milliers de clients. La sécurité de votre tenant dépend donc aussi de la façon dont ces tiers protègent leurs secrets.",[16,201,202,203,206],{},"Une limite technique aggrave le problème. L'accès conditionnel pour les identités de charge de travail, qui permet de bloquer une application hors des adresses IP attendues, ",[20,204,205],{},"ne couvre que les applications à locataire unique enregistrées dans votre propre tenant",". Microsoft l'indique explicitement : les applications multitenants et les applications SaaS tierces ne sont pas couvertes. Pour l'application de votre prestataire ou de votre éditeur, la protection repose sur lui : stockage des secrets, usage de certificats, surveillance des connexions.",[11,208,210],{"id":209},"ce-que-nous-avons-vérifié-le-4-novembre","Ce que nous avons vérifié le 4 novembre",[16,212,213],{},"Pour administrer les tenants de nos clients, nous utilisons nous-mêmes une application multitenant. C'est donc par nous que nous avons commencé. Le 4 novembre, nous avons interrogé :",[67,215,216,229],{},[70,217,218],{},[73,219,220,223,226],{},[76,221,222],{},"Vérification",[76,224,225],{},"Périmètre",[76,227,228],{},"Résultat",[83,230,231,242,256,267,277],{},[73,232,233,236,239],{},[88,234,235],{},"Détections de notre SOC liées aux identités cloud, depuis le 30 octobre",[88,237,238],{},"Tous les clients sous surveillance 24\u002F7",[88,240,241],{},"Aucune détection, aucune mention de l'adresse signalée",[73,243,244,250,253],{},[88,245,246,247,249],{},"Connexions depuis ",[43,248,45],{}," (principaux de service, non interactives, interactives, identités managées), depuis le 25 octobre",[88,251,252],{},"Notre tenant et 31 tenants clients",[88,254,255],{},"Aucune connexion",[73,257,258,261,264],{},[88,259,260],{},"Connexions de nos propres applications d'administration depuis l'étranger, depuis le 31 octobre",[88,262,263],{},"Notre tenant",[88,265,266],{},"Aucune",[73,268,269,272,274],{},[88,270,271],{},"Changements sur les applications (secrets, propriétaires, consentements, nouvelles applications), depuis le 31 octobre",[88,273,252],{},[88,275,276],{},"Uniquement des opérations de Microsoft ou de notre équipe",[73,278,279,282,285],{},[88,280,281],{},"Secrets dans nos dépôts de code, fichiers de configuration accessibles depuis Internet",[88,283,284],{},"Nos dépôts et nos sites",[88,286,287],{},"Aucun secret, aucun fichier exposé",[16,289,290],{},"Ces résultats valent pour l'indicateur connu à ce jour. Si l'enquête publie d'autres adresses, nous referons la recherche.",[16,292,293],{},"Le contrôle a aussi rappelé une évidence : en quatre jours, nos équipes ont créé ou autorisé plusieurs applications dans les tenants de nos clients, pour des projets tout à fait légitimes. Dans un journal d'audit, un ajout de secret fait par un technicien ressemble beaucoup à celui d'un attaquant. Seule une traçabilité rigoureuse (qui a fait quoi, pour quel ticket) permet de les distinguer rapidement.",[11,295,297],{"id":296},"les-six-vérifications-à-mener","Les six vérifications à mener",[16,299,300],{},"Que vous ayez un service informatique interne ou un prestataire, voici ce qu'il faut lui demander, dans cet ordre.",[302,303,305],"h3",{"id":304},"_1-chercher-ladresse-ip-dans-les-journaux-sans-attendre","1. Chercher l'adresse IP dans les journaux, sans attendre",[16,307,308,309,312,313,316,317,320],{},"Dans le centre d'administration Microsoft Entra, ",[20,310,311],{},"Surveillance et intégrité > Journaux de connexion",", il faut filtrer sur l'adresse ",[43,314,315],{},"199.19.77.84"," dans ",[20,318,319],{},"trois onglets"," : les connexions de principal de service, les connexions utilisateur non interactives et, par précaution, les connexions interactives. Le seul onglet ouvert par défaut ne suffit pas.",[16,322,323],{},"Pour une équipe technique qui gère plusieurs tenants, la même recherche en une requête Microsoft Graph :",[325,326,331],"pre",{"className":327,"code":328,"language":329,"meta":330,"style":330},"language-http shiki shiki-themes github-light github-dark","GET https:\u002F\u002Fgraph.microsoft.com\u002Fbeta\u002FauditLogs\u002FsignIns?