Le navigateur Web, c’est probablement l’application que vos utilisateurs exploitent le plus au quotidien. Peu importe que ce soit Chrome, Edge ou Firefox. Tous les navigateurs intègrent des fonctionnalités qui proposent d’enregistrer les mots de passe, de se connecter avec un compte personnel et de tout synchroniser vers le cloud. Dans une entreprise, cela signifie que les identifiants professionnels saisis au bureau peuvent se retrouver, le soir même, sur le PC personnel d’un collaborateur. Si ce PC est infecté par un infostealer (parce que le salarié recherche le dernier jeu à la mode en version crackée), ces identifiants finissent ont des chances de finir en vente sur une marketplace du Dark Web ou sur Telegram.
Dans cet article, je vous propose d’aborder cette problématique en nous intéressant à la sécurisation (hardening, si vous préférez) des navigateurs web en entreprise à l’aide de stratégies de groupe (GPO). Nous allons voir comment limiter les risques de fuites d’identifiants au sein de Google Chrome, Microsoft Edge et Mozilla Firefox en appliquant quelques paramètres.
La fuite d’identifiants via le navigateur Web : le scénario type
Le scénario que je décris ci-dessous n’a rien de théorique. Il est réaliste et susceptible de se produire dans n’importe quelle entreprise où les navigateurs ne sont pas correctement gérés par le service informatique.
Un collaborateur se connecte à Google Chrome avec son compte Google personnel, sur son poste professionnel. La synchronisation des données est activée dans la foulée.
Chaque mot de passe qu’il enregistre depuis son ordinateur professionnel (messagerie, intranet, CRM, etc…) est synchronisé vers son compte Google (personnel).
Le soir, il ouvre Chrome sur son PC personnel, connecté au même compte. Ses identifiants professionnels y sont disponibles, certainement mélangés aux identifiants personnels.
Ce PC personnel n’est pas géré par l’entreprise. Un jour, il est infecté par un infostealer, via un logiciel piraté, une fausse mise à jour ou une campagne de type ClickFix.
L’infostealer vide le navigateur : mots de passe, cookies de session, données de saisie automatique. Le tout est exfiltré puis réutilisé ou vendu sur une marketplace.
Un acheteur met alors la main sur des identifiants permettant d’accéder aux comptes professionnels de cet utilisateur : messagerie, CRM, console d’administration, etc.
Vous pouvez durcir le poste professionnel autant que vous le souhaitez : si le navigateur n’est pas bridé, c’est une porte de sortie discrète mais redoutable. Sans que l’utilisateur s’en rende compte, il exporte les identifiants vers un appareil que vous ne maîtrisez pas, en dehors de votre périmètre. Ici, j’ai pris l’exemple de Google Chrome, mais on peut appliquer le même raisonnement avec Edge (compte Microsoft) et Firefox (compte Mozilla), ainsi qu’à d’autres browsers.
En réponse à cette problématique, j’ai décidé de vous proposer une approche de hardening des navigateurs web basée sur l’utilisation de stratégies de groupes.
Rappel : qu’est-ce qu’un infostealer ?
Un infostealer (ou cleptogiciel en français) est un logiciel malveillant spécialisé dans le vol de données stockées sur un ordinateur. Contrairement à un ransomware, il ne cherche pas à chiffrer vos données. Il veut collecter des données sensibles, le tout en quelques secondes : il collecte et exfiltre ce qui l’intéresse. Dans les faits, les navigateurs sont sa cible principale, car ils concentrent l’essentiel de ce qui a de la valeur à ses yeux :
Les mots de passe enregistrés,
Les cookies de session, qui permettent de réutiliser une session authentifiée sans connaître le mot de passe et, bien souvent, sans déclencher la MFA,
Les données de saisie automatique (adresses, cartes bancaires),
Les extensions installées, dont les portefeuilles de cryptomonnaies
Les familles les plus actives ces dernières années se nomment Lumma, RedLine, Vidar ou StealC, et le modèle économique est celui du Malware-as-a-Service.
Les méthodes pour gérer un navigateur en entreprise
Cet article se concentre sur les trois navigateurs Web les plus populaires et ce sont probablement ceux que l’on retrouve le plus souvent en entreprise : Chrome, Edge, Firefox. Nous prendrons également le cas de Windows, pour les mêmes raisons. Partant de ce constat, il faut savoir que toutes les stratégies de configuration des navigateurs modifient le Registre de Windows. Plusieurs méthodes permettent de les déployer.
