📍 Article principal : Google Workspace pour PME : architecture et gouvernance
Ce tutoriel construit pas-à-pas le déploiement de la 2-Step Verification dans une PME, du plan d’enrôlement jusqu’à la mise en place de Context-Aware Access. Pour le contexte stratégique sur la 2SV obligatoire, lire le guide de référence.

Introduction

La 2-Step Verification est en train de devenir obligatoire sur les comptes administrateurs Google Workspace. Le déploiement est progressif mais inéluctable — les organisations Workspace for Education, Workspace for Nonprofits, Cloud Identity et Android Enterprise sont déjà soumises à l’enforcement, les autres clients suivent. Une PME qui attend le dernier moment pour activer la 2SV gère une crise de blocages massifs en quelques jours, parce que le mécanisme d’enforcement coupe l’accès aux applications mobiles à 15 jours puis aux applications web à 30 jours après l’échéance. Ce tutoriel construit le déploiement complet en huit étapes, sur un calendrier de 30 jours, sans interruption du flux de travail.

Prérequis

Tenant Google Workspace fonctionnel avec rôle Super-administrateur disponible.
Liste des utilisateurs à jour, organisés en OU et groupes Google.
Au moins deux clés de sécurité matérielles (FIDO2) achetées pour les comptes super-administrateurs.
Canal de communication interne (Slack, mail, intranet) pour annoncer le déploiement.
Niveau attendu : intermédiaire à avancé. Vous comprenez ce qu’est un facteur d’authentification.
Temps estimé : 30 jours de calendrier, 8 à 12 heures de travail effectif réparti.

Étape 1 — Auditer l’état actuel

Avant d’imposer la 2SV, on mesure la situation de départ. Quel pourcentage des comptes a déjà activé la 2SV de son propre chef ? Quel pourcentage des super-admins est conforme ? Cet audit oriente la communication — on n’écrit pas le même message à une équipe déjà à 80 % de conformité qu’à une équipe à 5 %.

Connectez-vous à la console d’administration admin.google.com. Allez dans Sécurité → Authentification → Validation en deux étapes. Le panneau affiche un graphique de l’état de la 2SV par OU et par groupe. Notez les chiffres globaux et par OU dans un Sheets de pilotage.

Allez ensuite dans Rapports → Rapports utilisateur → Sécurité. Filtrez sur le statut de la 2SV. Exportez la liste des comptes non conformes. Identifiez en priorité les super-administrateurs et les administrateurs délégués — ce sont eux qui seront soumis en premier à l’enforcement Google.

Cet audit produit votre tableau de bord de référence. Vous comparerez les chiffres à 7, 15, 22 et 30 jours pour mesurer la progression.

Étape 2 — Sécuriser les comptes super-administrateurs

Les comptes super-admin sont la première cible. Si un attaquant compromet un super-admin, il prend la main sur l’ensemble du tenant. Pour ces comptes, la 2SV par SMS est insuffisante — le risque de SIM swapping est trop élevé. La règle est non négociable : clé physique FIDO2.

Achetez deux clés Yubikey 5 NFC (ou Titan Security Key) par super-admin. Une clé sert au quotidien, l’autre est gardée dans un coffre comme clé de secours. Le surcoût est de 50 à 100 EUR par super-admin et c’est le meilleur investissement de sécurité IT que vous ferez cette année.

Connectez-vous au compte super-admin. Allez dans Mon compte → Sécurité → Validation en deux étapes. Cliquez Commencer. Suivez l’assistant pour activer la 2SV avec votre numéro de téléphone comme méthode initiale (c’est imposé pour démarrer). Une fois activée, allez dans la section Clés de sécurité et enregistrez les deux Yubikey en suivant les instructions de connexion physique sur le port USB.

Une fois les deux clés enregistrées, retirez le numéro de téléphone et toutes les autres méthodes — vous voulez que la connexion super-admin nécessite obligatoirement une clé physique. Testez ensuite en vous déconnectant et en vous reconnectant : seule la clé doit fonctionner. Si vous arrivez à vous connecter sans clé, c’est qu’une autre méthode est encore active, retirez-la.

Étape 3 — Annoncer le déploiement à l’équipe

La communication précède le déploiement technique. Un déploiement de 2SV imposé sans préparation provoque résistance, support submergé et appels furieux le matin de la bascule. Une communication bien pensée transforme l’opération en non-événement.

Rédigez un message d’annonce qui couvre quatre points : pourquoi la 2SV est nécessaire (Google va la rendre obligatoire pour les administrateurs, l’entreprise anticipe pour tous), ce que cela change pour l’utilisateur (un code à saisir une fois par appareil, pas tous les jours), comment l’activer (lien direct vers la procédure), date butoir d’activation volontaire (J+15) et date d’application forcée (J+30).