$filter=createdDateTime ge 2026-10-25T00:00:00Z and ipAddress eq '199.19.77.84' and signInEventTypes\u002Fany(t: t eq 'servicePrincipal' or t eq 'nonInteractiveUser' or t eq 'interactiveUser' or t eq 'managedIdentity')\n","http","",[43,332,333],{"__ignoreMap":330},[334,335,338],"span",{"class":336,"line":337},"line",1,[334,339,328],{},[16,341,342,343,346,347,350],{},"Le temps presse : les journaux sont conservés ",[20,344,345],{},"sept jours"," avec Entra ID Free et ",[20,348,349],{},"trente jours"," avec Entra ID P1 ou P2, inclus dans Microsoft 365 Business Premium. Une activité du 1er novembre disparaît des tenants sans licence P1 dès le 8 novembre. En cas de résultat, exportez immédiatement les journaux concernés.",[302,352,354],{"id":353},"_2-bloquer-au-niveau-de-lidentité-pas-du-pare-feu","2. Bloquer au niveau de l'identité, pas du pare-feu",[16,356,357,358,361],{},"Bloquer l'adresse sur le pare-feu de l'entreprise ne sert à rien : l'attaquant ne traverse pas votre réseau, il s'adresse directement à Microsoft. Pour les applications enregistrées dans votre tenant, une ",[20,359,360],{},"règle d'accès conditionnel pour les identités de charge de travail"," peut bloquer toute demande de jeton venant d'ailleurs que des adresses IP attendues, ou présentant un risque détecté par Microsoft Entra ID Protection. Trois points à connaître :",[33,363,364,371,374],{},[36,365,366,367,370],{},"elle demande une licence ",[20,368,369],{},"Workload Identities Premium"," ;",[36,372,373],{},"la seule action possible est le blocage, et le principal de service doit être ciblé directement dans la règle : l'ajouter à un groupe ne suffit pas ;",[36,375,376],{},"elle ne protège pas les applications multitenants ni les applications SaaS tierces.",[16,378,379],{},"Le mode « rapport seulement » permet de mesurer l'effet avant d'appliquer la règle.",[302,381,383],{"id":382},"_3-contenir-toute-application-compromise","3. Contenir toute application compromise",[16,385,386,387,390,391,394],{},"Si une application s'est connectée depuis l'adresse suspecte : ",[20,388,389],{},"désactiver la connexion de son principal de service",", puis ",[20,392,393],{},"supprimer et remplacer ses secrets et certificats",". Avant de couper, il faut identifier ce qui dépend de cette application (une sauvegarde, un flux de facturation) et prévenir son éditeur, qui doit faire la même chose de son côté si l'application est la sienne.",[302,396,398],{"id":397},"_4-mesurer-ce-que-lapplication-pouvait-faire-et-ce-quelle-a-fait","4. Mesurer ce que l'application pouvait faire, et ce qu'elle a fait",[16,400,401,402,405,406,409,410,416],{},"Les droits de l'application (permissions sur les API, rôles d'administration, consentements accordés) indiquent ce que l'attaquant ",[20,403,404],{},"pouvait"," faire. Pour savoir ce qu'il ",[20,407,408],{},"a"," fait, il faut croiser les connexions avec le journal d'audit Entra ID et le journal d'audit unifié de Microsoft 365, qui sont deux journaux distincts. Microsoft publie un ",[408,411,415],{"href":412,"rel":413},"https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fsecurity\u002Foperations\u002Fincident-response-playbook-compromised-malicious-app",[414],"nofollow","guide d'investigation des applications compromises"," qui détaille la démarche. Là encore, conservez les