MéthodeContexteAvantagesLimitesGPO (Active Directory)Postes joints à un domaine ADGratuit, centralisé, modèles ADMX officiels pour les trois navigateursNe couvre pas les postes hors domaineIntune (catalogue de paramètres)Postes joints à Entra ID ou hybridesMêmes stratégies que les GPO, pilotage cloudNécessite des licences M365Consoles cloud des éditeursChrome Enterprise Core, Edge Management ServiceInventaire des extensions, pilotage sans infrastructureStratégies utilisateur liées au profil connectéScript et registrePostes isolés, dépannageAucun prérequisAucun contrôle de conformité, à réserver au test ou aux postes isolés
Dans ce tutoriel, nous utiliserons la méthode par GPO avec Active Directory, sur le domaine it-connect.local.
Prérequis
Pour suivre ce tutoriel, vous avez besoin de :
Un domaine Active Directory avec un contrôleur de domaine, ici SRV-ADDS-01
Un magasin central pour stocker les modèles d’administration, c’est-à-dire le dossier \\it-connect.local\SYSVOL\it-connect.local\Policies\PolicyDefinitions\
Un poste client Windows 10 ou Windows 11 joint au domaine, avec Chrome, Edge et Firefox installés, pour les tests
Une unité d’organisation de test pour lier la GPO avant un déploiement général
Si votre magasin central n’existe pas encore, sa création consiste à créer le dossier PolicyDefinitions dans le répertoire Policies situé dans SYSVOL (voir ci-dessus). Le tutoriel sur les modèles ADMX de Windows 11 détaille cette étape.
Configurer Google Chrome par GPO
Nous commençons par Google Chrome, simplement parce que c’est le navigateur le plus utilisé. La logique est la même pour les autres navigateurs. Je vais d’abord vous expliquer comment rendre possible la gestion de Chrome par GPO, avant d’évoquer les paramètres à configurer dans la prochaine partie.
Récupérer et intégrer les modèles ADMX de Chrome
Google met à disposition des administrateurs une archive contenant les modèles ADMX pour Windows, en maintenant une compatibilité avec la dernière version stable de Chrome :
Cette archive contient plusieurs fichiers. Ce qui va nous intéresser ici, ce sont les deux fichiers windows\admx\chrome.admx et windows\admx\google.admx que vous devez copier-coller à la racine du magasin central. De plus, vous devez copier-coller les fichiers de langue (ADML), à savoir windows\admx\fr-FR\chrome.adml et google.adml dans le sous-dossier fr-FR de votre magasin central. Si vous avez besoin de précisions supplémentaires sur l’intégration des fichiers ADMX, tout est expliqué dans mon tutoriel comment configurer Google Chrome par GPO.
L’image ci-dessus met aussi en évidence la présence de modèles ADMX pour Edge et Firefox. La logique d’intégration est la même. Les liens vers les fichiers ADMX de ces deux navigateurs seront fournis par la suite.
Créer la GPO
Dans la console de gestion des stratégies de groupe, créez une nouvelle GPO nommée par exemple : C_Hardening_Google_Chrome (le préfixe C_ indique une stratégie de type Configuration ordinateur) et liez-la à votre OU de test. Pour ma part, ce sera l’OU “PC-Test”, tout simplement.
Toutes les stratégies que nous allons configurer pour Google Chrome se trouvent ici :
Configuration ordinateur > Stratégies > Modèles d’administration > Google > Google Chrome.
D’ailleurs, vous remarquerez un autre dossier nommé “Google Chrome – Paramètres par défaut (les utilisateurs peuvent remplacer)”. Il correspond aux stratégies que l’utilisateur peut modifier. Ici, nous voulons brider l’utilisateur sans lui laisser le choix, donc n’allons pas configurer ces paramètres.
Configurer Chrome pour empêcher la fuite des identifiants
Notre objectif, je vous le rappelle, c’est de faire en sorte qu’aucun mot de passe professionnel ne soit stocké dans le navigateur, ni synchronisé vers un compte Google personnel / non maîtrisé. Nous devons configurer un ensemble de paramètres. En réalité, il y a parfois plusieurs choix possibles et applicables en fonction de votre contexte. Je m’explique. Une entreprise qui s’appuie sur Google Workspace n’effectuera pas forcément les choix qu’une entreprise qui ne l’utilise pas. Il en va de même pour une entreprise qui souhaite utiliser les comptes Google pour la sauvegarde des favoris, tout en empêchant l’utilisation du gestionnaire de mots de passe et de l’enregistrement de cartes bancaires. À vous de placer le curseur au bon endroit selon vos besoins réels.
Note : dans la suite de cet article, le chemin vers le paramètre est spécifié en partant de la racine. Je considère le dossier de paramètres “Google Chrome” mentionné précédemment comme étant la racine.
Si vous n’utilisez pas les GPO Active Directory, regardez du côté de Chrome Enterprise Core. C’est la console de gestion cloud gratuite de Google. Elle pousse les mêmes stratégies depuis la console Google Admin et fournit un inventaire des extensions installées sur le parc, ce que les GPO ne donnent pas. L’un des mes précédents tutoriels explique comment personnaliser le Chrome Web Store avec Chrome Enterprise Core.
