Fréquence de connexion et session persistante : bien régler les contrôles de session
Lors de nos audits, nous rencontrons deux excès opposés : des locataires où personne ne se réauthentifie jamais, et d'autres où les utilisateurs saisissent leur MFA plusieurs fois par jour sans que la sécurité y gagne quoi que ce soit. Les contrôles de session de l'accès conditionnel permettent de trouver un juste milieu, à condition de comprendre ce qu'ils font réellement.
Le comportement par défaut d'Entra ID
Sans stratégie particulière, Microsoft Entra ID privilégie la continuité : les jetons d'actualisation sont renouvelés tant qu'ils sont utilisés, et une session peut rester valide très longtemps sur un appareil utilisé régulièrement. Ce choix n'est pas absurde. La session est révoquée lorsque le mot de passe change, lorsqu'un administrateur révoque les sessions ou lorsque l'évaluation continue de l'accès détecte un événement critique. Mais pour un navigateur sur un poste personnel ou un compte d'administration, cette durée de vie est souvent excessive.
Il faut aussi distinguer ces contrôles de l'expiration de session sur inactivité des applications web Microsoft 365, qui se règle ailleurs, dans le centre d'administration Microsoft 365. La fréquence de connexion n'est pas un délai d'inactivité : elle fixe l'intervalle au-delà duquel l'utilisateur doit s'authentifier de nouveau, qu'il ait été actif ou non.
La fréquence de connexion
Ce contrôle de session impose une nouvelle authentification interactive après un délai exprimé en heures ou en jours. Il s'applique au périmètre de la stratégie : utilisateurs, applications, conditions. Quelques points à garder en tête :
- la réauthentification porte sur les facteurs exigés par la stratégie : mot de passe, MFA, ou les deux selon le contexte ;
- sur un appareil Windows joint à Entra ID, la vérification s'appuie sur l'âge du jeton d'actualisation principal (PRT) : une ouverture de session Windows récente peut suffire à satisfaire la condition ;
- des stratégies qui se chevauchent avec des valeurs différentes aboutissent à l'application de la plus restrictive, ce qui surprend souvent les équipes.
L'option « Chaque fois »
La fréquence de connexion propose également la valeur « Chaque fois ». Elle force une réauthentification à chaque évaluation de la stratégie, avec une légère tolérance pour éviter les boucles. Elle n'est pas destinée à un usage général. Ses cas d'usage sont précis :
- les stratégies fondées sur le risque de connexion ou le risque utilisateur, pour que la correction du risque passe réellement par une nouvelle authentification ;
- l'inscription des appareils dans Intune ou l'enregistrement d'informations de sécurité ;
- l'accès à une action sensible protégée par un contexte d'authentification, par exemple l'activation d'un rôle privilégié.
Toutes les applications ne gèrent pas ce mode de la même façon ; consultez la documentation Microsoft à jour pour connaître les scénarios pris en charge avant de l'étendre.
La session de navigateur persistante
Ce second contrôle détermine si la session du navigateur survit à sa fermeture. Il propose deux valeurs, « Toujours persistante » et « Jamais persistante », et remplace le choix laissé à l'utilisateur par l'invite « Rester connecté ? ». Il n'est disponible que si la stratégie cible toutes les ressources. La valeur « Jamais persistante » est la plus utile : sur un appareil non géré ou partagé, elle garantit que la fermeture du navigateur met fin à la session.
Trop de MFA nuit à la MFA. Des demandes de réauthentification trop fréquentes habituent les utilisateurs à valider sans réfléchir. C'est précisément ce réflexe qu'exploitent les attaques par fatigue MFA et le hameçonnage. Mieux vaut peu d'invites, placées aux bons endroits.
Trouver l'équilibre
La bonne approche consiste à différencier selon le contexte plutôt qu'à appliquer une valeur unique à tout le monde. Le tableau suivant résume une base de départ raisonnable, à ajuster à votre organisation :
| Contexte | Fréquence de connexion | Session persistante |
|---|---|---|
| Appareil géré et conforme | Comportement par défaut | Comportement par défaut |
| Navigateur sur appareil non géré | Quelques heures | Jamais persistante |
| Rôles d'administration et portails d'administration | Courte, de l'ordre de quelques heures | Jamais persistante |
| Connexion ou utilisateur à risque | Chaque fois | Sans objet |
Sur les appareils gérés, la protection repose davantage sur la conformité de l'appareil, les méthodes résistantes au hameçonnage et l'évaluation continue de l'accès que sur des réauthentifications répétées.
Ce qu'un audit vérifie
- L'existence de contrôles de session spécifiques pour les appareils non gérés et les comptes privilégiés.
- Les chevauchements de stratégies qui imposent, sans que personne l'ait voulu, une fréquence trop courte.
- L'usage de l'option « Chaque fois » dans les stratégies fondées sur le risque.
- La cohérence entre la session persistante et l'invite « Rester connecté ? ».
- La distinction entre fréquence de connexion et expiration sur inactivité des applications Microsoft 365.