Sécuriser Active Directory dans une PME : guide pratique 2026

Active Directory (AD) est le système nerveux de votre réseau Windows. Il gère l’authentification, les droits d’accès et les politiques de sécurité de l’ensemble de vos postes et serveurs. Dans la majorité des PME françaises, il est déployé dès les premiers serveurs Windows et souvent laissé sans surveillance active pendant des années, avec des configurations héritées rarement révisées.

C’est précisément cette négligence qui en fait la cible n°1 des cyberattaques avancées. Selon Microsoft, 95 % des attaques par ransomware impliquent une compromission d’Active Directory. Les attaquants modernes savent qu’en obtenant les droits Domain Admin, ils prennent le contrôle total de votre infrastructure en quelques minutes en chiffrant vos serveurs, exfiltrant vos données, paralysant votre activité.

Ce guide pratique 2026 vous donne les 10 actions prioritaires pour sécuriser votre Active Directory dans une PME, un comparatif AD local vs Entra ID, et les pratiques de supervision adaptées à vos ressources sans nécessiter une équipe de sécurité dédiée. Complétez ce guide avec notre article sur la gestion des identités et des accès (IAM) pour PME pour une vision plus globale de votre stratégie d’accès.

Pourquoi Active Directory est la cible n°1 des attaquants

Active Directory concentre toutes les clés du royaume : identités utilisateurs, hashes de mots de passe, groupes de sécurité, stratégies de groupe (GPO), délégations administratives et tickets d’authentification Kerberos. Compromettre un seul compte à privilèges élevés suffit à prendre le contrôle total de l’infrastructure en cascade.

Les PME sont particulièrement exposées car elles combinent plusieurs facteurs aggravants : versions Windows Server obsolètes, configurations héritées non révisées, absence d’audit régulier des droits et supervision inexistante des événements AD. Résultat : les chemins d’attaque vers le Domain Admin restent ouverts pendant des mois, voire des années, sans que personne ne s’en aperçoive.

Les techniques d’attaque AD les plus courantes en 2026

• Pass-the-Hash / Pass-the-Ticket : vol des hashes NTLM ou des tickets Kerberos pour usurper des identités sans connaître les mots de passe en clair.
• Kerberoasting : extraction et craquage hors ligne des tickets de service Kerberos, ciblant les comptes de service avec des mots de passe faibles.
• DCSync : simulation d’un contrôleur de domaine secondaire pour extraire la totalité de la base NTDS.dit, incluant tous les hashes de l’annuaire.
• BloodHound / SharpHound : cartographie automatique des chemins d’attaque dans AD pour identifier les comptes permettant d’escalader vers les Domain Admins.
• AS-REP Roasting : exploitation des comptes n’exigeant pas de pré-authentification Kerberos pour cracker des hashes d’authentification hors ligne.

La bonne nouvelle : 80 % de ces chemins d’attaque sont liés à des erreurs de configuration corrigeables sans budget supplémentaire. L’audit et le durcissement d’AD représentent donc le meilleur retour sur investissement en cybersécurité pour une PME à condition de savoir par où commencer.

Les 10 actions prioritaires pour sécuriser votre Active Directory

Voici la checklist opérationnelle des 10 mesures à déployer en priorité pour durcir votre Active Directory. Classées par niveau de criticité, elles peuvent être appliquées par un administrateur système sans expertise cybersécurité avancée, en utilisant les outils natifs Windows.

La plupart de ces actions s’effectuent via la console « Utilisateurs et ordinateurs Active Directory », l’éditeur de stratégies de groupe (GPMC) ou quelques lignes PowerShell. L’action 4 (Windows LAPS) nécessite Windows Server 2019 ou plus récent avec des postes Windows 10/11 à jour ; elle est gratuite et incluse nativement depuis avril 2023. Ces bonnes pratiques limitent la capacité de déplacement latéral d’un attaquant, une étape clé des attaques modernes qui n’utilisent aucun fichier détectable : notre article sur le malware fileless, détaille ce mode opératoire.