Désactiver le gestionnaire de mots de passe de Chrome
Commençons fort : désactiver le gestionnaire de mots de passe de Google Chrome. Voici le paramètre à désactiver :
Gestionnaire de mots de passe > Activer l’enregistrement des mots de passe dans le gestionnaire de mots de passe
Désactiver la connexion au navigateur
Empêcher l’enregistrement des mots de passe ne suffit pas, car l’utilisateur peut toujours connecter Chrome à son compte Google personnel. Nous allons donc interdire cette connexion avec un autre paramètre situé à la racine du dossier Google Chrome. Activez le paramètre et choisissez la valeur “Désactiver la connexion au navigateur”.
Paramètres de connexion au navigateur
Avec cette configuration, l’utilisateur ne peut plus se connecter à un compte Google dans le navigateur. Cette configuration conviendra à une entreprise qui n’utilise pas Google Workspace. En revanche, si vos utilisateurs ont besoin d’un compte Google professionnel, cette valeur est trop radicale et risque de vous créer des ennuis.
Dans ce cas, plutôt que d’interdire toute connexion, nous allons autoriser uniquement les comptes de votre organisation à se connecter. Elle attend une expression régulière appliquée à l’adresse e-mail du compte. Par exemple, .*@it-connect\.fr n’autorise que les comptes de ce domaine et rejette tout compte Gmail personnel.
Restreindre les comptes Google autorisés à être définis comme comptes de navigation principaux dans Google Chrome
Remarque : ces deux paramètres s’excluent mutuellement dans les faits. Choisissez l’une ou l’autre selon que votre entreprise utilise ou non les comptes Google. Si vous êtes sous Microsoft 365, sachez que le SSO vers Entra ID ne dépend pas de ce paramètre dans Chrome, contrairement à Edge.
Désactiver la synchronisation des données
Même sans connexion au navigateur, la synchronisation mérite d’être bloquée explicitement, ne serait-ce que pour couvrir les postes déjà connectés avant l’application de la GPO. Voici le paramètre à activer pour couper la synchronisation vers les serveurs de Google.
Désactiver la synchronisation des données avec Google
Cette approche est, elle aussi, radicale : elle bloque la synchronisation des favoris, des préférences et des onglets ouverts. Cela peut générer du mécontentement chez vos utilisateurs. Si vous préférez un réglage plus fin, et être un peu plus souple, sachez qu’une seconde stratégie peut vous aider.
Elle attend une liste de types de données à exclure de la synchronisation, avec une valeur par ligne. Les valeurs les plus utiles ici sont passwords pour les mots de passe et autofill pour les données de saisie automatique. D’autres types existent, notamment bookmarks, preferences, extensions et tabs. Autrement dit, vous pouvez bloquer la synchronisation des informations sensibles, tout en laissant le reste possible.
Liste des types à exclure de la synchronisation
Désactiver l’import de mots de passe
Au premier lancement, Chrome propose d’importer les données du navigateur par défaut de l’ordinateur, ce qui permet aussi d’importer les mots de passe. C’est le début de la fin : un utilisateur dont les identifiants sont stockés dans Firefox les recopie dans Chrome sans y penser. Bloquez ce comportement en passant sur “Désactivé” le paramètre présenté ci-dessous.
Importer les mots de passe enregistrés du navigateur par défaut à la première exécution.
Des stratégies voisines existent pour les autres types de données importables, comme les favoris ou l’historique. Elles ne concernent pas directement la fuite d’identifiants, mais elles sont utiles si vous souhaitez maîtriser complètement le comportement du navigateur.
Désactiver la saisie automatique des adresses
Les données de saisie automatique font partie de ce que collectent systématiquement les infostealers. Elles contiennent des adresses postales, des numéros de téléphone, parfois des cartes bancaires (le pire des cas). Deux paramètres de stratégie sont à désactiver, en particulier pour les adresses et les cartes bancaires.
Activer la saisie automatique pour les adresses
Activer la saisie automatique pour les cartes de crédit
Désactiver l’ajout de personne dans le gestionnaire d’utilisateurs
Je vous propose également de bloquer la création d’un second profil. Sinon, en cliquant sur son avatar, un utilisateur peut ajouter une nouvelle “personne”, c’est-à-dire un profil distinct avec ses propres mots de passe, cookies et compte connecté. On va retirer cette possibilité en passant ce paramètre sur “Désactivé”.
