# Audit de sécurité Google Workspace : 12 réglages à vérifier

Source : https://cybercaribou.com/blogue/audit-securite-google-workspace · Cyber Caribou

> Audit de sécurité Google Workspace : super-administrateurs, validation en deux étapes, Gmail, partage Drive et applications tierces. La checklist pour PME.

Une agence de marketing de Sherbrooke, 18 employés, utilise Google Workspace depuis 2016. Le compte a été configuré par le cofondateur un vendredi après-midi, puis plus personne n'a ouvert la console d'administration, sauf pour ajouter des employés. Dix ans plus tard, trois anciens stagiaires sont encore super-administrateurs, la moitié des dossiers clients dans Drive sont partagés « à toute personne disposant du lien » et personne ne sait quelles applications ont accès aux boîtes courriel.

Ce scénario est courant. Google Workspace est conçu d'abord pour la collaboration : ses réglages par défaut favorisent le partage, pas le verrouillage. Google protège ses centres de données et son infrastructure infonuagique; la configuration de votre compte, elle, reste votre responsabilité.

Un audit de sécurité Google Workspace passe ces réglages au peigne fin, les compare aux recommandations de Google, puis priorise ce qui compte vraiment. Voici les points que notre équipe vérifie en premier.

- Commencez par les super-administrateurs : deux ou trois, nominatifs, protégés par clé de sécurité, jamais utilisés au quotidien.
- Imposez la validation en deux étapes à tout le monde et traquez les mots de passe d'application qui restent.
- Dans Gmail et Drive, coupez le transfert automatique vers l'externe et le partage par lien par défaut.
- Passez en revue les applications tierces branchées sur vos comptes : c'est souvent là que se cachent les surprises.

## Pourquoi un audit plutôt qu'un simple coup d'œil

Plus de 6 PME québécoises sur 10 ont subi une cyberattaque dans l'année, selon un sondage KPMG publié en 2023, et 65 % disent manquer de personnel qualifié pour gérer ce risque. Dans une PME qui fonctionne sur Google Workspace, la console d'administration est souvent le seul véritable « système » de sécurité : elle contrôle l'identité, le courriel, les fichiers et une partie des appareils.

Le problème n'est pas l'outil, c'est la dérive. Chaque nouvel employé, chaque application connectée « juste pour essayer », chaque dossier partagé avec un client ajoute une exception. L'audit remet le compteur à zéro et documente la configuration voulue.

Si votre organisation utilise plutôt Microsoft, consultez notre article sur l'[audit de sécurité Microsoft 365](https://cybercaribou.com/blogue/audit-securite-microsoft-365) : la logique est la même, mais les réglages diffèrent.

## Les comptes administrateurs : les clés du royaume

Un super-administrateur peut tout faire : lire les courriels, réinitialiser les mots de passe, désactiver les protections. C'est la première cible d'un attaquant.

Ce que nous vérifions :

- **Le nombre de super-administrateurs.** Google recommande d'en avoir plus d'un, chacun géré par une personne différente, pour ne jamais se retrouver bloqué. Au-delà de deux ou trois, par contre, chaque compte de trop est un risque inutile.
- **La séparation des usages.** Le compte super-administrateur ne sert qu'aux tâches d'administration, puis on se déconnecte. Au quotidien, la personne utilise un compte ordinaire, avec au besoin un rôle délégué plus restreint (gestion des utilisateurs, par exemple).
- **Les informations de récupération.** Téléphone et adresse de récupération à jour, codes de secours imprimés et rangés en lieu sûr.
- **Les accès au domaine.** Les identifiants de votre registraire DNS sont conservés de façon sécuritaire : Google peut en avoir besoin pour confirmer que vous êtes bien propriétaire du compte en cas de pépin.

## Identités : validation en deux étapes et accès hérités

La validation en deux étapes est le réglage le plus rentable de tout l'audit. L'objectif : l'**imposer** à tous les utilisateurs, et non simplement la permettre.

Toutes les méthodes ne se valent pas. Les codes par SMS restent vulnérables à l'hameçonnage et au détournement de numéro; les clés de sécurité et les clés d'accès (passkeys) y résistent beaucoup mieux. Pour les super-administrateurs et la direction, visez une clé matérielle. Notre guide pour [choisir son MFA](https://cybercaribou.com/blogue/authentification-multifacteur-choisir-mfa) compare les options.