Diffusez ce message le J+0 par mail à tous les utilisateurs avec copie aux managers. Affichez le message dans la signature mail de tous les administrateurs IT. Si vous avez Slack ou un équivalent, postez aussi en canal général. Le message doit être présent sur trois canaux différents pour qu’il atteigne effectivement la cible — un seul mail noyé dans la boîte de réception ne suffit pas.

Étape 4 — Activer l’opt-in pendant 15 jours

Du J+1 au J+15, la 2SV est disponible mais non imposée. Les utilisateurs motivés activent. Les hésitants peuvent attendre. Cette période d’opt-in sert deux objectifs : acculturer une partie de l’équipe avant le forçage, et révéler les cas particuliers (utilisateurs sans smartphone, utilisateurs en zone à mauvaise connexion, comptes service à exclure).

Dans la console d’administration, allez dans Sécurité → Authentification → Validation en deux étapes → Modifier les paramètres. Sélectionnez l’OU racine. Configurez : Autoriser les utilisateurs à activer la validation en deux étapes = oui. Application = désactivée. Méthodes autorisées = toutes sauf SMS et appel vocal pour les admins (laisser SMS pour les utilisateurs standards à ce stade pour réduire la friction). Sauvegardez.

Surveillez la progression de l’adoption tous les 3 jours via le rapport de l’étape 1. Identifiez les utilisateurs en blocage et contactez-les directement — c’est souvent une difficulté technique simple (téléphone non compatible, code mal saisi) que cinq minutes d’aide suffisent à résoudre.

Étape 5 — Provisionner les codes de secours

Avant le forçage, chaque utilisateur doit avoir des codes de secours imprimés ou stockés en sécurité. Sans codes de secours, un utilisateur qui perd ou casse son téléphone se retrouve verrouillé hors de son compte — et vous, administrateur, êtes appelé pour réinitialiser, ce qui consomme du temps.

Diffusez à tous les utilisateurs un mode opératoire pour générer leurs codes de secours : Mon compte → Sécurité → Validation en deux étapes → Codes de secours → Afficher les codes. Google génère 10 codes à usage unique. L’utilisateur les imprime ou les stocke dans un gestionnaire de mots de passe.

Pour les administrateurs IT, en plus des codes de secours, configurez l’option Récupération du compte avec un email de récupération externe au tenant et un numéro de téléphone secondaire. Ces deux éléments servent à débloquer un super-admin qui aurait perdu sa clé physique principale et sa clé de secours.

Étape 6 — Activer l’enforcement progressif

Au J+15, vous activez l’enforcement avec une date butoir au J+30. Les utilisateurs non conformes ont 15 jours pour s’enrôler. Le mécanisme Google envoie automatiquement des rappels tous les jours pendant cette période.

Dans la console, retournez à Sécurité → Authentification → Validation en deux étapes → Modifier les paramètres. Sur l’OU racine, configurez : Application = activée. Date d’application = J+30 (date calendaire). Période d’inscription = 15 jours. Sauvegardez.

Pour les comptes service (ces comptes spéciaux qui font tourner des scripts ou des intégrations sans utilisateur humain), créez une OU dédiée Comptes service avec la 2SV désactivée et en faites précisément la liste — tout autre compte non humain doit être migré vers une clé d’API ou une App Password à durée limitée.

Pour les utilisateurs en cas particulier (terrain sans smartphone, équipiers sans téléphone professionnel), proposez l’achat d’une clé Yubikey à 25 EUR comme alternative au smartphone. Cette dépense modeste résout le cas particulier et améliore au passage le niveau de sécurité.

Étape 7 — Configurer Context-Aware Access

La 2SV bloque l’accès non autorisé par identifiant volé, mais elle n’empêche pas un compte légitime d’être utilisé depuis un appareil non managé ou depuis un pays où l’entreprise n’opère pas. Pour aller plus loin, on configure Context-Aware Access (Business Plus et Enterprise).

Allez dans Sécurité → Context-Aware Access. Cliquez Créer un niveau d’accès. Définissez un niveau Strict avec les conditions : appareil chiffré, OS à jour, pays = liste explicite des pays où vos commerciaux opèrent (par exemple Sénégal, France, Maroc, Côte d’Ivoire). Définissez un niveau Standard moins restrictif pour les utilisateurs administratifs (sans condition pays).

Allez ensuite dans Sécurité → Context-Aware Access → Affecter les niveaux d’accès. Assignez Gmail et Drive avec niveau Standard à toute l’organisation, et Admin Console + Vault avec niveau Strict aux groupes administrateurs uniquement.

L’effet est immédiat : si un compte commercial est utilisé depuis un pays non listé ou depuis un appareil non chiffré, l’accès est refusé. C’est une couche complémentaire à la 2SV qui couvre les cas où le compte ET le second facteur sont compromis ensemble (vol coordonné).

Étape 8 — Vérifier et auditer

Au J+30, vérifiez que tous les comptes sont conformes. Le rapport d’audit doit afficher 100 % d’utilisateurs en 2SV active sur les OU concernées, à l’exception explicite des comptes service que vous avez identifiés à l’étape 6.

