Sécuriser son compte Google Workspace en TPE : le guide

Beaucoup de TPE de la Drôme et de l’Ardèche tournent au quotidien sur Google Workspace : Gmail pro, Drive, Agenda, Meet. C’est pratique, mais dans la majorité des cas que je rencontre, la configuration de sécurité reste celle par défaut, jamais revue depuis la création du compte. Or c’est précisément là que se jouent la protection de vos emails et de vos fichiers. Voici les réglages à passer en revue, sans jargon inutile.

Pourquoi la config par défaut ne suffit pas

Google Workspace est solide techniquement, mais l’outil vous laisse une grande latitude sur les réglages de sécurité. Par défaut, plusieurs protections importantes ne sont pas forcées à l’échelle de l’entreprise : chaque utilisateur fait un peu ce qu’il veut, et un compte mal protégé, c’est une porte d’entrée vers toute l’organisation.

Le risque principal reste le même que partout : un mot de passe compromis ou un email de phishing qui donne accès à une boîte mail. À partir de là, un attaquant peut lire vos échanges, se faire passer pour vous auprès de vos clients, ou déclencher une fraude au virement. Renforcer la configuration ne coûte rien de plus en licence, seulement un peu de temps et de méthode.

Activer et imposer la validation en deux étapes

C’est la mesure qui a le plus d’impact. La validation en deux étapes (2FA) exige un second facteur en plus du mot de passe : application d’authentification, clé de sécurité physique ou notification sur le téléphone.

Deux points de vigilance concrets :

• Ne pas se contenter de la SMS. Le code par SMS reste mieux que rien, mais il est vulnérable au détournement de ligne. Privilégiez une application d’authentification ou, mieux, une clé de sécurité physique pour les comptes sensibles (dirigeant, comptabilité).
• L’imposer, pas seulement la proposer. Dans la console d’administration, vous pouvez rendre la 2FA obligatoire pour tout le monde après une période de mise en place. Sans cette obligation, la plupart des salariés ne l’activent jamais d’eux-mêmes.

Google documente le déploiement de la validation en deux étapes dans son aide administrateur. C’est le premier chantier à mener.

Reprendre le contrôle sur le partage de fichiers Drive

Drive est puissant pour collaborer, mais le partage mal maîtrisé est une source fréquente de fuites involontaires. Les réglages à vérifier dans la console :

• Le partage externe. Décidez si vos utilisateurs peuvent partager des documents en dehors de l’entreprise, et dans quelles conditions. Autoriser le partage “à toute personne disposant du lien” sans restriction, c’est prendre le risque qu’un document confidentiel se retrouve indexé ou transmis par erreur.
• Les avertissements de partage externe. Vous pouvez afficher un message d’alerte quand quelqu’un s’apprête à partager en dehors du domaine. Ce simple rappel évite pas mal d’erreurs.
• Un audit ponctuel. Il est utile de vérifier de temps en temps quels fichiers sont partagés largement, surtout après le départ d’un collaborateur.

Ces réglages sont détaillés dans la documentation de partage Drive.

Surveiller les accès et les applications tierces

Un point souvent négligé : les applications tierces auxquelles vos utilisateurs ont donné accès à leur compte Google. Une extension pratique installée un jour peut conserver des droits de lecture sur les emails ou le Drive bien après avoir été oubliée.

Ce que je recommande de vérifier :

• La liste des applications connectées ayant accès aux données Workspace. La console d’administration permet de voir et de révoquer ces accès à l’échelle de l’entreprise.
• Le contrôle des applications non vérifiées. Vous pouvez bloquer par défaut les applications tierces non validées et n’autoriser que celles dont vous avez réellement besoin.
• Les journaux de connexion. Ils permettent de repérer une connexion depuis un lieu ou un appareil inhabituel. Utile pour détecter un compte compromis avant qu’il ne serve.

Anticiper le départ d’un salarié et la récupération

La sécurité, ce n’est pas seulement bloquer les intrus. C’est aussi garder la main sur vos propres données. Quelques réflexes :

• Ne jamais supprimer immédiatement un compte au départ d’un salarié. Suspendez-le d’abord, transférez les données, puis supprimez. Les emails et fichiers d’un compte effacé peuvent être définitivement perdus.
• Désigner au moins deux administrateurs. Un seul compte administrateur, c’est un point unique de défaillance : si vous perdez l’accès, vous êtes bloqué. Prévoyez un second administrateur et conservez les codes de récupération en lieu sûr.
• Vérifier les délégations de boîte mail qui peuvent avoir été mises en place et oubliées.

Ces bonnes pratiques rejoignent tout ce que j’aborde en assistance IT et dans le cadre d’une infogérance suivie : les réglages ne se font pas une fois pour toutes, ils se relisent régulièrement.

Ce que ce guide ne remplace pas

Renforcer Google Workspace réduit fortement les risques, mais ne dispense pas des fondamentaux : une politique de mots de passe correcte, la sensibilisation des équipes au phishing, et une stratégie de sauvegarde indépendante. Attention sur ce dernier point : Google conserve vos données, mais ce n’est pas une sauvegarde au sens strict. Une suppression malveillante ou une erreur peut se propager. Une sauvegarde externe des données Workspace reste pertinente selon votre activité.

Je précise aussi que les libellés exacts et l’emplacement des menus dans la console d’administration évoluent régulièrement côté Google : appuyez-vous sur la documentation officielle à jour au moment où vous intervenez.

En résumé

Si vous ne devez retenir que trois actions :

1. Imposer la validation en deux étapes à toute l’équipe.
2. Maîtriser le partage externe des fichiers Drive.
3. Prévoir un second administrateur et une procédure propre de départ.

Vous utilisez Google Workspace dans votre entreprise à Valence, Romans-sur-Isère, Montélimar ou ailleurs en Drôme-Ardèche, et vous n’êtes pas sûr de vos réglages ? Je peux auditer votre configuration et la sécuriser avec vous. Contactez-moi pour en parler.