Côté accès hérités, une bonne nouvelle : Google a désactivé l'accès des « applications moins sécurisées » pour tous les comptes le 14 mars 2025. IMAP, POP, SMTP, CalDAV et CardDAV n'acceptent plus le simple mot de passe du compte. Seule exception : les **mots de passe d'application**. L'audit vérifie qui en possède encore, pour quel usage (un vieux numériseur qui envoie des courriels, par exemple) et si une connexion OAuth peut les remplacer.

Enfin, limitez la durée des sessions : un compte resté connecté des mois sur le poste partagé de l'accueil est une porte entrouverte.

## Gmail : usurpation, hameçonnage et transferts automatiques

Le courriel reste la principale porte d'entrée des attaques. Dans Gmail, trois familles de réglages méritent votre attention.

**L'authentification du domaine.** SPF, DKIM et DMARC empêchent un fraudeur d'envoyer des courriels qui semblent venir de votre domaine. Depuis le 1er février 2024, Google exige SPF ou DKIM de tous les expéditeurs qui écrivent à des comptes Gmail, et les trois protocoles pour ceux qui envoient plus de 5 000 messages par jour. Si ces acronymes ne vous disent rien, lisez [SPF, DKIM et DMARC expliqués](https://cybercaribou.com/blogue/spf-dkim-dmarc-explication).

**Les protections contre l'hameçonnage.** L'analyse améliorée avant la remise ainsi que les vérifications supplémentaires des pièces jointes, des liens et des images externes devraient être activées. Dans bien des comptes configurés il y a plusieurs années, elles sont partielles ou carrément désactivées.

**Les transferts automatiques.** Une règle qui copie discrètement tous les courriels de la comptable vers une adresse externe est une signature classique de la [fraude au président](https://cybercaribou.com/blogue/fraude-president-courriel-affaires-compromis). À moins d'un besoin d'affaires précis, désactivez le transfert automatique vers l'externe et surveillez les alertes associées.

## Drive, Agenda et applications tierces

Pour un cabinet d'architectes de Québec, les plans sont de la propriété intellectuelle. Pourtant, un nouveau fichier peut souvent être partagé par lien en deux clics, sans avertissement.

Les réglages à revoir :

- **Partage par lien des nouveaux fichiers :** désactivé, pour que seul le créateur y ait accès tant qu'il ne l'a pas partagé volontairement.
- **Avertissement de partage externe :** l'utilisateur doit confirmer avant de partager hors de l'organisation. Pour les données sensibles, bloquez le partage externe dans l'unité organisationnelle concernée.
- **Agenda :** à l'externe, ne partagez que les disponibilités (libre ou occupé), pas le détail des rendez-vous.

Les **applications tierces** sont l'angle mort le plus fréquent. Chaque fois qu'un employé clique sur « Se connecter avec Google » dans un outil de signature électronique ou de prise de notes, il peut lui accorder l'accès à son courriel ou à son Drive. Dans les contrôles des API de la console, dressez l'inventaire, retirez ce qui ne sert plus et limitez l'accès des applications non approuvées aux services sensibles.

## La checklist de l'audit Google Workspace

Voici la grille que notre équipe utilise comme point de départ. Les chemins exacts dans la console varient légèrement selon votre édition.

| # | Domaine | Réglage à vérifier | Cible |
|---|---|---|---|
| 1 | Administration | Nombre de super-administrateurs | 2 ou 3, nominatifs |
| 2 | Administration | Usage quotidien du super-administrateur | Aucun, compte séparé |
| 3 | Administration | Méthode de validation des admins | Clé de sécurité |
| 4 | Identité | Validation en deux étapes | Imposée à tous |
| 5 | Identité | Mots de passe d'application | Inventoriés, réduits au minimum |
| 6 | Identité | Durée des sessions | Limitée et documentée |
| 7 | Gmail | SPF, DKIM, DMARC | Publiés, DMARC en mise en application |
| 8 | Gmail | Protections avancées contre l'hameçonnage | Activées |
| 9 | Gmail | Transfert automatique vers l'externe | Désactivé |
| 10 | Drive | Partage par lien des nouveaux fichiers | Désactivé |
| 11 | Drive et Agenda | Partage externe | Avertissement; libre ou occupé seulement |
| 12 | Applications | Applications tierces (OAuth) | Inventoriées, non approuvées limitées |

Ajoutez deux vérifications de processus. D'abord, la procédure de départ d'un employé : suspension du compte, transfert des fichiers, révocation des jetons d'accès. Ensuite, la surveillance du centre d'alertes. Un réglage parfait ne sert à rien si personne ne lit les alertes.