Allez dans Rapports → Audit → Connexion. Filtrez sur les événements de type Échec de connexion par défaut de 2SV. Au J+30, ce nombre doit tendre vers zéro. Si des échecs persistent, identifiez les utilisateurs et contactez-les pour finaliser leur enrôlement.

Sauvegardez un rapport mensuel pour les trois mois suivants. La conformité 2SV doit rester à 100 % en régime stationnaire — toute baisse signale qu’un nouveau collaborateur a été créé sans enrôlement immédiat. Mettez en place un déclencheur dans votre processus RH d’arrivée : tout nouveau salarié doit avoir activé sa 2SV avant le 7e jour de présence.

Erreurs fréquentes

Erreur	Cause	Solution
Super-admin verrouillé après perte de clé	Une seule clé sans clé de secours	Toujours deux clés FIDO2 par super-admin, codes de secours et récupération externe
Comptes service bloqués au J+30	Non identifiés avant l’enforcement	OU dédiée Comptes service exclue de l’enforcement, App Passwords à durée limitée
Utilisateurs qui paniquent au forçage	Communication insuffisante	Triple canal (mail + Slack + manager direct), J+0 et rappels J+7, J+14
SMS non reçu en zone à mauvaise couverture	Réseau mobile faible	Basculer vers Authenticator app, Google Prompt ou clé physique
Compte d’admin pris en otage par un seul super-admin	Pas de second super-admin	Toujours au moins deux super-admins distincts avec clés physiques
Context-Aware Access bloque légitimement	Filtre pays trop strict	Audit des connexions refusées, ajustement progressif

Adaptation aux conditions locales

Sur les zones à connectivité 4G inégale, le SMS peut tarder de plusieurs minutes ou ne jamais arriver. Privilégiez Google Authenticator ou Authy comme application de second facteur — elles fonctionnent hors ligne en générant des codes localement à partir d’une clé secrète. Cette méthode est aussi plus économe en consommation data.

Pour les commerciaux qui voyagent dans la zone CEDEAO, le filtre pays de Context-Aware Access doit lister tous les pays de la zone (Sénégal, Mali, Côte d’Ivoire, Burkina Faso, Niger, Bénin, Togo, Ghana, Guinée, Cap-Vert, Liberia, Sierra Leone, Gambie, Guinée-Bissau, Nigeria) plus les pays partenaires fréquents (France, Maroc, Tunisie). Sans cette précaution, un commercial en déplacement à Abidjan se voit refuser l’accès Workspace.

Tutoriels associés

Configurer Google Workspace pour une PME — la 2SV vient juste après le setup initial.
Mettre en place les Drive partagés Google Workspace — la 2SV protège l’accès aux drives sensibles.

Pour aller plus loin

FAQ

Combien coûte la mise en place de la 2SV ?
La 2SV elle-même est gratuite, incluse dans tous les plans Google Workspace. Le coût est dans le matériel pour les administrateurs : compter 25 à 50 EUR par clé Yubikey, à raison de deux clés par super-admin. Pour une PME avec 2 super-admins, le budget est de 100 à 200 EUR une fois.

Peut-on désactiver la 2SV pour un utilisateur en difficulté ?
Oui pour un utilisateur standard, en sortie temporaire avant son réenrôlement. Non pour un administrateur soumis à l’enforcement Google — la seule option est de retirer ses droits administrateur s’il ne peut pas se conformer.

La 2SV par SMS est-elle vraiment moins sûre ?
Oui. Le risque de SIM swapping (un attaquant convainc l’opérateur de transférer le numéro vers une carte SIM en sa possession) est documenté et exploité. Pour les comptes admin, le SMS est à proscrire. Pour les utilisateurs standards, c’est acceptable comme méthode de secours mais pas comme méthode principale.

Que faire si un utilisateur perd ses codes de secours ET son téléphone ?
L’administrateur peut désactiver temporairement la 2SV pour cet utilisateur depuis la console (sauf pour les administrateurs soumis à l’enforcement). L’utilisateur se reconnecte sans 2SV, génère de nouveaux codes, réactive la 2SV sur le nouvel appareil.

Context-Aware Access est-il disponible sur Business Standard ?
Non. Context-Aware Access nécessite Business Plus ou Enterprise. Sur Business Standard, on en est limité à la 2SV et aux contrôles d’appareils gérés via Mobile Device Management de base.

Combien de temps prend une migration vers la 2SV pour 50 utilisateurs ?
30 jours calendaires en suivant la séquence opt-in puis enforcement. Cela laisse le temps à chacun de s’enrôler et permet à l’IT de gérer les cas particuliers sans crise. Forcer en moins de 15 jours est techniquement possible mais provoque mécaniquement de la résistance et des appels au support.

Deployer la 2SV obligatoire dans Google Workspace : tutoriel pas-a-pas