Protéger l’Active Directory passe aussi par l’isolement de sa zone d’administration : notre guide sur la segmentation réseau pour PME détaille comment cloisonner les accès à privilèges

AD local vs Entra ID : quel choix pour votre PME ?

Microsoft a rebaptisé Azure AD en Entra ID en 2023. Ce changement accompagne une montée en puissance des fonctionnalités cloud-natives, mais la question reste entière pour les PME : faut-il conserver un Active Directory on-premise, passer au full cloud avec Entra ID, ou adopter une configuration hybride ? La réponse dépend de votre parc applicatif, de votre usage du télétravail et de votre maturité Microsoft 365.

Notre recommandation pour les PME de 10 à 100 collaborateurs : si vous utilisez déjà Microsoft 365, le modèle hybride offre le meilleur compromis. Entra Connect synchronise vos identités AD on-premise vers le cloud, vous permettant de bénéficier du MFA natif, des politiques d’accès conditionnel et de la gestion des appareils mobiles (Intune) tout en conservant la compatibilité avec vos applications métier existantes.

Gestion des comptes privilégiés (PAM) dans Active Directory

La gestion des comptes à privilèges (PAM : Privileged Access Management) est l’une des mesures les plus efficaces pour limiter l’impact d’une compromission AD. Un attaquant qui pénètre votre réseau avec un compte standard ne peut causer des dégâts majeurs que s’il réussit à élever ses privilèges. Un PAM bien configuré bloque cette escalade à chaque étape.

Les 5 règles d’or du PAM pour PME

1. Deux comptes distincts par administrateur : un compte standard pour l’usage quotidien (mails, navigation, bureautique), un compte admin dédié exclusivement aux tâches d’administration serveur et réseau. Ne jamais utiliser un compte Domain Admin pour surfer sur Internet.
2. Principe du moindre privilège : chaque compte dispose exactement des droits nécessaires à ses fonctions. Un responsable comptable n’a pas besoin de droits sur les serveurs de production. Utilisez des groupes de sécurité délégués plutôt que le groupe Domain Admins.
3. Maximum 3 Domain Admins actifs : chaque compte DA supplémentaire est une surface d’attaque supplémentaire. Révisez cette liste lors de chaque départ d’employé car les comptes orphelins sont une porte d’entrée privilégiée.
4. Windows LAPS pour les admins locaux : génère automatiquement des mots de passe administrateur locaux uniques pour chaque poste, stockés chiffrés dans AD et accessibles uniquement aux admins autorisés. Gratuit depuis Windows Server 2019 / Windows 10 22H2.
5. Comptes de service dédiés avec mots de passe longs : n’utilisez jamais un compte utilisateur standard pour les services Windows. Créez des comptes de service spécifiques avec des mots de passe d’au moins 20 caractères, gérés par un gestionnaire de mots de passe d’équipe.

Pour les PME déjà sur Entra ID, Microsoft Privileged Identity Management (PIM) permet d’aller encore plus loin en accordant des droits élevés temporaires (Just-In-Time access) avec approbation obligatoire et audit automatique de chaque élévation ; une approche très efficace pour limiter la fenêtre d’exposition des comptes admins.

Supervision et détection des intrusions Active Directory

Sécuriser AD ne se limite pas à la configuration initiale : il faut surveiller en continu les événements suspects. Windows Server génère des milliers d’événements de sécurité par jour ; l’enjeu est de filtrer le bruit pour détecter les signaux critiques avant qu’une attaque ne se propage latéralement dans votre réseau.

