Sécurité de Google Workspace : le guide complet pour les administrateurs IT (2026)

Google Workspace fait tourner le quotidien professionnel de millions d'organisations — messagerie, documents, drives partagés, agendas, et les identités qui les relient entre eux. Cette concentration de données et d'accès est précisément la raison pour laquelle elle mérite une stratégie de sécurité réfléchie plutôt que les paramètres par défaut acceptés le premier jour.

Ce guide passe en revue les domaines les plus importants, dans l'ordre où un administrateur IT devrait les aborder : identité, partage, accès tiers, configuration administrative et supervision continue. Rien de tout cela ne nécessite un projet de refonte complète. La plupart des changements à plus fort impact sont des paramètres que vous maîtrisez déjà.

Commencez par l'identité, car tout le reste en dépend

Chaque fichier, chaque agenda, chaque boîte mail dans Google Workspace est accessible via une identité. Si un attaquant contrôle un compte, les données que ce compte peut voir lui appartiennent de fait. C'est pourquoi l'identité constitue le fondement de la sécurité de Workspace.

Trois contrôles font l'essentiel du travail :

• L'authentification multifacteur (MFA), imposée — et non facultative. Un mot de passe seul est un point de défaillance unique. Imposer la validation en 2 étapes à l'ensemble de l'organisation est le contrôle le plus efficace que vous puissiez déployer. Nous détaillons le déploiement dans notre guide sur l'application de la MFA sur Google Workspace.
• Des seconds facteurs robustes et résistants au phishing, dans la mesure du possible. Les clés de sécurité matérielles et les passkeys résistent aux kits de phishing d'identifiants qui contournent les codes à usage unique. Réservez-les au moins aux administrateurs et aux autres comptes à forte valeur.
• Des rôles d'administration à moindre privilège. Le rôle de super-administrateur peut tout faire. La plupart de vos administrateurs n'en ont pas besoin. Google Workspace prend en charge des rôles d'administrateur personnalisés, limités à des tâches spécifiques ; utilisez-les, et maintenez le nombre de super-administrateurs aussi restreint que possible à justifier.

Un exercice utile : dressez la liste de chaque compte disposant de privilèges administratifs et demandez-vous, pour chacun, « quelle serait la pire action que ce compte pourrait entreprendre s'il était compromis demain ? ». Les réponses révèlent généralement quelques rôles plus étendus que nécessaire.

Reprenez le contrôle du partage Drive

Drive est le lieu où réside le savoir de l'organisation, et le partage est le point de départ de la plupart des expositions de données. Le problème est rarement malveillant — il s'agit de commodité. Quelqu'un configure un document en « Tous les utilisateurs disposant du lien » pour débloquer une réunion, la réunion se termine, et le lien continue d'exister indéfiniment, indexé et transférable.

Les schémas à traquer :

• Les liens publics. Les fichiers partagés en « tous les utilisateurs disposant du lien » sont accessibles à quiconque obtient l'URL. Pour du contenu sensible, c'est une porte ouverte.
• Le partage externe. Les fichiers et dossiers partagés avec des adresses hors de votre domaine — partenaires, prestataires, comptes personnels — élargissent votre périmètre de données à des systèmes que vous ne contrôlez pas.
• Le partage à l'échelle du domaine. « Tous les membres de l'organisation » convient pour un manuel de procédures, mais est dangereux pour un dossier de données de rémunération.
• L'héritage rompu et la surpropriété. Un seul dossier parent trop largement partagé peut discrètement exposer tout ce qu'il contient.

Définissez des paramètres par défaut raisonnables au niveau de l'organisation dans la console d'administration (restreindre le partage en dehors du domaine à une liste de confiance lorsque votre flux de travail le permet), mais les valeurs par défaut ne régissent que les *nouveaux* partages. Les partages créés avant le durcissement de votre politique existent toujours. Les retrouver est un problème de découverte, et c'est là que l'analyse continue prend tout son sens. Notre checklist des autorisations de partage Google Drive transforme cela en une revue concrète et reproductible.

Auditez les applications tierces connectées à votre tenant

Chaque « Se connecter avec Google » et chaque module complémentaire installé par un utilisateur accorde à une application OAuth une part d'accès à vos données Workspace — souvent Drive, parfois Gmail, occasionnellement la capacité d'agir au nom d'un utilisateur. Au fil des mois et des années, cette liste se transforme en un enchevêtrement d'intégrations oubliées, d'outils testés puis abandonnés et de fournisseurs délaissés, chacun constituant une autorisation d'accès permanente que personne ne réexamine.

C'est le shadow IT dans sa forme la plus littérale : un accès que vous n'avez pas provisionné et dont vous ignorez peut-être même l'existence. Une autorisation OAuth risquée n'a pas besoin de recourir au phishing — l'utilisateur a déjà cliqué sur « Autoriser ».