Autoriser l’ajout de personnes dans le gestionnaire d’utilisateurs
Brider les extensions du navigateur
Les extensions sont devenues un vecteur de diffusion de malwares de type infostealers. Certaines sont malveillantes dès le départ mais parviennent à piéger les utilisateurs (parce qu’elles accomplissent malgré tout une vraie fonction), tandis que d’autres sont saines avant de devenir malveillantes quelques années plus tard. Vous pouvez donc bloquer l’installation d’extensions par défaut, puis n’autoriser que ce qui a été validé. L’inverse est vrai aussi, mais plus difficile à maîtriser.
J’attire votre attention sur ces paramètres que vous pouvez activer et configurer :
Extensions > Configurer la liste de blocage concernant l’installation des extensions, avec une seule entrée : *
Extensions > Configurer la liste d’autorisation concernant d’installation des extensions, avec les identifiants des extensions autorisées
Extensions > Configurer la liste des applications et extensions dont l’installation est forcée, pour déployer d’office certaines extensions (celle du gestionnaire de mots de passe de votre entreprise, par exemple).
Vous allez me dire : que doit-on mettre comme valeur (identifiant) pour préciser une extension spécifique l’on souhaite autoriser ou installer ?
L’identifiant d’une extension est une chaîne de 32 caractères. Vous le trouvez à la fin de l’URL de sa fiche sur le Chrome Web Store, ou dans chrome://extensions après avoir activé le mode développeur. Par exemple :
Renforcer la navigation sécurisée
La navigation sécurisée de Chrome (Google Safe Browsing) compare les URL visitées et les fichiers téléchargés à la base de réputation de Google. En mode standard, cette vérification s’appuie sur une liste locale rafraîchie périodiquement. En mode renforcé, les contrôles se font en temps réel et couvrent également les extensions ainsi que la réutilisation d’un mot de passe d’entreprise sur un site de phishing. C’est une façon de bloquer la navigation vers certains sites malveillants, mais c’est aussi un filtrage que vous pouvez faire d’une autre façon (proxy, par exemple).
Voici le paramètre à activer :
Paramètres de navigation sécurisée > Mode de protection de la navigation sécurisée.
Attention au mode retenu. Le mode renforcé transmet à Google davantage d’informations sur l’activité de navigation, y compris des URL et des extraits de pages. Ce n’est pas forcément ce que vous souhaitez.
Désactiver la navigation privée
La navigation privée n’écrit ni historique ni mot de passe dans la session, mais elle peut servir à masquer certaines actions de navigation. Libre à vous de la laisser accessible ou non, mais sachez qu’il existe un paramètre pour la bloquer.
Disponibilité du mode navigation privée.
Interdire les outils de développement
Les outils de développement donnent accès au contenu de la mémoire du navigateur, aux cookies, au stockage local et aux requêtes réseau. Un utilisateur lambda n’a pas besoin d’accéder à ces outils, contrairement aux devs et aux admins (attention au ciblage de la GPO). Voici le paramètre à activer et à configurer.
Contrôler les cas d’utilisation des outils pour les développeurs
Récapitulatif de la configuration Google Chrome
Voici un tableau récapitulatif avec l’ensemble des paramètres présentés ci-dessus. J’ai également précisé, en première colonne, le nom technique de chaque règle telle que présenté dans la documentation de Google.
StratégieChemin (sous Google Chrome)LibelléValeurPasswordManagerEnabledGestionnaire de mots de passeActiver l’enregistrement des mots de passe dans le gestionnaire de mots de passeDésactivéBrowserSigninRacineParamètres de connexion au navigateurActivé, valeur “Désactiver la connexion au navigateur”RestrictSigninToPatternRacineRestreindre les comptes Google autorisés à être définis comme comptes de navigation principaux dans Google ChromeAlternative à BrowserSignin pour les entreprises sous Google WorkspaceSyncDisabledRacineDésactiver la synchronisation des données avec GoogleActivéSyncTypesListDisabledRacineListe des types à exclure de la synchronisationAlternative plus fine : passwords et autofillImportSavedPasswordsRacineImporter les mots de passe enregistrés du navigateur par défaut à la première exécutionDésactivéAutofillAddressEnabledRacineActiver la saisie automatique pour les adressesDésactivéAutofillCreditCardEnabledRacineActiver la saisie automatique pour les cartes de créditDésactivéBrowserAddPersonEnabledRacineAutoriser l’ajout de personnes dans le gestionnaire d’utilisateursDésactivéExtensionInstallBlocklistExtensionsConfigurer la liste de blocage concernant l’installation des extensionsActivé, une entrée *ExtensionInstallAllowlistExtensionsConfigurer la liste d’autorisation concernant d’installation des extensionsActivé, les ID des extensions autoriséesExtensionInstallForcelistExtensionsConfigurer la liste des applications et extensions dont l’installation est forcéeActivé, les ID des extensions à installer d’officeSafeBrowsingProtectionLevelParamètres de navigation sécuriséeMode de protection de la navigation sécuriséeActivé, mode renforcéIncognitoModeAvailabilityRacineDisponibilité du mode navigation privéeActivé, mode navigation privée désactivéDeveloperToolsAvailabilityRacineContrôler les cas d’utilisation des outils pour les développeursActivé, interdire l’utilisation des outils de développement
La stratégie de groupe est prête, avec déjà plusieurs paramètres intéressants configurés. Pour autant, est-ce suffisant ? En réalité, il existe de nombreux paramètres pour configurer à peu près toutes les fonctionnalités de Google Chrome. Je vous encourage vivement à continuer d’explorer les paramètres pour en configurer d’autres.
