Conditions particulières du contrôle gratuit de tenant Microsoft 365

Les présentes conditions particulières (les « Conditions ») régissent le contrôle gratuit de la configuration de sécurité d’un tenant Microsoft 365 / Entra ID (le « Contrôle ») proposé par Cyber Dream SAS (« Cyber Dream ») sur mlab.sh, sans création de compte.

Elles complètent les Conditions Générales d’Utilisation (« CGU »). En cas de contradiction, les présentes Conditions prévalent pour le Contrôle. Elles sont acceptées par la case à cocher du formulaire de démarrage, avant toute redirection vers Microsoft.

Le Contrôle lit, en lecture seule et au moyen de l’API Microsoft Graph, la configuration de sécurité du tenant (stratégies d’autorisation et de consentement, méthodes d’authentification, rôles d’administration, paramètres du tenant, Microsoft Secure Score) et la compare aux contrôles du profil Baseline du référentiel CIRSEC Baselines M365 qui peuvent être évalués de cette manière.

Le Contrôle est gratuit et réalisé une seule fois par tenant. Il ne modifie aucun paramètre, aucun compte et aucune stratégie du tenant. Un nouveau contrôle du même tenant, le profil Hardened, l’historique, les exports et les analyses planifiées nécessitent un compte mlab.sh et relèvent des CGU et, le cas échéant, des Conditions Générales de Vente.

Le Contrôle est réservé aux professionnels. En le démarrant, l’utilisateur déclare agir pour le compte de l’organisation titulaire du tenant et être administrateur de ce tenant, ou expressément autorisé par cette organisation à en faire contrôler la configuration.

L’autorisation d’analyser le tenant résulte du consentement donné, sur la page de Microsoft, par un administrateur du tenant habilité à approuver des autorisations d’application (par exemple un Administrateur général ou un Administrateur de rôle privilégié). Sans ce consentement, aucune analyse n’est possible.

Le rapport n’est adressé qu’à une adresse électronique appartenant à l’un des domaines vérifiés du tenant. Cette adresse est contrôlée après le consentement, puis confirmée par un lien envoyé à cette adresse ; aucune analyse n’est lancée avant cette confirmation.

Il est interdit d’utiliser le Contrôle sur un tenant sans l’autorisation de l’organisation qui en est titulaire, de contourner les limites d’usage (une analyse par tenant, nombre de tentatives) ou d’automatiser son utilisation. Cyber Dream peut refuser ou interrompre un Contrôle en cas d’usage abusif ou de doute sur l’autorisation.

Le consentement porte sur l’application multi-tenant « mlab-scan » de Cyber Dream et sur des autorisations Microsoft Graph en lecture seule : Policy.Read.All, Directory.Read.All, Application.Read.All, RoleManagement.Read.Directory, UserAuthenticationMethod.Read.All, AuditLog.Read.All et SecurityEvents.Read.All. Ce sont les autorisations les plus restreintes que Microsoft propose pour lire les paramètres évalués.

Le consentement demeure dans le tenant jusqu’à ce que l’organisation le retire. Cyber Dream ne l’utilise pas à nouveau pour le Contrôle gratuit. Il peut être retiré à tout moment depuis le centre d’administration Microsoft Entra (Applications d’entreprise, mlab-scan, Propriétés, Supprimer). Cyber Dream ne conserve aucun jeton d’accès au tenant : chaque analyse s’authentifie à nouveau au moyen du certificat de l’application et échoue dès que celle-ci a été supprimée.

Si l’organisation crée ensuite un compte mlab.sh et y rattache le tenant, le même consentement permet les analyses prévues par les CGU.

Le rapport est accessible par un lien privé, non indexé, transmis à l’adresse confirmée. Toute personne en possession de ce lien peut consulter le rapport : l’utilisateur est responsable de sa diffusion, le rapport décrivant la configuration de sécurité du tenant.

Le rapport et les données lues dans le tenant sont supprimés sept (7) jours après l’analyse. Cyber Dream conserve ensuite uniquement l’identifiant du tenant et la date du Contrôle, afin d’appliquer la règle d’une analyse par tenant, ainsi que l’adresse électronique confirmée, dans les conditions de l’article 7. Les tentatives dont l’adresse n’a pas été confirmée sont supprimées sept (7) jours après leur création.

Pour le Contrôle, Cyber Dream agit en qualité de responsable du traitement. Les données traitées sont :

• l’adresse électronique professionnelle saisie, pour envoyer le lien de confirmation et le rapport ;
• l’adresse IP et la date des tentatives, pour limiter les abus ;
• les données lues dans le tenant, qui peuvent inclure le nom et l’identifiant de comptes et de groupes (par exemple les titulaires de rôles d’administration), uniquement pour produire le rapport.

Les adresses et identités lues dans le tenant ne sont jamais utilisées à d’autres fins que la production du rapport, et notamment jamais à des fins de prospection. Aucun mot de passe ni secret n’est lu.

Ces traitements reposent sur l’exécution de mesures précontractuelles prises à la demande de l’utilisateur et sur l’intérêt légitime de Cyber Dream à prévenir les abus. Les droits d’accès, de rectification, d’effacement, de limitation et d’opposition s’exercent auprès de [email protected], dans les conditions de la Politique de confidentialité.

L’utilisateur reçoit le lien de confirmation, puis le lien du rapport. Cyber Dream peut ensuite lui adresser, à cette adresse professionnelle, des informations en rapport avec le Contrôle et avec ses services de sécurité, conformément à l’article L34-5 du Code des postes et des communications électroniques. Chaque message comporte un lien de désinscription en un clic ; l’opposition peut aussi être exercée auprès de [email protected].

Les résultats sont fournis à titre indicatif. Ils ne portent que sur les contrôles que le service sait évaluer automatiquement au moment de l’analyse ; les autres contrôles du référentiel ne sont pas couverts et le rapport l’indique. Le Contrôle ne constitue ni un audit, ni une certification, ni un avis juridique, et ne garantit pas l’absence de vulnérabilité.

L’utilisateur reste seul responsable des modifications qu’il décide d’appliquer à son tenant. Le Contrôle étant gratuit, la responsabilité de Cyber Dream est limitée dans les conditions prévues par les CGU, sauf faute lourde ou dolosive et dans les limites permises par la loi.

Les intitulés, profils et niveaux de gravité des contrôles proviennent de CIRSEC Baselines, publié sous licence CC BY 4.0. CIRSEC n’est pas partie au Contrôle et n’en garantit pas les résultats.

Le Contrôle est proposé sans engagement de disponibilité et peut être suspendu, modifié ou retiré à tout moment. Cyber Dream peut modifier les présentes Conditions ; la version applicable est celle acceptée au démarrage du Contrôle.

Les présentes Conditions sont soumises au droit français. Les dispositions des CGU relatives au règlement des litiges et à la juridiction compétente s’appliquent.