journaux avant leur expiration.",[302,418,420],{"id":419},"_5-chercher-les-portes-laissées-ouvertes","5. Chercher les portes laissées ouvertes",[16,422,423,424,427],{},"Un attaquant qui contrôle une application cherche souvent à s'y maintenir : ",[20,425,426],{},"ajout d'un nouveau secret ou certificat",", ajout d'un propriétaire, nouvelles permissions, attribution d'un rôle d'administration. Ces changements figurent dans le journal d'audit Entra ID, catégorie « gestion des applications ». Ils doivent être examinés même s'ils proviennent d'une autre adresse IP que celle de l'alerte : rien n'oblige l'attaquant à n'en utiliser qu'une.",[302,429,431],{"id":430},"_6-réduire-la-valeur-dun-secret-volé","6. Réduire la valeur d'un secret volé",[16,433,434],{},"C'est le chantier de fond, et il ne dépend pas de cette campagne :",[33,436,437,443,449,458,465],{},[36,438,439,442],{},[20,440,441],{},"inventorier"," les applications autorisées dans le tenant et supprimer celles qui ne servent plus, ainsi que les secrets expirés ou inutilisés ;",[36,444,445,448],{},[20,446,447],{},"préférer les certificats aux secrets",", de courte durée : Microsoft recommande de désactiver les secrets d'application et de limiter la durée de vie des certificats à 180 jours ;",[36,450,451,454,455,457],{},[20,452,453],{},"stocker les secrets dans un coffre"," (Azure Key Vault ou équivalent), jamais dans un fichier ",[43,456,125],{},", un script ou un dépôt de code, et vérifier qu'aucun fichier de configuration n'est accessible depuis Internet ;",[36,459,460,461,464],{},"pour les éditeurs d'applications multitenants, ",[20,462,463],{},"verrouiller les propriétés sensibles"," de l'application (le verrouillage d'instance d'application), pour qu'aucun secret ne puisse être ajouté à son principal de service dans un tenant client ;",[36,466,467,470],{},[20,468,469],{},"réduire les droits"," au strict nécessaire : une application qui lit des rapports n'a pas besoin de pouvoir créer des comptes.",[11,472,474],{"id":473},"les-questions-à-poser-à-votre-prestataire","Les questions à poser à votre prestataire",[16,476,477],{},"Votre prestataire dispose presque certainement d'une application dans votre tenant. Quatre questions suffisent à savoir s'il a pris l'alerte au sérieux :",[479,480,481,487,493,499],"ol",{},[36,482,483,486],{},[20,484,485],{},"Avez-vous recherché l'indicateur dans notre tenant, et qu'avez-vous trouvé ?"," Une réponse précise, datée, avec les journaux consultés.",[36,488,489,492],{},[20,490,491],{},"Quelles applications avez-vous installées chez nous, avec quels droits ?"," Il doit pouvoir en fournir la liste.",[36,494,495,498],{},[20,496,497],{},"Comment leurs secrets sont-ils protégés ?"," Certificats ou secrets, coffre-fort, rotation, surveillance des connexions.",[36,500,501,504],{},[20,502,503],{},"Nos journaux sont-ils conservés au-delà de trente jours ?"," Sinon, une compromission découverte tardivement ne pourra plus être reconstituée.",[16,506,507,508,512,513,517,518,522],{},"Ce sont des critères concrets pour ",[408,509,511],{"href":510},"\u002Fblog\u002Fchoisir-prestataire-cybersecurite-tpe-pme\u002F","choisir ou évaluer un prestataire de cybersécurité",". Pour la protection des comptes utilisateurs, notre ",[408,514,516],{"href":515},"\u002Fblog\u002Facces-conditionnel-entra-id-zero-trust-pme-guide-technique\u002F","guide de l'accès conditionnel"," et notre article sur les ",[408,519,521],{"href":520},"\u002Fblog\u002Fconnexion-etranger-microsoft-365-piratage-ou-fausse-alerte\u002F","connexions suspectes à Microsoft 365"," complètent cette lecture.",[11,524,526],{"id":525},"sources","Sources",[33,528,529,532,539,546,553,560,567,574],{},[36,530,531],{},"Avis de menace transmis