Si vous ne savez pas trop quels paramètres activer, consultez le guide de bonnes pratiques Google Chrome publié par le CIS Benchmark. C’est une bonne référence pour vous orienter vers la sécurisation du navigateur Google Chrome en élargissant votre réflexion au-delà du périmètre des infostealers. De mon côté, je vais vous présenter quelques bonus.
Purger les mots de passe déjà enregistrés
Désactiver le gestionnaire de mots de passe de Google Chrome, c’est une chose. Le purger, en est une autre. À propos du paramètre configuré précédemment, la documentation de Google est explicite à ce sujet :
Les utilisateurs ne peuvent plus enregistrer de nouveaux mots de passe, mais ceux déjà enregistrés continuent d’être là.
La stratégie ne restreint pas l’accès à ces mots de passe.
Autrement dit, la base de mots de passe présente reste exploitable, par l’utilisateur comme par un infostealer. De plus, il faut avoir que les identifiants déjà partis vers un compte personnel sont hors de votre portée (ce qui ne doit pas vous empêcher d’agir).
Pour traiter l’existant proprement, il y a un paramètre qui peut aider, si vous jugez que c’est nécessaire :
Effacer les données de navigation en fin de session
Ce qui est top avec ce paramètre, c’est qu’il accepte une liste de types de données à effacer à chaque fermeture de Chrome :
password_signin : les mots de passe enregistrés (ce qui est essentiel ici).
cookies_and_other_site_data : les cookies et données de site, donc les sessions ouvertes (vos utilisateurs vont vous détester).
browsing_history, download_history, cached_images_and_files, autofill, site_settings, hosted_app_data : les autres types disponibles, pas nécessaire ici.
Ajoutez au minimum password_signin. Voici un exemple :
Limiter la valeur d’une session volée
Même avec un gestionnaire de mots de passe désactivé, un infostealer peut voler les cookies de session et les rejouer depuis une autre machine, souvent sans déclencher la MFA. Si vous souhaitez aussi vous attaquer à cette problématique, il y a un ensemble de paramètres que vous pouvez configurer dans votre GPO.
StratégieChemin (sous Google Chrome)LibelléValeurBoundSessionCredentialsEnabledParamètres de connexionAssocier des identifiants Google à un appareilActivé (fait référence à DBSC).ApplicationBoundEncryptionEnabledRacineActiver le chiffrement lié à l’appliActivé (fait référence à la fonction Application Bound Encryption).DownloadRestrictionsRacineAutoriser les restrictions de téléchargementActivé, valeur au choix pour bloquer plus ou moins d’éléments. A minima, les téléchargements malveillants.
La fonctionnalité Device Bound Session Credentials (DBSC) est disponible depuis Chrome 146 sur Windows, une version disponible depuis avril 2026. C’est l’une des nouveautés destinées à lutter contre le vol de session en liant le cookie à l’appareil. Toutefois, ce n’est pas opérationnel sur tous les sites, ni sur toutes les machines (notamment car il faut une puce TPM). Concernant l’App-Bound Encryption, c’est une fonctionnalité plus ancienne car elle est disponible depuis Chrome 127. Avec elle, les cookies et les mots de passe sont chiffrés avec une clé liée à l’identité de l’application Chrome, et non plus seulement avec DPAPI. Les infostealers ont contourné cette protection en quelques mois, mais elle élimine les outils les plus simples.
Vérifier le résultat sur un poste client
Sur le poste de test, mettez à jour les GPO avec la commande gpupdate /force dans une invite de commandes. Redémarrez le PC, puis ouvrez Google Chrome. Ce que vous pouvez faire, c’est ouvrir la page chrome://policy. Elle liste toutes les stratégies appliquées, avec leur source, leur portée et leur valeur. C’est comme un gpresult mais dans le contexte du navigateur directement.
Il y a aussi des effets visibles pour les utilisateurs, et c’est bien l’effet espéré. Il n’est plus possible d’enregistrer des mots de passe, de connecter un compte Google dans le navigateur, etc… C’est tout bon.
Sécuriser Microsoft Edge par GPO
Microsoft Edge repose sur Chromium et c’est globalement la même logique que pour Google Chrome. Il y a tout de même quelques subtilités à connaître.
