Sécuriser l’accès à OWA avec la MFA
Découvrez comment UserLock résout le problème de la MFA pour Outlook on the Web (anciennement OWA) dans les environnements Active Directory sur site.
Mis à jour le 30 juillet 2026)
)
)
Sécuriser un serveur de messagerie est l'une des tâches les plus difficiles en matière de sécurité informatique. Les administrateurs doivent protéger le serveur de messagerie sans disposer d'un contrôle total sur les appareils qui s'y connectent. Et même si Microsoft pousse les entreprises vers Exchange Online, beaucoup conservent encore leurs serveurs Exchange sur site. Si c'est votre cas, voici comment activer l'authentification multifacteur (MFA) sur l'accès distant à la messagerie sans faire de la sécurité elle-même un problème.
Pendant des années, accéder à sa messagerie professionnelle nécessitait un client dédié comme Outlook. Aujourd'hui, avec des équipes en télétravail ou en mode hybride, les utilisateurs accèdent aux mêmes fonctions de messagerie et de calendrier via un navigateur web, souvent sans même remarquer la différence.
Les utilisateurs y gagnent : ils peuvent consulter leur messagerie depuis n'importe quel appareil, sans installer d'application particulière. Les entreprises y gagnent également, en centralisant la sécurité des accès à la messagerie et la gestion des données. Mais cette commodité s'accompagne de risques réels.
Sous Windows, l'accès web à la messagerie Exchange s'effectue via Outlook on the Web (anciennement Outlook Web Access, ou OWA), disponible sur Microsoft 365, Exchange Server 2016 et Exchange Server 2019.
OWA se connecte soit à Exchange Online (la messagerie cloud de Microsoft), soit à un serveur Exchange sur site via IIS, l'authentification étant gérée par le service Exchange Client Access Service (CAS).
Dans le cas de Microsoft 365, les administrateurs activent simplement la fonctionnalité d'accès web dans le cadre de leur abonnement. En revanche, avec un serveur Exchange sur site, les entreprises doivent configurer elles-mêmes l'infrastructure backend et la sécurité.
Si vous gérez des serveurs de messagerie basés sur Exchange Server 2013 ou 2010, vous utilisez l'application Outlook Web App. Découvrez comment sécuriser l'accès distant à une boîte aux lettres Exchange 2013.
De nombreuses entreprises choisissent de conserver Exchange sur site pour :
Éviter les coûts d'abonnement associés à Exchange Online
Conserver les données de messagerie sur site pour répondre à des exigences de conformité
Maintenir la compatibilité avec les applications héritées
Le compromis est clair : OWA sur site offre une réelle commodité, mais expose l'entreprise à un niveau de risque nettement plus élevé.
En savoir plus sur la sécurisation des accès à un serveur Microsoft Exchange sur site..
Les attaques ciblant OWA, sur site ou en ligne, se répètent depuis des années, et elles gagnent en sophistication.
En 2023, Microsoft a révélé qu'un groupe appelé Storm-0558 avait obtenu un accès non autorisé aux systèmes de messagerie d'au moins 25 organisations, en falsifiant des jetons d'authentification utilisés par OWA en ligne et Outlook.com.
Avant cela, l'attaque « ProxyLogon » de 2021 a vu dix groupes de cybercriminels cibler des serveurs Exchange avec quatre vulnérabilités zero-day sur un total estimé de 250 000 serveurs Exchange sur site à travers le monde, touchant de nombreuses PME.
Empêcher tout accès non autorisé à Exchange sur site est non négociable. Le problème est que la mise en œuvre de contrôles d'accès renforcés comme la MFA peut rapidement devenir complexe
Découvrez la MFA UserLock
Mise en œuvre simple et rapide de la MFA pour OWA, conçue pour Active Directory.
Avec les serveurs sur site, OWA est une connexion exposée publiquement. Un attaquant n'a besoin que d'une adresse de serveur et d'un jeu d'identifiants valides, deux éléments faciles à obtenir par simple recherche, hameçonnage ou force brute.