par notre SOC partenaire aux MSP qu'il protège, novembre 2026 (diffusion restreinte)",[36,533,534],{},[408,535,538],{"href":536,"rel":537},"https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fentra\u002Fidentity\u002Fmonitoring-health\u002Fconcept-service-principal-sign-ins",[414],"Microsoft : connexions de principal de service dans Microsoft Entra ID",[36,540,541],{},[408,542,545],{"href":543,"rel":544},"https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fentra\u002Fidentity\u002Fconditional-access\u002Fworkload-identity",[414],"Microsoft : accès conditionnel pour les identités de charge de travail",[36,547,548],{},[408,549,552],{"href":550,"rel":551},"https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fentra\u002Farchitecture\u002Fservice-accounts-principal",[414],"Microsoft : sécuriser les principaux de service dans Microsoft Entra ID",[36,554,555],{},[408,556,559],{"href":557,"rel":558},"https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fentra\u002Fidentity-platform\u002Fsecurity-best-practices-for-app-registration",[414],"Microsoft : bonnes pratiques de sécurité pour les propriétés des applications, verrouillage d'instance",[36,561,562],{},[408,563,566],{"href":564,"rel":565},"https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fentra\u002Fidentity\u002Fenterprise-apps\u002Ftutorial-enforce-secret-standards",[414],"Microsoft : imposer des règles pour les secrets et certificats d'application",[36,568,569],{},[408,570,573],{"href":571,"rel":572},"https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fentra\u002Fidentity\u002Fmonitoring-health\u002Freference-reports-data-retention",[414],"Microsoft : durée de conservation des journaux Microsoft Entra",[36,575,576],{},[408,577,579],{"href":412,"rel":578},[414],"Microsoft : guide d'investigation des applications compromises ou malveillantes",[581,582],"cta",{"link":583,"linkTitle":584,"text":585,"title":586},"\u002Fsecurisation-microsoft-365\u002F","Découvrir la sécurisation Microsoft 365","Inventaire des applications autorisées, réduction des droits, surveillance des connexions 24\u002F7 : nous auditons et sécurisons votre tenant, et nous vérifions chaque alerte le jour même.","Savez-vous quelles applications ont accès à votre Microsoft 365 ?",[588,589,590],"style",{},"html .default .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .dark .shiki span {color: var(--shiki-dark);background: var(--shiki-dark-bg);font-style: var(--shiki-dark-font-style);font-weight: var(--shiki-dark-font-weight);text-decoration: var(--shiki-dark-text-decoration);}html.dark .shiki span {color: var(--shiki-dark);background: var(--shiki-dark-bg);font-style: var(--shiki-dark-font-style);font-weight: var(--shiki-dark-font-weight);text-decoration: var(--shiki-dark-text-decoration);}",{"title":330,"searchDepth":592,"depth":592,"links":593},2,[594,595,596,597,598,599,608,609],{"id":13,"depth":592,"text":14},{"id":64,"depth":592,"text":65},{"id":129,"depth":592,"text":130},{"id":188,"depth":592,"text":189},{"id":209,"depth":592,"text":210},{"id":296,"depth":592,"text":297,"children":600},[601,603,604,605,606,607],{"id":304,"depth":602,"text":305},3,{"id":353,"depth":602,"text":354},{"id":382,"depth":602,"text":383},{"id":397,"depth":602,"text":398},{"id":419,"depth":602,"text":420},{"id":430,"depth":602,"text":431},{"id":473,"depth":592,"text":474},{"id":525,"depth":592,"text":526},"Cybersécurité","2026-11-04","Début novembre 2026, des identifiants d'applications Entra ID volés ont servi contre des MSP et leurs clients. Ce qu'on sait et ce qu'il faut vérifier.",false,"md",[616,619,622,625],{"question":617,"answer":618},"Qu'est-ce qu'un principal de service dans Microsoft Entra ID ?","C'est l'identité