Récupérer les modèles ADMX d’Edge
Les modèles ADMX de Microsoft Edge ne sont pas intégrés par défaut. Cela peut surprendre puisque le navigateur de Microsoft est natif sur Windows. Mais la réalité, c’est qu’ils se téléchargent depuis la page Microsoft Edge for Business : sélectionnez la version d’Edge, puis “Télécharger le fichier de stratégie Windows 64 bits”. Vous obtenez un fichier MicrosoftEdgePolicyTemplates.cab, qui contient lui-même une archive ZIP. Il faut donc extraire deux fois.
Sous windows\admx, copiez msedge.admx à la racine du magasin central et msedge.adml dans le sous-dossier fr-FR. Les fichiers msedgeupdate.admx (mises à jour) et msedgewebview2.admx (composant WebView2) ne sont pas nécessaires ici. Mais vous pouvez tout à fait les déposer pour avoir l’ensemble des paramètres pour Edge.
Lors de l’édition de la GPO (je vous encourage à créer une GPO par navigateur), les paramètres apparaissent sous cette racine :
Configuration ordinateur > Stratégies > Modèles d’administration > Microsoft Edge.
Le piège du SSO Entra ID
La différence majeure entre Google Chrome et Microsoft Edge, c’est qu’il y en a qui est très ancré dans l’écosystème Google, tandis que l’autre l’est avec l’écosystème Microsoft / Microsoft 365. En entreprise, il est très fréquent de rencontrer le trio Windows + Edge + Microsoft 365. Dans Edge, le SSO vers Entra ID (Microsoft 365, SharePoint, applications fédérées) repose sur le profil connecté avec le compte professionnel.
Donc, si vous êtes dans ce cas, ne désactivez pas complètement la connexion, sinon vous allez casser tous les mécanismes qui s’appuient là-dessus. Si l’utilisateur doit se réauthentifier manuellement à chaque fois alors que c’était automatique jusqu’ici via le SSO, il ne va pas aimer. C’est contre-productif.
Si vous utilisez Microsoft 365, la bonne configuration n’est pas d’interdire la connexion mais d’imposer le compte professionnel et d’interdire tout autre compte :
StratégieChemin (sous Microsoft Edge)LibelléValeurBrowserSigninRacineParamètres de connexion du navigateurActivé, valeur 2 (Forcer les utilisateurs à se connecter pour utiliser le navigateur (Tous les profils))NonRemovableProfileEnabledRacineConfigurer si un utilisateur dispose toujours d’un profil par défaut connecté automatiquement avec son compte professionnel ou scolaireActivéRestrictSigninToPatternRacineRestreindre les comptes qui peuvent être utilisés pour la connexion à Microsoft Edge.Limitez à votre domaine, par exemple *@it-connect.frBrowserAddProfileEnabledRacineActiver la création de profil à partir du menu déroulant Identité ou de la page ParamètresDésactivéBrowserGuestModeEnabledRacineActiver le mode invitéDésactivé
Configurez les paramètres sur le même principe que pour Chrome, ça reste de la GPO.
Vous pouvez tout à fait bloquer la connexion à un compte (premier paramètre de la liste). Cela se justifie pleinement sur un parc sans Entra ID (par exemple : Active Directory local sans Microsoft 365), où le compte de profil n’apporte rien et ne sert qu’à connecter un compte Microsoft personnel.
Les stratégies Edge, par famille
Les chemins ci-dessous partent de la catégorie “Microsoft Edge” comme racine. L’objectif étant de vous donner un exemple de configuration type comme pour Google Chrome. En complément, sachez que Microsoft intègre dans son Security Compliance Toolkit, une Security Baseline pour Edge. Cela vous donne les bonnes pratiques de Microsoft pour durcir le navigateur dans son intégralité. Tout n’est pas forcément applicable, mais cela vous aidera, comme les guides du CIS Benchmarks et cet article vous aideront également.
Empêcher la fuite des identifiants :
StratégieChemin (sous Microsoft Edge)LibelléValeurPasswordManagerEnabledGestionnaire de mot de passe et protectionActiver l’enregistrement des mots de passe pour le gestionnaire de mot de passeDésactivéSyncDisabled ou SyncTypesListDisabledRacineDésactiver la synchronisation des données à l’aide des services de synchronisation Microsoft / OU / Configurer la liste des types inclus pour la synchronisationActivé, ou liste des éléments autorisés (n’intégrez pas passwords et autofill)ImportSavedPasswordsRacineAutoriser l’importation des mots de passe enregistrésDésactivéImportOnEachLaunchRacineAutoriser l’importation de données provenant d’autres navigateurs à chaque lancement de Microsoft EdgeDésactivéAutofillAddressEnabled et AutofillCreditCardEnabledRacineActiver le remplissage auto pour les adresses / Activer le remplissage automatique pour les instruments de paiement (oui la traduction est pourrie)DésactivéClearBrowsingDataOnExitRacineEffacer les données de navigation à la fermeture de Microsoft EdgeAttention, avec ce paramètre, à ma connaissance, on ne peut pas faire de sélection comme avec Chrome. C’est donc contraignant si l’on efface tout, mais c’est possible.
