Sécurité de Google Workspace : meilleures pratiques pour 2026

Google Workspace est l’épine dorsale de la productivité de millions d’organisations : e-mail, documents, calendriers, réunions vidéo et gestion des tâches, le tout fonctionnant sur une plateforme unique. Cette centralisation apporte une commodité énorme. Elle crée également une cible concentrée pour les attaquants, l’exposition accidentelle de données et les risques internes.

La sécurité de Google Workspace n’est pas une configuration ponctuelle. C’est une pratique continue qui couvre les contrôles d’administration, le comportement des utilisateurs finaux, les intégrations tierces et la politique organisationnelle. Ce guide couvre les pratiques de sécurité les plus importantes pour 2026, organisées par la couche de contrôle où chacune s’applique.

Pourquoi la sécurité de Google Workspace mérite une attention sérieuse

Google investit massivement dans la sécurité de l’infrastructure — chiffrement en transit et au repos, centres de données avec sécurité physique et détection continue des menaces. Ce contre quoi Google ne peut pas entièrement se protéger, c’est la manière dont votre organisation configure et utilise la plateforme.

Les incidents de sécurité les plus courants dans Google Workspace ne sont pas des violations de l’infrastructure de Google. Ce sont :

La prise de contrôle de compte via le phishing — un attaquant incite un employé à saisir ses identifiants sur une fausse page de connexion.
Les applications OAuth sur-privilégiées — une application tierce ayant obtenu l’accès à Google Drive ou Gmail qui devient malveillante ou est acquise par une entreprise peu fiable.
Le partage accidentel — un document sensible partagé avec « toute personne disposant du lien » plutôt qu’avec des personnes spécifiques.
Les mots de passe faibles ou réutilisés — en particulier parmi les comptes sans validation en 2 étapes.
Les comptes administrateur compromis — le type de compte le plus à risque dans toute organisation Google Workspace.

Chacun de ces problèmes a une solution claire. Le défi consiste à les mettre en œuvre de manière cohérente.

Console d’administration : La fondation de la sécurité de Google Workspace

Admin Console Controls

2-Step Verification enforcement

Password policy configuration

Session duration settings

La Google Admin Console est l’endroit où réside la configuration de sécurité organisationnelle. Chaque meilleure pratique de sécurité décrite ici nécessite un accès administrateur pour être mise en œuvre.

Appliquer la validation en 2 étapes

La validation en 2 étapes (2SV) est le contrôle de sécurité ayant le plus grand impact disponible dans Google Workspace. Elle nécessite un second facteur — un code, une clé matérielle ou une donnée biométrique — en plus du mot de passe. Même si un attaquant obtient le mot de passe d’un utilisateur, il ne peut pas accéder au compte sans le second facteur.

Comment l’appliquer :

Dans la console d’administration, allez dans Sécurité > Authentification > Validation en 2 étapes.
Activez l’application pour tous les utilisateurs (pas seulement en option).
Définissez une période de grâce (7 à 30 jours) pour que les utilisateurs s’inscrivent avant que la politique ne prenne effet.
Envisagez d’exiger des clés de sécurité matérielles (FIDO2/WebAuthn) pour les comptes à privilèges élevés comme les administrateurs.

Pour une protection maximale, les clés de sécurité matérielles sont nettement plus résistantes au phishing que les codes SMS ou les applications d’authentification. Les recherches de Google ont montré que les clés matérielles bloquaient 100 % des attaques de bots automatisées, 99 % des attaques de phishing de masse et 90 % des attaques ciblées.

Exiger des mots de passe forts

Définissez une longueur minimale de mot de passe d’au moins 12 caractères et appliquez la prévention de réutilisation (bloquez les 10 derniers mots de passe). Associez cela à la détection des identifiants compromis de type Have I Been Pwned, que Google inclut dans le Security Center.

Auditer les comptes super administrateur

Les comptes super administrateur ont un accès illimité à toutes les données et paramètres de votre organisation Google Workspace. Meilleures pratiques :

Ne maintenez pas plus de 2 à 4 comptes super administrateur.
N’utilisez jamais de comptes super administrateur pour le travail quotidien — créez des comptes administrateur séparés pour les tâches administratives courantes.
Activez les défis de connexion et exigez des clés de sécurité matérielles pour tous les comptes super administrateur.
Examinez la liste des super administrateurs chaque trimestre.

Protection des données utilisateur : Partage et DLP

Auditer les paramètres de partage externe

Les paramètres de partage par défaut de Google Drive permettent aux utilisateurs de partager des fichiers avec toute personne disposant du lien, y compris des personnes extérieures à l’organisation. Pour la plupart des organisations, cela est trop permissif.