d'une application dans un tenant Microsoft 365. Elle permet à un logiciel (sauvegarde, antispam, outil de supervision, script d'administration) de se connecter et d'utiliser les droits qui lui ont été accordés, sans qu'aucun utilisateur ne se connecte. Elle s'authentifie avec un secret, sorte de mot de passe, ou avec un certificat.",{"question":620,"answer":621},"La double authentification protège-t-elle contre ce type d'attaque ?","Non. Une application ne peut pas faire de double authentification. Un attaquant qui détient le secret ou le certificat d'une application obtient directement ses accès, sans passer par la MFA ni par les règles d'accès conditionnel pensées pour les utilisateurs.",{"question":623,"answer":624},"Bloquer l'adresse IP sur le pare-feu de l'entreprise suffit-il ?","Non. L'attaquant ne passe pas par votre réseau : il s'adresse directement aux services de Microsoft. Le blocage doit se faire au niveau de l'identité, avec l'accès conditionnel pour les identités de charge de travail, qui demande une licence Workload Identities Premium et ne couvre que les applications enregistrées dans votre propre tenant.",{"question":626,"answer":627},"Combien de temps les journaux de connexion sont-ils conservés ?","Sept jours avec Microsoft Entra ID Free, trente jours avec Entra ID P1 ou P2, inclus par exemple dans Microsoft 365 Business Premium. Au-delà, les journaux sont perdus s'ils n'ont pas été exportés vers un espace de stockage ou un SIEM. Pour une activité observée début novembre, il faut donc vérifier et exporter sans attendre.",{"src":629,"alt":630},"\u002Fblog\u002Facces-conditionnel-entra-id-zero-trust-pme-guide-technique.webp","Console Microsoft Entra ID affichant les connexions des applications d'un tenant Microsoft 365",{},true,"\u002Fblog\u002Fidentifiants-applications-entra-id-voles-msp",{"title":5,"description":612},"Applications Entra ID piratées : l'alerte MSP","blog\u002Fidentifiants-applications-entra-id-voles-msp",null,"Lu748LOrE3UnSZqv25UifqMeDAADVJBfEoug6w7TkPE",[640,647,654],{"path":641,"title":642,"description":643,"image":644,"date":611,"category":610},"\u002Fblog\u002Ffaux-captcha-clickfix-attaque-pme","Faux CAPTCHA (ClickFix) : anatomie d'une attaque réelle sur un poste de PME","Un faux CAPTCHA a fait lancer une commande PowerShell sur un poste de PME : ce qu'elle faisait, comment le poste a été isolé, ce qui pouvait la bloquer.",{"src":645,"alt":646},"\u002Fblog\u002Ffaux-captcha-clickfix-attaque-pme.webp","Ordinateur portable affichant un faux CAPTCHA qui demande d'appuyer sur Windows + R et de coller une commande PowerShell dans la fenêtre Exécuter",{"path":648,"title":649,"description":650,"image":651,"date":653,"category":610},"\u002Fblog\u002Fconnexion-etranger-microsoft-365-piratage-ou-fausse-alerte","Connexion depuis l'étranger sur Microsoft 365 : piratage ou fausse alerte ?","Alerte de connexion depuis un pays inhabituel ou collaborateur bloqué en déplacement : comment trancher, quoi faire dans l'heure, et comment l'éviter.",{"src":629,"alt":652},"Contrôle d'une connexion Microsoft 365 selon la localisation, l'appareil, l'heure et l'identité","2026-10-14",{"path":655,"title":656,"description":657,"image":658,"date":661,"category":610},"\u002Fblog\u002Fpatch-tuesday-aout-2026-microsoft","Patch Tuesday août 2026 : 398 failles et un zero-day Windows exploité par la Corée du Nord","Patch Tuesday août 2026 : Microsoft corrige environ 398 vulnérabilités dont un zero-day Windows déjà utilisé pour installer un rootkit. Ce qu'une PME doit traiter en priorité.",{"src":659,"alt":660},"\u002Fblog\u002Fpatch-tuesday-microsoft.webp","Patch Tuesday Microsoft août 2026, correctifs de sécurité pour PME","2026-08-11",1793921642909]