Une fois à l'intérieur, les attaquants peuvent :
Lancer des attaques de hameçonnage contre d'autres collaborateurs
Rechercher d'autres identifiants, tels que ceux utilisés pour accéder au VPN de l'entreprise
Exploiter les vulnérabilités de Microsoft Exchange Server pour obtenir un shell distant (la capacité d'exécuter des commandes à distance)
Utiliser OWA comme tête de pont pour compromettre les contrôleurs de domaine et d'autres éléments de l'infrastructure interne
Exchange est un logiciel complexe qui n'est plus de première jeunesse, ce qui augmente la probabilité de vulnérabilités critiques. Les corriger n'est pas toujours simple, et certaines organisations continuent de faire tourner des versions plus anciennes, donc plus vulnérables. Le problème sous-jacent est constant : l'infrastructure dont dépend l'accès à la messagerie sur site vieillit et devient de plus en plus difficile à défendre.
L'authentification multifacteur (MFA) est la solution logique pour protéger l'accès à OWA. L'ajout d'un second facteur d'authentification avant d'accorder l'accès réduit considérablement le risque de compromission des identifiants.
Le problème est que la mise en œuvre de la MFA pour OWA est complexe. Il n'existe pas de solution native Microsoft simple et uniforme. En général, Microsoft oriente les entreprises vers les services de fédération Active Directory (AD FS) ou vers le proxy d'application Entra ID, deux options qui présentent des inconvénients selon l'infrastructure de l'entreprise et son mode de gestion des licences Microsoft.
Les solutions natives Microsoft ajoutent de la complexité au réseau, ce qui rend la gestion des accès à OWA plus difficile pour les administrateurs, et non plus simple. UserLock est conçu pour supprimer cette friction.
La mise en œuvre de la MFA UserLock est rapide et simple :
Installer le serveur UserLock
Déployer l'agent MFA pour OWA sur le serveur IIS existant. Aucune infrastructure supplémentaire n'est requise.
Configurer des règles MFA granulaires pour les utilisateurs, groupes et unités organisationnelles (OU) Active Directory existants.
Lorsqu'un utilisateur s'authentifie à OWA, il saisit ses identifiants Windows habituels. L'agent OWA de UserLock lui envoie ensuite une demande MFA.
L'équipe IT peut activer jusqu'à deux méthodes MFA par utilisateur, parmi lesquelles :
Notifications push
Applications d'authentification
Clés de sécurité MFA ou jetons matériels (YubiKey, Token2, etc.)
UserLock étend la MFA et les contrôles d'accès à plusieurs types de sessions :
Bureau à distance (RDP et RD Gateway)
Invites UAC Windows
Toute organisation permettant à ses utilisateurs d'accéder à leur messagerie via OWA doit déployer la MFA par défaut. Le risque de ne pas le faire est trop élevé.
Les attaquants savent à quel point les mots de passe sont vulnérables au hameçonnage et aux attaques par force brute, et ils ciblent activement les environnements qui n'utilisent pas la MFA.
Compromettre un seul jeu d'identifiants suffit à prendre pied dans le système, ce qui fait de tout accès dépourvu de MFA une vulnérabilité fondamentale.
La MFA est reconnue pour réduire le risque de compromission des identifiants. Si elle n'est pas appliquée universellement, c'est à cause de la complexité : pour les serveurs de messagerie sur site, activer la MFA pour OWA nécessite souvent des logiciels, une expertise et une infrastructure supplémentaires. C'est suffisant pour décourager les administrateurs à la recherche d'une solution simple pour sécuriser l'accès à OWA.
UserLock supprime cette complexité. Conçu pour les environnements Active Directory sur site et hybrides, il rend la mise en œuvre de la MFA OWA rapide et gérable. Il étend également cette même protection à plusieurs types de connexion. Les entreprises bénéficient d'un accès distant sécurisé à leur serveur Exchange sur site sans contournements complexes, mises à niveau coûteuses ni remplacement de l'infrastructure existante.