Sécuriser les comptes Google Workspace de votre entreprise
Mis à jour le 29 mars 2026
Sécuriser les comptes Google Workspace de votre entreprise
Plus de 10 millions d’entreprises utilisent Google Workspace dans le monde. Emails, documents, agendas, visioconférences : tout passe par cette suite. Pourtant, la configuration par défaut laisse de nombreuses failles exploitables. Un compte compromis suffit pour accéder à l’ensemble des données de votre entreprise.
Sommaire
Les risques de sécurité sur Google Workspace
Google Workspace est une plateforme cloud puissante, mais sa sécurité dépend largement de votre configuration et de vos pratiques.
Les menaces principales
- Compromission de compte : mots de passe faibles ou réutilisés, phishing ciblant les identifiants Google
- Partage excessif : documents partagés publiquement par erreur, liens accessibles à tous
- Applications tierces : extensions et applications connectées avec des permissions excessives
- Exfiltration de données : un collaborateur qui part emporte des fichiers sur un compte personnel
- Phishing interne : un compte compromis envoie des emails de phishing aux autres collaborateurs
En 2025, 43% des incidents de sécurité cloud impliquaient une mauvaise configuration plutôt qu’une attaque technique. La sécurité de Google Workspace est d’abord une question de paramétrage.
Renforcer l’authentification
L’authentification est la première ligne de défense. Voici comment la durcir.
Activer la vérification en deux étapes (2FA)
C’est la mesure la plus importante. Rendez la 2FA obligatoire pour tous les utilisateurs, sans exception.
- Accédez à la console d’administration Google (admin.google.com)
- Allez dans Sécurité > Authentification > Vérification en 2 étapes
- Activez l’obligation pour toute l’organisation
- Privilégiez les clés de sécurité physiques (FIDO2) pour les comptes administrateurs
- Acceptez les applications d’authentification (Google Authenticator, Authy) pour les autres comptes
- Évitez les SMS comme second facteur (vulnérables au smishing)
Politique de mots de passe
- Imposer une longueur minimale de 12 caractères
- Interdire la réutilisation des anciens mots de passe
- Encourager l’utilisation d’un gestionnaire de mots de passe
- Activer la détection de mots de passe compromis (Google alerte automatiquement)
Point clé : La vérification en deux étapes bloque 99,9% des tentatives de compromission de compte selon Google. C’est la mesure de sécurité avec le meilleur rapport effort/efficacité. Si vous ne faites qu’une seule chose, faites celle-ci.
Configurations de sécurité essentielles
La console d’administration Google offre de nombreux paramètres de sécurité souvent ignorés.
Gestion des applications tierces
- Restreindre les applications autorisées à se connecter à Google Workspace
- Bloquer l’accès des applications moins sécurisées
- Auditer régulièrement les permissions accordées par vos utilisateurs
- Créer une liste blanche d’applications approuvées
Configuration de Gmail
- Activer les protections anti-phishing avancées
- Configurer SPF, DKIM et DMARC pour protéger votre domaine contre l’usurpation
- Activer le sandboxing des pièces jointes (analyse dans un environnement isolé)
- Configurer les avertissements pour les emails externes
- Bloquer les types de fichiers dangereux en pièce jointe (.exe, .bat, .js)
Configuration de Google Drive
- Limiter le partage externe aux domaines approuvés
- Désactiver le téléchargement, la copie et l’impression pour les fichiers sensibles
- Configurer les règles DLP (Data Loss Prevention) pour détecter le partage de données sensibles
- Définir une politique de propriété des fichiers lors du départ d’un collaborateur
Contrôler le partage de données
Le partage trop permissif est l’un des risques majeurs sur Google Workspace.
Règles de partage recommandées
- Par défaut, interne uniquement : les fichiers ne peuvent être partagés qu’avec les membres de l’organisation
- Partage externe sur demande : les utilisateurs doivent justifier le partage externe
- Liens restreints : désactiver l’option « Toute personne disposant du lien » par défaut
- Expiration des partages : configurer une date d’expiration pour les partages externes
- Audit des fichiers publics : vérifier régulièrement qu’aucun fichier sensible n’est accessible publiquement
Gestion des départs
Quand un collaborateur quitte l’entreprise :
- Transférer la propriété de ses fichiers à son successeur
- Révoquer les sessions actives et les mots de passe d’application
- Supprimer les appareils connectés au compte
- Conserver le compte en archive pendant la durée légale requise
- Vérifier les règles de transfert d’emails configurées
Surveiller et auditer l’activité
La surveillance continue est essentielle pour détecter les comportements anormaux.
Journaux d’audit
- Consultez régulièrement les rapports de connexion (connexions suspectes, échecs répétés)
- Surveillez les activités d’administration (modifications de paramètres, créations de comptes)
- Analysez les rapports Drive (partages externes, téléchargements massifs)
- Configurez des alertes automatiques pour les événements critiques
Alertes de sécurité à configurer
- Connexion depuis un pays inhabituel
- Tentatives de connexion suspectes répétées
- Attribution de droits d’administration
- Partage massif de fichiers vers l’extérieur
- Installation d’applications tierces non approuvées
Besoin d’accompagnement ?
Audit de votre configuration Google Workspace, durcissement de la sécurité et formation de vos équipes : Odyssix optimise la protection de votre environnement Google de A à Z.
Rédigé par l'équipe Odyssix
Experts IT, Cybersécurité & Digital depuis 2018
Odyssix accompagne les PME dans leur transformation numérique et la sécurisation de leur système d'information. Nos experts certifiés (CEH, OSCP, ISO 27001) partagent leur expérience terrain à travers nos articles de blog.
Besoin d'en savoir plus ?
Contactez nos experts pour une démonstration personnalisée.