Les Event IDs critiques à surveiller dans Active Directory

• Event ID 4625 : Échec d’authentification ; signal précoce d’attaque par force brute ou de credential stuffing
• Event ID 4648 : Ouverture de session avec credentials explicites ; mouvement latéral suspect, possible Pass-the-Hash
• Event ID 4672 : Attribution de privilèges spéciaux à une session ; élévation de droits potentiellement non autorisée
• Event ID 4720 / 4726 : Création ou suppression de compte utilisateur ; à corréler avec les RH
• Event ID 4732 / 4756 : Ajout de membre à un groupe à privilèges (Domain Admins, Enterprise Admins, Schema Admins)
• Event ID 4776 : Tentative de validation des credentials NTLM sur le contrôleur de domaine ; Kerberoasting ou DCSync potentiel

Pour les PME sans SIEM dédié, Windows Event Forwarding (WEF) permet de centraliser gratuitement les logs de tous les contrôleurs de domaine vers un seul serveur de collecte. La solution open source Wazuh offre des tableaux de bord AD prêts à l’emploi avec des règles de détection communautaires. Pour les budgets plus importants, Microsoft Sentinel s’intègre nativement à Entra ID avec des analytics de détection pré-construits.

Sauvegarde et plan de restauration Active Directory

Un Active Directory compromis ou corrompu peut paralyser votre entreprise pendant plusieurs jours. Un ransomware qui chiffre vos contrôleurs de domaine rend l’authentification de tous vos utilisateurs impossible ; aucun poste, aucun serveur, aucune application ne fonctionne plus. La capacité à restaurer AD rapidement est aussi critique que sa sécurisation préventive.

Stratégie de sauvegarde AD recommandée pour PME

• Sauvegarder l’état du système (System State) de chaque contrôleur de domaine, au minimum quotidiennement. Windows Server Backup (inclus gratuitement) le supporte nativement via la commande wbadmin start systemstatebackup.
• Appliquer la règle 3-2-1 : 3 copies de sauvegarde, sur 2 types de supports différents, dont 1 copie hors site ou en stockage cloud immuable ; essentiel pour résister aux ransomwares qui tentent de chiffrer aussi les sauvegardes locales.
• Déployer au minimum 2 contrôleurs de domaine : si un DC tombe en panne matérielle, le second assure la continuité de l’authentification. Ne jamais exploiter une PME avec un seul contrôleur de domaine.
• Tester la restauration au moins une fois par trimestre sur un environnement isolé (VM de test hors production). Un backup non testé n’est pas un backup fiable.
• Surveiller la réplication AD régulièrement : utilisez repadmin /showrepl pour vérifier que tous vos contrôleurs de domaine se synchronisent correctement ; une réplication en erreur silencieuse peut conduire à des incohérences graves.

Point d’attention sur le Tombstone Lifetime : par défaut, les objets supprimés dans AD sont conservés 180 jours. Au-delà, une restauration depuis une sauvegarde ancienne peut introduire des incohérences d’annuaire. C’est pourquoi l’activation de la corbeille AD (action n°6 de la checklist) est si importante : elle vous permet de récupérer des objets supprimés accidentellement sans déclencher une procédure de restauration complète.

Checklist finale et prochaines étapes

Sécuriser Active Directory dans une PME n’est pas réservé aux grandes organisations avec des équipes de sécurité dédiées. Les 10 actions de ce guide sont accessibles, pour la plupart gratuites, et réduisent drastiquement votre exposition aux techniques d’attaque les plus courantes : Pass-the-Hash, Kerberoasting, DCSync et escalade de privilèges.

Par où commencer concrètement cette semaine

1. Ouvrez « Utilisateurs et ordinateurs AD » → listez tous les membres du groupe Domain Admins → supprimez les comptes non nécessaires.
2. Créez un compte admin séparé pour chaque administrateur et interdisez l’utilisation des comptes DA pour les tâches courantes.
3. Déployez Windows LAPS via une nouvelle GPO dédiée sur l’OU Computers.
4. Désactivez NTLM v1 dans la GPO de sécurité locale des contrôleurs de domaine.
5. Configurez Windows Event Forwarding pour centraliser les Event IDs critiques listés dans ce guide.
6. Planifiez votre premier test de restauration AD dans les 30 prochains jours.

Pour une approche globale de la cybersécurité de votre PME, retrouvez notre panorama complet des technologies de cybersécurité IA 2026. Si vous souhaitez aussi sécuriser les mots de passe de vos applications et services cloud, consultez notre comparatif des gestionnaires de mots de passe 2026 pour choisir la solution adaptée à votre équipe.