Dans la console d’administration, examinez :

Drive et Docs > Paramètres de partage > Partage en dehors de [votre domaine] — limitez aux domaines de confiance spécifiques ou désactivez complètement le partage externe pour les unités organisationnelles sensibles.
Désactivez le partage de lien défini sur “toute personne” pour les unités organisationnelles qui traitent des données sensibles.

Prévention contre la perte de données (DLP)

Les règles DLP de Google Workspace analysent automatiquement les e-mails sortants et le partage de fichiers Drive à la recherche de modèles de données sensibles — numéros de carte de crédit, numéros de sécurité sociale, numéros d’identification nationaux, modèles personnalisés que vous définissez.

Lorsque la DLP détecte un modèle sensible, elle peut bloquer le partage, avertir l’utilisateur ou notifier l’administrateur. La DLP est disponible sur les plans Business Plus, Enterprise et Education Plus.

Règles DLP clés à configurer :

Bloquer le partage externe des fichiers Drive contenant des numéros de carte de crédit.
Avertir avant d’envoyer des e-mails contenant certains mots-clés (confidentiel, propriétaire, PII).
Mettre en quarantaine les messages Gmail contenant des types de pièces jointes suspects.

Vault pour la rétention et l’eDiscovery

Google Vault permet aux administrateurs de définir des règles de rétention pour Gmail, Drive, Chat et Meet. Cela garantit que les données sont conservées pendant la période de rétention requise même si les utilisateurs les suppriment, ce qui est important pour les exigences légales et de conformité.

Pour les organisations soumises au RGPD, à la loi HIPAA ou aux réglementations financières, Vault est une infrastructure essentielle, pas un module complémentaire optionnel.

Gestion de l’accès aux applications tierces

Les applications tierces qui se connectent à Google Workspace via OAuth sont l’un des risques de sécurité les plus sous-estimés. Chaque fois qu’un utilisateur clique sur « Se connecter avec Google » et accorde des autorisations à une application, cette application obtient un accès continu aux données accordées — jusqu’à ce que l’utilisateur le révoque manuellement.

Auditer les applications connectées

Dans la console d’administration, allez dans Sécurité > Contrôle des accès et des données > Contrôles API > Contrôle de l’accès aux applications pour voir toutes les applications tierces qui ont obtenu un accès OAuth aux données Google Workspace de votre organisation.

Examinez cette liste pour :

Les applications qui demandent des autorisations plus larges que ce que leur fonction exige.
Les applications de fournisseurs que votre organisation n’utilise plus.
Les applications qu’aucun utilisateur n’utilise actuellement.
Les applications qui ont été obsolètes ou dont les fournisseurs ont été acquis.

Restreindre l’accès aux applications tierces

Pour les organisations à haute sécurité, vous pouvez restreindre complètement les applications tierces autorisées à se connecter à Google Workspace. Deux options :

Mode liste blanche — seules les applications explicitement approuvées par l’administrateur peuvent se connecter.
Restreindre les applications non vérifiées — seules les applications ayant terminé le processus de vérification OAuth de Google peuvent demander des portées sensibles.

L’approche de la liste blanche offre la protection la plus forte mais nécessite une maintenance continue à mesure que l’organisation adopte de nouveaux outils.

Sécurité OAuth et TasksBoard

TasksBoard utilise l’API officielle Google Tasks via OAuth, ne demandant l’accès qu’aux données Google Tasks — il ne demande pas l’accès au contenu de Gmail, Drive ou Calendar. Lorsque vous accordez l’accès à TasksBoard, il peut lire et écrire vos Google Tasks et rien d’autre. Cette portée d’autorisation minimale suit le principe du moindre privilège.

Lors de l’évaluation de toute application Google Workspace tierce, vérifiez les portées d’autorisation demandées avant d’accorder l’accès. Une application qui demande l’accès à toutes les données Gmail pour « améliorer la productivité » est un signal d’alarme.

Sécurité des e-mails : Protections Gmail

Security

Gmail

Users

Gmail inclut plusieurs couches de sécurité que les administrateurs peuvent configurer et renforcer.

Protections contre le phishing et les logiciels malveillants

Dans la console d’administration sous Applications > Google Workspace > Gmail > Sécurité, activez :

Analyse améliorée des messages avant livraison — analyse supplémentaire alimentée par l’IA avant que les messages n’atteignent les boîtes de réception des utilisateurs.
Pièces jointes : Protéger contre les pièces jointes provenant d’expéditeurs non approuvés.
Liens et images externes : Identifier les liens derrière les URL raccourcies.
Usurpation d’identité et authentification : Protéger contre les e-mails non authentifiés.