Ce qu'il faut rechercher :

• Des applications avec des périmètres d'accès étendus (accès complet à Drive, envoi Gmail, annuaire d'administration).
• Des applications utilisées par une ou deux personnes seulement, mais disposant d'un accès étendu.
• Des applications provenant d'éditeurs non vérifiés.
• Des applications que personne n'a utilisées depuis des mois.

Nous approfondissons le fonctionnement — y compris la façon d'interpréter les périmètres d'accès qui comptent — dans comment auditer les applications OAuth tierces dans Google Workspace.

Renforcez la configuration administrative

Au-delà de l'identité et du partage, un ensemble de paramètres à l'échelle de l'organisation détermine discrètement votre posture de sécurité. Ce sont des réglages faciles à définir une fois puis à oublier — ce qui explique précisément leur dérive :

• Paramètres de partage : règles de partage externe, valeurs par défaut du partage par lien, et possibilité pour les utilisateurs de publier des fichiers sur le web.
• Politique de validation en 2 étapes : imposée, avec une échéance d'inscription, et idéalement limitée à des facteurs robustes pour les groupes sensibles.
• Accès des applications moins sécurisées et protocoles hérités : désactivés.
• Installations d'applications depuis le Marketplace : restreintes aux applications sur liste blanche ou approuvées par l'administrateur, afin que les utilisateurs ne puissent pas accorder d'accès à des tiers arbitraires.
• Gestion des appareils mobiles : des politiques de base pour qu'un téléphone perdu ne se transforme pas en violation de données.
• Authentification des e-mails : SPF, DKIM et DMARC configurés pour protéger votre domaine contre l'usurpation.

Considérez cela comme une base de configuration. Documentez l'état visé, puis vérifiez la réalité par rapport à celui-ci selon un calendrier régulier — la configuration a tendance à dériver à mesure que des exceptions sont créées et jamais annulées.

Surveillez les comportements à risque et les agents IA

La posture statique — qui *peut* accéder à quoi — ne représente que la moitié du tableau. L'autre moitié concerne le comportement dans la durée : qui fait *réellement* quoi, et si cela semble normal. Un compte de service resté inactif pendant six mois et qui touche soudainement des centaines de fichiers mérite un examen, même si chaque autorisation individuelle est techniquement valide.

Un élément plus récent concerne les identités non humaines. Les assistants IA, les plateformes d'automatisation et les comptes de service détiennent de plus en plus un accès permanent aux données Workspace et agissent dessus de manière autonome. Ils apparaissent rarement dans une revue d'utilisateurs classique, et pourtant ils peuvent lire, déplacer et partager des données à la vitesse d'une machine. Les gouverner — savoir quels agents existent, ce à quoi ils peuvent accéder et ce qu'ils font — devient un élément central de la sécurité de Workspace. Nous présentons la démarche dans comment détecter les agents IA à risque dans votre Google Workspace.

Instaurez un rythme régulier

La sécurité n'est pas un projet avec une date de fin ; c'est une posture que l'on entretient. Un rythme viable pour la plupart des équipes :

• En continu : analyser les nouveaux liens publics, les partages externes et les autorisations OAuth, et alerter sur ceux qui présentent un risque.
• Chaque mois : revoir la base de configuration administrative et la liste des administrateurs.
• Chaque trimestre : revoir les relations de partage externe et l'inventaire des applications tierces ; désactiver tout ce qui est obsolète.
• À chaque arrivée, changement de poste ou départ : ajustez rapidement les accès. Les accès obsolètes d'employés partis et les changements de rôle figurent parmi les constats les plus fréquents de tout audit.

Si vous êtes responsable de l'ensemble du dispositif, notre guide du RSSI pour l'évaluation des risques Google Workspace présente cela comme une évaluation reproductible dont vous pouvez rendre compte.

Où l'automatisation apporte une aide

Vous pouvez faire tout cela manuellement. Les administrateurs le font depuis des années. Mais Workspace est vaste, le partage est constant, et les constats intéressants sont des aiguilles dans une meule de foin bien trop grande. Le mode d'échec réaliste n'est pas que les équipes ignorent *quoi* vérifier — c'est qu'elles ne peuvent pas suivre le volume manuellement, si bien que les revues prennent du retard et que l'exposition s'accumule entre-temps.

C'est précisément cet écart que comble la gestion continue et automatisée de la posture : elle recense qui et quoi peut accéder à chaque ressource, signale les expositions qui comptent, explique en langage clair *pourquoi* chacune d'elles est risquée, et revérifie à chaque changement afin que vous travailliez à partir de la réalité actuelle plutôt que d'un tableur du trimestre dernier. 8200.dev fait exactement cela pour Google Workspace — découvrez comment cela fonctionne ou ce que nous vérifions.

Le meilleur moment pour mettre en place une base de référence était le jour où vous avez déployé Workspace. Le second meilleur moment, c'est aujourd'hui.

Prêt à découvrir votre propre exposition ? Lancez votre audit de sécurité gratuit et obtenez une vision hiérarchisée des liens publics, du partage externe, des applications OAuth et des erreurs de configuration administrative dans votre Google Workspace — en quelques minutes, en lecture seule, sans agent à déployer.