## Comment se déroule l'audit avec notre équipe

Nous travaillons en trois temps. D'abord, une courte entrevue pour comprendre vos usages : qui partage quoi avec qui, quels outils sont branchés sur Google, quelles données sont sensibles au sens de la Loi 25. Ensuite, la revue technique de la console, réglage par réglage. Enfin, un rapport priorisé qui sépare les corrections urgentes, celles qui demandent une communication aux employés et celles qui peuvent attendre.

L'idée n'est pas de tout verrouiller du jour au lendemain. Couper le partage externe sans prévenir personne dans une agence qui travaille avec 40 clients, c'est garantir une révolte le lundi matin. Nous planifions donc les changements avec vous, par vagues.

Pour en savoir plus sur la démarche, consultez notre page [audit Microsoft 365 et Google Workspace](https://cybercaribou.com/services/audit-microsoft-365-google-workspace).

## FAQ

**Combien de temps prend un audit de sécurité Google Workspace pour une PME ?**
Pour une organisation de 10 à 50 utilisateurs, la revue des réglages, les entrevues et le rapport tiennent généralement en quelques jours de travail. La durée augmente avec le nombre de domaines, d'unités organisationnelles et d'applications tierces connectées. Les corrections peuvent ensuite être appliquées par votre équipe TI ou avec l'auditeur, selon l'entente.

**Faut-il donner notre mot de passe super-administrateur à l'auditeur ?**
Non. La bonne pratique consiste à créer un compte nominatif dédié à l'audit, protégé par la validation en deux étapes, avec le rôle le plus limité possible pour les vérifications prévues. Ce compte est suspendu puis supprimé à la fin du mandat. Ne partagez jamais un compte existant, encore moins celui de la direction.

**Google Vault remplace-t-il une sauvegarde de nos données Workspace ?**
Non. Vault, inclus notamment dans l'édition Business Plus, sert à la conservation et à la recherche de données à des fins juridiques (eDiscovery). Google précise que Vault n'est pas une archive de données : il n'est pas conçu pour restaurer rapidement une boîte courriel ou un Drive supprimé ou chiffré. Une solution de sauvegarde distincte reste nécessaire.

**L'édition Business Starter suffit-elle pour bien sécuriser Google Workspace ?**
Les réglages essentiels, comme la validation en deux étapes, les règles de partage Drive, le contrôle des applications tierces et l'authentification du courriel, sont offerts dans les éditions Business. Certaines fonctions avancées, comme l'accès contextuel ou la page d'état de la sécurité, sont réservées aux éditions Enterprise ou Frontline. Un audit permet de savoir si une mise à niveau vaut réellement la dépense.

## Sources

- [Google Workspace : liste de contrôle de sécurité pour les petites entreprises (1 à 100 utilisateurs)](https://knowledge.workspace.google.com/admin/security/security-checklist-for-small-businesses-1-100-users)
- [Google Workspace : passer des applications moins sécurisées à OAuth](https://knowledge.workspace.google.com/admin/sync/transition-from-less-secure-apps-to-oauth)
- [Google : consignes pour les expéditeurs de courriels](https://support.google.com/a/answer/81126)
- [Google Vault : présentation et éditions](https://knowledge.workspace.google.com/vault/getting-started/vault-overview)
- [Google Workspace : page d'état de la sécurité (éditions prises en charge)](https://support.google.com/a/answer/7491656)
- [Google Workspace : accès contextuel (éditions prises en charge)](https://support.google.com/a/answer/9275380)
- [KPMG Canada : la cybercriminalité frappe plus de six entreprises québécoises sur dix (2023)](https://www.newswire.ca/fr/news-releases/la-cybercriminalite-a-touche-plus-de-six-petites-et-moyennes-entreprises-quebecoises-sur-dix-au-cours-de-la-derniere-annee-894649671.html)