Configurer SPF, DKIM et DMARC

Ces normes d’authentification des e-mails vérifient que les e-mails envoyés depuis votre domaine proviennent réellement de vos serveurs de messagerie autorisés.

SPF (Sender Policy Framework) — répertorie les adresses IP d’envoi autorisées dans votre DNS.
DKIM (DomainKeys Identified Mail) — ajoute une signature cryptographique aux e-mails sortants.
DMARC — indique aux serveurs de messagerie de réception quoi faire avec les e-mails qui échouent aux vérifications SPF/DKIM.

Google Workspace rend la configuration DKIM simple via la console d’administration. DMARC nécessite un enregistrement DNS. Commencez par une politique p=none qui ne fait que surveiller, puis passez à p=quarantine et éventuellement p=reject après avoir vérifié que les e-mails légitimes passent l’authentification.

LDAP sécurisé et SSO

Pour les organisations utilisant le LDAP sécurisé ou l’authentification unique (SSO) basée sur SAML, assurez-vous que votre fournisseur SSO applique les mêmes politiques 2SV que Google Workspace. Contourner la 2SV au niveau de la couche SSO élimine vos protections 2SV de Google Workspace.

Gestion des terminaux et des appareils mobiles

Chaque appareil qui accède à Google Workspace est un vecteur d’attaque potentiel. La gestion des appareils mobiles (MDM) permet aux administrateurs de contrôler et d’effacer les appareils qui accèdent aux données organisationnelles.

Gestion de base vs avancée des appareils

Google Workspace inclut une gestion de base des appareils sans coût supplémentaire. La gestion avancée des terminaux est disponible sur les plans de niveau supérieur. Capacités clés :

Base (gratuit) :

Exiger un verrouillage d’écran sur les appareils mobiles.
Effacement de compte à distance (supprime les données Google Workspace sans effacement complet de l’appareil).
Inventaire des appareils.

Avancée (plans payants) :

Exiger uniquement des applications approuvées.
Bloquer l’accès depuis des appareils compromis.
Capacité d’effacement complet de l’appareil.
Appliquer les exigences de mise à jour du système d’exploitation.

Gestion des Chromebook

Les organisations utilisant des Chromebook peuvent les gérer via Google Admin avec des contrôles de politique granulaires — blocage du stockage USB, application du démarrage vérifié, restriction de l’installation d’applications et définition de politiques d’accès réseau.

Surveillance de la sécurité et réponse aux incidents

Security Center

Le Google Workspace Security Center (disponible sur Business Plus et Enterprise) fournit un tableau de bord des mesures de santé de la sécurité, des alertes et des outils d’investigation. Surveillez :

Les tentatives de connexion échouées et les connexions suspectes.
Les anomalies d’activité dans les e-mails et Drive.
Les autorisations OAuth des applications tierces.
Les indicateurs d’exfiltration de données.

Configurez des alertes par e-mail pour les événements de sécurité hautement prioritaires afin que l’équipe administrative soit informée rapidement.

Alert Center

L’Alert Center dans la console d’administration regroupe les alertes de sécurité de tout Google Workspace — avertissements de compromission de compte, notifications d’attaques soutenues par des gouvernements, activité de connexion suspecte et campagnes de phishing ciblant votre domaine.

Examinez régulièrement l’Alert Center et établissez un flux de travail de réponse aux incidents pour les types d’alertes courants.

Rétention des journaux et journaux d’audit

Google Workspace génère des journaux d’audit pour les actions administratives, l’activité Drive, l’activité Gmail, et plus encore. Ces journaux sont la base de toute enquête de sécurité.

Pour la plupart des plans, les journaux d’audit sont conservés pendant 180 jours. Les organisations nécessitant une rétention plus longue doivent configurer l’exportation vers Google Cloud Storage ou une intégration SIEM.

Meilleures pratiques de sécurité pour les utilisateurs finaux

Secure Access

Protected Data

Les contrôles administratifs ne vont pas assez loin. Le comportement de sécurité des employés est l’autre moitié de l’équation.

Formation régulière à la sécurité

La formation annuelle à la sécurité est un minimum réglementaire pour de nombreuses industries, mais les programmes les plus efficaces offrent une formation continue basée sur des scénarios. Concentrez-vous sur la reconnaissance du phishing, les pratiques de partage de fichiers sécurisées et l’hygiène des mots de passe.