Limiter les fonctionnalités et les extensions :
StratégieChemin (sous Microsoft Edge)LibelléValeurInPrivateModeAvailabilityRacineConfigurer la disponibilité du mode InPrivateActivé, valeur Mode InPrivate désactivé.DeveloperToolsAvailabilityRacineContrôlé où les outils de développement peuvent être utilisés.Activé, valeur 3ExtensionInstallBlocklistExtensionsContrôler les extensions impossibles à installer.Activé, une entrée *ExtensionInstallAllowlistExtensionsAutoriser l’installation d’extensions spécifiquesID des extensions autoriséesExtensionInstallForcelistExtensionsContrôler les extensions qui sont installées en mode silencieux.ID des extensions que vous souhaitez distribuer sur vos postes.
Attention aux ID d’extensions : une même extension n’a pas nécessairement le même ID sur le Microsoft Edge Add-ons Store et sur le Chrome Web Store.
Limiter la valeur d’une session volée :
StratégieChemin (sous Microsoft Edge)LibelléValeurProcessIsolationEnabledRacineActiver l’isolation des processusActivéStartupBoostEnabledPerformancesActiver le démarrage rapideDésactivéDownloadRestrictionsRacineAutoriser les restrictions de téléchargementActivé, valeur au choix pour bloquer plus ou moins d’éléments. A minima, les téléchargements malveillants.SmartScreenEnabled et SmartScreenPuaEnabledParamètres de SmartScreenConfigurer Microsoft Defender Smart ScreenActivéPreventSmartScreenPromptOverride et PreventSmartScreenPromptOverrideForFilesSmartScreen settingsEmpêcher le contournement des avertissements de Microsoft Defender SmartScreen concernant les téléchargements / pour les sitesActivé
Comme pour Chrome, vous pouvez tester sur un poste de travail. La méthode reste la même : gpupdate /force et redémarrage du PC avant de lancer Microsoft Edge. Affichez ensuite la stratégie avec edge://policy. Mais attention, si vous avez opté pour la configuration forcée du profil Microsoft (scénario M365), vous serez déjà invité à vous connecter à votre compte dans un premier temps, avant de faire quoi que ce soit.
Sécuriser Mozilla Firefox par GPO
Firefox suit une logique différente de Chromium, avec des noms de stratégies qui lui sont propres et une organisation différente.
Récupérer les modèles ADMX de Firefox
Mozilla publie les modèles sur GitHub : mozilla/policy-templates. Téléchargez l’archive de la dernière version depuis l’onglet Releases (policy_templates_v8.2.zip au moment où j’écris ces lignes). Le contenu suivant va nous intéresser :
windows\firefox.admx et windows\mozilla.admx, les deux étant nécessaires (mozilla.admx est le parent)
windows\fr-FR\firefox.adml et mozilla.adml, la traduction française
Une fois les fichiers importés sur votre domaine, les paramètres de stratégies apparaissent sous:
Configuration ordinateur > Stratégies > Modèles d’administration > Mozilla > Firefox
Note 1 : la version ESR n’est pas nécessaire pour appliquer des stratégies. Elles sont prises en charge par toutes les versions de Firefox, à l’exception de quelques stratégies réservées à l’ESR comme pour la désactivation des mises à jour.
Note 2 : Firefox accepte également un fichier policies.json déposé dans un sous-dossier distribution du dossier d’installation (C:\Program Files\Mozilla Firefox\distribution\policies.json). Il supporte exactement les mêmes stratégies, au format JSON. C’est la méthode utilisée sur Linux et macOS, ou sur un poste hors domaine. Si les deux existent, les GPO sont prioritaires.
Les stratégies Firefox
Comme pour Microsoft Edge, voici un récapitulatif des paramètres à configurer pour durcir la configuration de Mozilla Firefox. Vous remarquerez que les intitulés sont moins verbeux.
Empêcher la fuite des identifiants :
StratégieChemin (sous Firefox)Libellé françaisValeurPasswordManagerEnabledRacineGestionnaire de mots de passeDésactivéOfferToSaveLoginsRacineProposer d’enregistrer les identifiantsDésactivéPrimaryPasswordRacineMot de passe principalÀ activer uniquement si le gestionnaire de mot de passe de Firefox reste autorisé.DisableFirefoxAccountsRacineDésactiver les comptes FirefoxActivéDisableProfileImportRacineDésactiver l’importation de profilActivéDisableFormHistoryRacineDésactiver l’historique des formulairesActivéAutofillAddressEnabledRacineActiver le remplissage automatique des adressesDésactivéAutofillCreditCardEnabledRacineActiver le remplissage automatique des méthodes de paiementDésactivé
Limiter les fonctionnalités et les extensions :
StratégieChemin (sous Firefox)Libellé françaisValeurDisablePrivateBrowsingRacineDésactiver la navigation privéeActivéDisableDeveloperToolsRacineDésactiver les outils de développementActivéBlockAboutConfigRacineBloquer about:configActivéBlockAboutProfilesRacineBloquer about:profilesActivéExtensionSettingsExtensionsGestion des extensionsFormat JSON, ce qui peut permettre de tout bloquer et d’autoriser uniquement certaines. La syntaxe est présentée sur cette page.
Limiter la valeur d’une session volée :
StratégieChemin (sous Firefox)Libellé françaisValeurSanitizeOnShutdownEffacer les données lorsque le navigateur est ferméÀ vous de choisir !Utile si vous souhaitez faire le nettoyage de façon automatique lorsque le navigateur est fermé. Testez pour mesurer l’impact sur les services que vos utilisateurs utilisent au quotidien.EnableTrackingProtectionProtection contre le suiviActivéActivéCookiesCookiesComportement des cookiesSelon vos besoins, facultatifWindowsSSORacineSSO WindowsActivé pour le SSO Entra ID. Bon à savoir.
Côté client, lorsque vous serez prêt à tester, consultez la page about:policies : elle affiche les stratégies actives.
Empêcher le contournement par un autre navigateur
Vos GPO s’appliquent à Chrome, Edge et Firefox parce que vous avez déployé leurs modèles ADMX et parce que ces navigateurs lisent les stratégies dans le registre. Elles ne s’appliquent pas à ce que vous n’avez pas prévu. Et ça, c’est un risque qu’il faut anticiper. On peut notamment citer :
Un navigateur portable, lancé depuis une clé USB ou le dossier Téléchargements. Un Firefox ou un Chrome portable lit lui aussi les stratégies du registre, mais un navigateur qui n’a pas de modèle ADMX déployé (Brave, Opera, Vivaldi, un fork quelconque) échappe entièrement à votre contrôle.
L’utilisateur disposant de droits d’administrateur local, qui peut installer ce qu’il veut et modifier le registre.
La réponse tient en trois mesures, à mettre en œuvre dans l’ordre :
Retirer les droits d’administrateur local aux utilisateurs. C’est la base.
Restreindre l’exécution des logiciels avec AppLocker, en n’autorisant que les binaires situés dans C:\Program Files et C:\Windows, ce qui bloque de fait tout exécutable lancé depuis le profil utilisateur ou un support amovible. Le tutoriel comment configurer AppLocker par GPO détaille la mise en place.
Pour aller plus loin, Windows Defender Application Control (WDAC) applique le même principe au niveau du noyau, avec des stratégies basées sur les signatures des éditeurs, plus robustes que les règles de chemin d’AppLocker.
Cette logique fonctionne dans les deux sens. Un navigateur bridé sur un poste où l’utilisateur peut exécuter n’importe quoi ne protège pas grand-chose. Et un poste durci par AppLocker ou WDAC, mais dont le navigateur synchronise les mots de passe vers un compte personnel, laisse fuir les identifiants par la porte principale. La sécurité est une réflexion à avoir à l’échelle du poste de travail.
Conclusion
Grâce à la mise en place d’une stratégie de groupe pour durcir la configuration d’un navigateur Web, vous pouvez :
Empêcher l’enregistrement de nouveaux mots de passe dans le gestionnaire intégré et de purger ceux qui existent déjà.
Bloquer la synchronisation et la connexion avec un compte personnel, donc la fuite des identifiants hors du périmètre.
Filtrer les extensions, qui sont devenues un vecteur d’infostealer à part entière.
Réduire la valeur d’une session volée (cookies liés à l’appareil, effacement à la fermeture).
Et puis, il faut avouer que brider les navigateurs par GPO est une mesure peu coûteuse et rapide à déployer, tout en coupant les vannes afin de réduire les risques de fuites d’identifiant. Avec une dizaine de paramètres, vous pouvez avoir une bonne base que vous pourrez affiner avec le temps. La désactivation du gestionnaire de mots de passe intégré et le blocage de la synchronisation avec les comptes personnels, ça doit être votre priorité.
Avez-vous déjà mis en place ce type de configuration dans votre entreprise ? Qu’en pensez-vous ?
Cofondateur d’IT-Connect et Microsoft MVP “Cloud and Datacenter Management”. Mon obsession depuis près de 15 ans ? Rendre l’administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu’un métier, l’IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.