Google fournit des ressources de formation à la sécurité gratuites via le centre d’apprentissage Google Workspace que les administrateurs peuvent partager avec les employés.

Simulation de phishing

L’exécution régulière de simulations de phishing — l’envoi de faux e-mails de phishing aux employés pour voir qui clique — fournit des données sur les employés ou les équipes qui ont besoin d’une formation supplémentaire. C’est plus efficace comme outil d’apprentissage que comme mesure punitive.

Politiques claires de traitement des données

Documentez et communiquez quels types de données peuvent être partagés en externe, lesquels nécessitent un accès interne uniquement, et lesquels nécessitent un chiffrement ou des contrôles supplémentaires. Sans politiques claires, les employés prennent des décisions incohérentes qui créent une exposition.

Foire aux questions

Quel est le paramètre de sécurité Google Workspace le plus important ?

L’application de la validation en 2 étapes pour tous les utilisateurs est le contrôle de sécurité ayant le plus grand impact. La prise de contrôle de compte est l’incident de sécurité grave le plus courant dans les environnements Google Workspace, et la 2SV empêche la grande majorité des attaques basées sur les identifiants.

Comment voir quelles applications ont accès à mon Google Workspace ?

Dans la console d’administration, allez dans Sécurité > Contrôle des accès et des données > Contrôles API > Contrôle de l’accès aux applications. Cela montre toutes les applications tierces ayant un accès OAuth aux données de votre organisation. Les utilisateurs individuels peuvent également voir leurs applications connectées personnelles sur myaccount.google.com/permissions.

Google Workspace peut-il être conforme à la loi HIPAA ?

Oui, avec une configuration appropriée. Google propose un Business Associate Agreement (BAA) pour les clients Google Workspace, qui couvre Gmail, Drive, Calendar et d’autres services principaux. Vous devez signer un BAA avec Google et configurer les contrôles appropriés (chiffrement, contrôles d’accès, journalisation d’audit) pour répondre aux exigences HIPAA.

Quelle est l’approche de Google Workspace en matière de chiffrement des données ?

Google chiffre les données en transit (TLS) et au repos (AES 256 bits). Pour les organisations nécessitant des clés de chiffrement gérées par le client, Google Workspace propose le chiffrement côté client (CSE) sur les plans Enterprise et Education Plus, qui vous permet de chiffrer les données avec des clés que vous contrôlez avant qu’elles n’atteignent les serveurs de Google.

Comment empêcher les fuites de données accidentelles dans Google Drive ?

Les contrôles principaux sont : restreindre les paramètres de partage externe dans la console d’administration, mettre en œuvre des règles DLP pour signaler les modèles de données sensibles et former les utilisateurs aux meilleures pratiques de partage. Pour les organisations à haute sensibilité, exiger que le partage de lien soit défini sur des personnes spécifiques plutôt que sur « toute personne disposant du lien » élimine le vecteur d’exposition accidentelle le plus courant.

Comment TasksBoard gère-t-il la sécurité de Google Workspace ?

TasksBoard accède uniquement à Google Tasks — il ne demande pas l’accès à Gmail, Google Drive ou tout autre service Google Workspace au-delà des tâches. TasksBoard utilise OAuth 2.0 pour l’authentification, ce qui signifie qu’il ne reçoit ni ne stocke jamais votre mot de passe Google. Vous pouvez examiner et révoquer l’accès de TasksBoard à tout moment via les paramètres de sécurité de votre compte Google sur myaccount.google.com/permissions.

Construire un programme de sécurité, pas seulement une configuration

La posture de sécurité Google Workspace la plus résiliente n’est pas une configuration ponctuelle — c’est un programme vivant avec des examens réguliers, une éducation continue des utilisateurs et des processus clairs de réponse aux incidents.

Commencez par les contrôles hautement prioritaires : appliquez la validation en 2 étapes, auditez les comptes super administrateur, examinez les paramètres de partage externe et configurez l’authentification Gmail (SPF/DKIM/DMARC). Ensuite, travaillez systématiquement sur les contrôles de priorité inférieure.

La sécurité est plus efficace lorsqu’elle est proportionnelle au profil de risque de votre organisation. Une startup de dix personnes a des besoins différents de ceux d’un prestataire de soins de santé ou d’une société de services financiers. Utilisez ce guide comme cadre et ajustez la rigueur de chaque contrôle pour correspondre à ce qui est réellement en jeu pour votre organisation.

Pour plus de conseils sur les fonctionnalités et capacités de Google Workspace, consultez le tutoriel Google Workspace.